CVE-2026-58231：SAP Commerce Cloud 未认证 RCE 漏洞遭在野利用，CVSS 满分 10.0 引发全球紧急修补
SAP 8月补丁日修复的 Commerce Cloud Data Hub Adapter 未认证远程代码执行漏洞 CVE-2026-58231，CVSS 高达 10.0，仅隔 3 天即在 Honeypot 捕获到利用尝试，Shadowserver 监测到 4200 多个互联网暴露指纹，零售商与能源行业广泛受影响。
CVE
Linux内核octeontx2-af驱动曝CVSS 9.9高危CVE-2026-72045与资源分配CVE-2026-72050，2026年8月15日集中披露
2026年8月15日Linux主线内核披露Marvell OcteonTX网卡驱动octeontx2-af两枚独立缺陷：CVE-2026-72045影响rvu_mbox_handler_lmtst_tbl_setup与is_pf_func_valid，CVSS 9.9（Very Critical）可远程实施权限管理破坏；CVE-2026-72050为nix_setup_bpids资源分配类Critical。
CVE-2026-9856：HuggingFace Transformers路径遍历漏洞影响Idefics/Florence/Gemma/Phi/Qwen-VL，本地加载模型即被改写任意文件
2026年8月2日披露的CVE-2026-9856影响HuggingFace Transformers <=5.8.0.dev0版本，攻击者只需在Hub上发布含有恶意tokenizer_config.json的仓库，受害者save_pretrained()时即可触发路径遍历写入任意文件。CVSS 7.1，已出现公开PoC仓库。
CVE-2026-20349：思科 ASA/FTD SSL VPN 服务远程拒绝服务漏洞遭在野利用，无绕过方案必须立即热修补
2026年8月11日披露的CVE-2026-20349是Cisco Secure Firewall ASA与FTD SSL VPN服务的堆内存释放前未清除漏洞，CVSS 8.6，攻击者仅需一条未认证HTTP请求即可远程重启整个防火墙。CISA已将其纳入KEV目录并要求8月14日前完成修补，BleepingComputer确认在野利用活动持续。
CVE-2026-65400：macOS 屏幕共享认证绕过遭在野利用，攻击者植入门罗币矿工获取 root
荷兰 NCSC 8 月 13 日更新警报，macOS 屏幕共享认证绕过漏洞 CVE-2026-65400（CVSS 7.1）已遭在野利用，攻击者无需凭据即可获得系统 root 权限并植入门罗币加密货币挖矿程序。
CVE-2026-26035：FortiWeb 远程 RADIUS 通配符致未认证登录，FortiManager/FortiClient 同步曝高危缺陷
Fortinet 8 月 12-13 日集中修复 FortiWeb、FortiManager、FortiClient 多枚高危漏洞。CVE-2026-26035 在启用 Remote RADIUS 通配符时允许未认证攻击者以任意密码登录 WAF 管理后台。
CVE-2026-59310：VMware vCenter Syslog 路径遍历 RCE 漏洞遭全球 APT 攻击，47 国 361 个 IP 中招
VMware vCenter Server Syslog 路径遍历 RCE 漏洞 CVE-2026-59310（CVSS 9.8）披露仅 5 天即被全球 APT 利用，47 国 361 个 IP 中招，攻击者部署 reverse_ssh 持久化通道。
CVE-2026-70336：VS Code 1.133 修复远程代码执行漏洞，GitHub Copilot 代理模式同步曝命令注入
微软 8 月补丁日同步修复 VS Code 远程代码执行漏洞 CVE-2026-70336 与 GitHub Copilot 代理模式命令注入漏洞 CVE-2026-70335，所有 1.132 及更早版本的 VS Code 全部受影响，开发者工作站成为高价值凭证库。
Chrome 151 一次性修复 370 个安全漏洞，其中 CVE-2026-11645 V8 零日已被野利用
Google 发布 Chrome 151 稳定版，一次性修复 370 个安全漏洞（7 严重、71 高危、170 中危、122 低危）。其中 CVE-2026-11645（V8 越界读写，CVSS 8.8）已被列入 CISA KEV 目录并存在野外利用。新增 7 个严重漏洞（CVE-2026-17650 至 17656）涉及 Compositing、Views、Skia、Ozone、Dawn、ANGLE 与 Updater 的 use-after-free 与输入验证缺陷。
Apache Traffic Server 修复 38 个安全漏洞，含请求走私与内存安全缺陷（CVSS 10.0）
Apache 软件基金会 2026-08-05 发布 Apache Traffic Server 9.2.15 / 10.1.4 安全更新，一次性修复 38 个安全漏洞，涵盖请求走私、访问控制绕过及内存安全崩溃，其中 CVE-2026-33267、CVE-2026-58150 等多个漏洞 CVSS 评分达到 10.0。作为全球 CDN 与边缘缓存广泛部署的核心组件，官方建议用户立即升级。
CVE-2026-34486：Apache Tomcat 集群 EncryptInterceptor 修复回归导致 RCE（CVSS 7.5）
Apache Tomcat 在修复 CVE-2026-29146 时将 EncryptInterceptor 从 fail-closed 改为 fail-open，引发回归漏洞 CVE-2026-34486。攻击者只要能 TCP 访问 Tomcat Tribes 默认 4000 集群端口，可直接发送未加密反序列化 payload 实现远程代码执行，CVSSv3.1 7.5。9.0.116 / 10.1.53 / 11.0.20 三个补丁版本受影响，CISA 已将其纳入 KEV 目录。
CVE-2026-9198：IBM Langflow OSS 预认证远程代码执行漏洞，CVSS 9.8 被纳入 CISA KEV
IBM Langflow OSS 1.0.0 至 1.10.0 暴露预认证远程代码执行漏洞 CVE-2026-9198，CVSSv3.1 评分 9.8。攻击者只需链式调用 /api/v1/auto_login（默认配置下发 SUPERUSER 令牌）与 /api/v1/validate/code（无沙箱执行 Python），即可在默认部署上获得宿主级命令执行。CISA 已将该漏洞纳入 KEV 目录，要求联邦机构 2026-08-07 前完成修复。