Microsoft va publicar el 20 d'agost una fallada crítica d'execució remota a Entra ID i l'endemà va corregir la casella d'explotació a «No». No hi ha res per instal·lar: la fitxa diu «customerActionRequired: false». El que sí que és teu és la capacitat de respondre «ens va afectar?», i amb llicència Entra ID Free això dura set dies. Com llegir la fitxa des de l'API de Microsoft i quin checklist apliquem sobre l'inquilí.
El 19 d'agost Cisco va publicar dos avisos amb cinc CVE de puntuació 10.0 entre tots dos. No són cinc errades: cada identificador agrupa una classe sencera d'errades i porta la nota de la pitjor de la bossa. Als quatre avisos d'enduriment que hem revisat la línia de mitigacions diu el mateix, «no n'hi ha». Això no és una queixa sobre Cisco: és que la unitat amb què comptes vulnerabilitats ha canviat de mida i el teu inventari no se n'ha assabentat.
El centre de ciberseguretat neerlandès va avisar a mitjans d'agost que estan explotant l'error de Compartir pantalla de macOS en Macs amb el port 5900 obert a internet, i que en tots els casos notificats l'atacant va aconseguir root i va deixar un miner de Monero. Apple ja havia publicat el pedaç el 6 d'agost. Què falla exactament a CVE-2026-65400, per què l'enduriment de tota la vida no tapava aquest forat, i la llista que gairebé cap empresa té: què escolta des de fora.
D'ençà que CISA va canviar els seus terminis el 10 de juny, 42 de les 48 vulnerabilitats que ha donat d'alta porten tres dies per arreglar-les. Hem comptat els dies de la setmana sobre el fitxer del catàleg: cap alta del 2026 no es va publicar en dissabte o diumenge, i tretze d'aquests terminis de tres dies vencen justament allà. A l'agost, amb mitja plantilla fora, el coll d'ampolla és qui signa que es pot aïllar un servidor a les tres de la matinada.
Infoblox va publicar el 13 d'agost que durant el primer semestre del 2026 s'han tornat a registrar uns 65.000 dominis caducats al dia: gairebé el 20% de totes les altes que observen. El calendari d'un .com dona marge —fins a 45 dies d'autorenovació i 30 de redempció—; el d'un .es no: als deu dies de caducar es dona de baixa i queda disponible, sense redempció, i la renovació només la pot demanar el contacte administratiu o el de facturació. Què compra qui el recull, què continua apuntant a aquest nom quan ja no és teu i quan no cal renovar res.
Baseline Security Mode posa al centre d'administració de Microsoft 365 vint-i-un ajustos que abans només es tocaven per PowerShell: apagar l'autenticació bàsica, EWS, ActiveX, IDCRL, Publisher. La guia de Microsoft diu que actives cadascun quan el seu informe d'impacte surti a zero. El detall que canvia la lectura: els ajustos de les aplicacions d'Office s'apliquen per Cloud Policy, i els clients de Windows per sota de la versió 2510 no envien la telemetria del mode de simulació, que és la que alimenta aquest informe. Què apaga cada interruptor, què es trenca de debò en tancar EWS i en quin ordre ho fem nosaltres.
CVE-2026-55040 permet a un atacant sense credencials fer-se passar per qualsevol usuari o administrador d'un SharePoint local. Microsoft el va corregir el 14 de juliol del 2026: exactament el dia que SharePoint Server 2016 i 2019 van sortir de suport. El 12 d'agost es va publicar la prova de concepte i aquell mateix dia es va veure fer-la servir, però els sensors de KEVintel daten el primer intent el 19 de juliol, vint-i-quatre dies abans. Per què preguntar-se si calia publicar-la és la discussió equivocada i què comprovar avui en un servidor que ja no rebrà més arranjaments.
WordPress va publicar el 12 d'agost la versió 7.0.4 amb un únic arranjament: CVE-2026-65640, execució remota de codi pujant un fitxer que s'anuncia com a imatge i per dins és PostScript. El pedaç arriba fins a la branca 4.7, del desembre del 2016. Perquè t'afecti s'han de complir dues condicions alhora, i la primera no la decideixes tu. Per què validar l'extensió no valida el que et penses, què vol dir de debò «requereix rol Autor» i com comprovar-ho en deu minuts.
Cisco va publicar l'11 d'agost un avís per a ASA i Secure Firewall Threat Defense: una petició HTTP contra el servei de VPN SSL d'accés remot fa que l'equip es reiniciï. El vector CVSS diu C:N/I:N/A:H —no es filtra ni s'altera res— i dues hores i vint minuts després ja era al catàleg KEV de CISA amb data límit el 14 d'agost. Tres dies. Què es comprova a l'equip, per què el pedaç costa el mateix que l'atac i quan això no va amb tu.
Broadcom va publicar VMSA-2026-0006 el 29 de juliol sense informació que suggerís explotació, i així ho vam copiar aquí l'endemà. El 3 d'agost els primers vCenter compromesos van començar a connectar-se amb la infraestructura de l'atacant i el 12 d'agost QUIRSO va publicar el recompte: 361 adreces IP víctima a 47 països. Què signifiquen aquests números, què no signifiquen i la pregunta que decideix si això va amb tu: qui pot obrir una connexió cap al teu vCenter.
Microsoft va publicar el 10 d'agost el desmuntatge del xifrador de DeadLock. L'interessant no és la criptografia: és la llista de coses que apaga abans de xifrar res. Defender aturat com un servei, les instantànies de volum fora, els serveis d'un controlador de domini aturats i —això és el que gairebé ningú no mira— els canals de registre d'esdeveniments no esborrats, sinó deshabilitats al registre.
CISA va posar CVE-2026-8037 al seu catàleg de vulnerabilitats explotades el 7 d'agost i va donar de termini fins al 10. Progress havia publicat el pedaç el 4 de juny. Entremig, un PoC públic el 29 de juny i quaranta dies d'intents d'explotació. Si la teva cua de pedaços l'ordena el catàleg del KEV, arribes tard de sèrie: aquí tens el rellotge que sí que hauries de mirar.
El 4 d'agost, entre les 09:35 i les 13:20 UTC, un cuc es va propagar tot sol per 444 paquets de npm robant les credencials que necessitava per continuar propagant-se. La primera versió maliciosa va sortir pel pipeline legítim, amb signatura de procedència vàlida. I hi ha un parany que inverteix el reflex correcte: revocar el testimoni robat és exactament el que dispara la càrrega següent. Què buscar als teus lockfiles, en quin ordre rotar i per què aquí no existeix cap versió corregida per instal·lar.
El 3 d'agost van entrar a instàncies de Metabase per l'endpoint de «he oblidat la contrasenya», sense autenticar-se, amb un CVSS de 10.0. Framework i Tally ja ho han explicat als seus usuaris. El que s'endú un atacant d'un panell de BI compromès no són els gràfics: són les credencials de totes les bases de dades connectades, desades sense xifrar tret que algú activés el xifratge a mà. Quines versions són al rang, per què aquest forat no apareix al teu feed de CVE, i per què apedaçar és la meitat fàcil de la feina.
El 6 d'agost Huntress va publicar l'anàlisi d'un lladre de credencials per a macOS escrit en Go que feia tres mesos que era dins d'un Mac monitoritzat. No hi ha CVE, no hi ha exploit i no hi ha res per apedaçar: la cadena comença amb un web que et dicta una ordre i un usuari que l'enganxa al Terminal. Què fa aquesta ordre línia a línia, per què el Gatekeeper no hi intervé, què s'endú de debò en una empresa (Keychain, galetes de sessió, contrasenyes del navegador) i per què l'avís que Apple va afegir a macOS 26.4 és un ressalt i no un mur.
Sonar convincent no és una prova d'identitat, i en moltes organitzacions és l'única cosa que es demana. El 7 d'agost Levi Strauss va explicar a la SEC que li van treure informació corporativa de tres ordinadors d'empresa mitjançant enginyeria social: la feina amb què mesurem la seguretat —posar pedaços, actualitzar, reiniciar— no hauria canviat res. L'avís conjunt de CISA i l'FBI sobre Scattered Spider diu que l'objectiu són les grans empreses i els seus help desks d'IT contractats, i això ens inclou. Per què el 65% de l'accés inicial ja entra per la identitat, per què les claus d'accés no et salven si el taulell pot inscriure un factor nou, i els vuit punts que li demanem a un procediment de restabliment.
Un client qualsevol d'un servidor cPanel podia executar SQL com a root de la base de dades canviant el nom d'una base de dades. El titular és el 9,4, però la dada que gairebé ningú no mira és al final del vector: SC:H/SI:H/SA:H, la manera que té CVSS 4.0 de dir per escrit que el dany surt del sistema vulnerable. En un servidor compartit, «el sistema posterior» té nom i cognoms: els altres. Què fa la fallada, per què el seu germà de 5,6 ho diu més clar, què cal comprovar aquesta setmana i la pregunta honesta de si cal fugir del compartit (no sempre).
Veeam va corregir al juny una fallada de 9,4 sobre 10 que permetia executar codi al servidor de còpies a «un usuari de domini autenticat». Segons l'anàlisi tècnica que va publicar un tercer, en un servidor en grup de treball aquella fallada ni tan sols existia. La diferència no és al codi: és a qui li pregunta el teu servidor de còpies si ets de fiar. Què comprova exactament, per què és la sisena fallada amb la mateixa descripció en poc més d'un any, la dependència circular que ningú no dibuixa al pla de recuperació, què costa de debò treure el servidor del domini i els casos en què no ho faríem.
El 70,31% de les rutes d'internet ja duen signatura RPKI vàlida, però només el 12,3% dels sistemes autònoms mesurats assoleix protecció completa a les seves rutes. I el segrest que s'usa de debò —copiar el teu ASN a l'origen i posar-se al davant— passa la validació en verd. Què signa un ROA i què calla, les quatre famílies d'atac que queden fora, el comptador d'esdeveniments d'avui amb la seva lletra petita i les dues preguntes que valen per totes per al teu proveïdor si no tens AS propi.
El 4 d'agost CISA va incloure CVE-2026-34486 al seu catàleg de vulnerabilitats explotades: un 9,8 a Apache Tomcat que es corregeix amb una línia de codi canviada de lloc. Durant dues setmanes, si el desxifratge d'un missatge del clúster fallava, Tomcat ho apuntava al log i processava el missatge igualment. I només estaven afectades 11.0.20, 10.1.53 i 9.0.116: exactament les versions que portaven el pedaç de la fallada anterior. Què vol dir que un control «falli obrint», per què el log era l'única senyal i què revisem nosaltres.
Per rebre històries del món IT, novetats d'everyWAN i ofertes exclusives per a subscriptors, dona't d'alta a la nostra llista de correu
Microsoft 365
ES 
CAT 
EN