Citrix NetScaler ADC / Gateway 双漏洞在野利用 (KEV) (CRITICAL)

影响Citrix NetScaler ADC、NetScaler Gateway

描述CVE-2026-88771 输入验证不当，未认证攻击者可远程执行任意命令；CVE-2026-88772 内存缓冲区边界限制不当，可致远程代码执行或拒绝服务。两枚均于 9 月 27 日被列入 CISA KEV 目录，确认在野利用。

行动立即按厂商指引应用补丁/缓解措施，对照 CISA BOD 26-04 评估每台设备互联网暴露面；无法缓解的系统停用并做取证分诊。

CVE-2026-86950 Apple 多平台越界写入 (在野利用) (CVSS 8.8, HIGH)

影响iOS / iPadOS / macOS Sequoia / macOS Tahoe

描述处理恶意构造文件可致任意代码执行；Apple 确认该漏洞可能已被用于针对特定目标个人的高度复杂攻击。

行动终端立即升级 iOS/iPadOS 26.7.1、macOS Sequoia 15.8.1、macOS Tahoe 26.7.1。

CVE-2026-82384 Apache Roller 未认证反序列化 RCE (CVSS 9.8, CRITICAL)

影响Apache Roller 6.1.5

描述XML-RPC 端点在认证之前即反序列化攻击者控制的字节流，且该 Servlet 无条件映射——即使全局关闭 XML-RPC 功能仍可触发，未认证远程攻击者可利用。

行动升级至修复版本；公网 Roller 实例优先处置，排查异常请求。

CVE-2026-12342 SailPoint IdentityIQ 未认证 RCE (CVSS 9.6, CRITICAL)

影响SailPoint IdentityIQ 全版本

描述Web 服务 API 提交内容输入验证不当，未认证用户可在 IdentityIQ 服务器上远程执行代码。身份治理平台被控将危及全域账号体系。

行动立即确认补丁/缓解方案，收敛 IdentityIQ 控制台与 API 的网络可达范围。

CVE-2026-90924 Logsign SIEM 默认凭据 (CVSS 9.8, CRITICAL)

影响Logsign SIEM 6.4.101 – 6.4.117 之前

描述存在默认凭据缺陷，攻击者可尝试常见/默认用户名密码直接登录 SIEM；另有 CVE-2026-90926 代码注入 (8.8) 同版本受影响。

行动升级至 6.4.117+，强制修改全部默认账户口令并审计登录日志。

边缘设备/Web 应用未认证 RCE 批次 (PoC 已公开) (CVSS 8.5–9.3, CRITICAL/HIGH)

影响Netcore NBR100V2/NBR200V2/NR289-GE (CVE-2026-101000/101001/101002/101072/101074-101077 命令注入、缓冲区溢出、缺失认证)、FAST FAC1900R/FAC1200R (CVE-2026-101039/101037/101038 栈溢出)、TOTOLINK N150RT (CVE-2026-100896)、D-Link DI-8400 (CVE-2026-101081)、Ziroom ZHOME A0101 (CVE-2026-101187/101260-101262 命令注入×4)、WatchGuard AP (CVE-2026-101891 未授权 API 会话 / CVE-2026-86102 命令注入)、aaPanel 宝塔 ≤11.8.0 (CVE-2026-101007/101008/101009 命令注入×3)、Joomla ordasoft 扩展未认证 SQL 注入×3 (CVE-2026-100752/101108/101110)、Dayforce Payroll 未认证 SQL 注入与路径穿越 (CVE-2026-73640/73642)

描述均为可远程发起的未认证利用，多数 PoC 已公开，厂商普遍未回应；消费级路由器与面板类资产是僵尸网络批量扫描的高价值目标。

行动收敛公网管理面（Web 管理/CGI/面板端口禁止对公网开放），有补丁的立即升级，无修复计划的设备评估替换。

Canonical LXD 容器逃逸批次 ×3 : CVE-2026-85526 / 87799 (9.9) / 85185 (9.6) — Btrfs 存储驱动路径穿越与迁移接收路径链接解析缺陷，有实例创建权限的认证用户（或恶意迁移源）可以 root 身份在宿主机任意写/删文件，致宿主机完全失陷。修复版本 4.0.14 / 5.0.10 / 5.21.8 / 6.10，多租户 LXD 环境优先升级。

SUSE Rancher 批次 : CVE-2026-88804 (9.6) 未认证者可改公共 UI 设置实施存储型 XSS，影响 2.11–2.15 多个分支；CVE-2026-88808 (8.8) Fleet agent 滥用 cluster-admin 凭据写下游集群，危及多租户隔离；CVE-2026-88805 (8.1) 登出后凭据未正确清理。升级 2.15.2 / 2.14.6 / 2.13.10 / 2.12.14 / 2.11.18。

ManageEngine DDI Central < 6201 批次 ×4 : CVE-2026-12268 PowerShell 命令注入 RCE、12269 Keepalived 配置注入可 root 执行、12264 HA 配置同步任意文件写 RCE、12265 HA 端点越权可执行破坏性 PostgreSQL 操作（均 8.8），升级至 build 6201+。

FreePBX 认证后 RCE 批次 ×5 : CVE-2026-54675 语音上传任意文件写 (8.7)、54674 UCP 命令执行 (8.6)、54708 备份模块代码执行 (8.6)、54710 superfecta 模块 PHP 包含 RCE (8.6)、75600 GraphQL API 命令执行 (8.6)。升级 16.0.72 / 17.0.9 及对应分支修复版本。

Nginx Proxy Manager ≤ 2.16.0 (CVE-2026-102334, 9.1): 认证端点无限流，未认证攻击者可无限爆破密码并枚举 TOTP 码，进而完全接管管理会话。临时加前置限流/WAF，等待修复版本。

供应链组件 : PyJWT < 2.14.0 (CVE-2026-102268, 9.1) 混合 HMAC 与非对称算法时 PEM 格式识别缺陷可致算法混淆；Node decompress < 10.2.2/11.1.4 (CVE-2026-101894, 9.1) 符号链接链逃逸解压目录任意写文件；Axios 批次 ×4 (CVE-2026-101909/101901/101903/101906, 8.2-8.3) 原型污染、HTTP/2 会话未处理错误、ReDoS。排查依赖树并统一升级。

NeuVector 命令注入 (CVE-2026-78424, 8.8): 持有 Runtime Policies 写权限或内部 gRPC 证书者可向特权 enforcer 容器注入 OS 命令，完全控制工作节点。升级 5.4.11 / 5.5 修复版本。

Google Cloud Application Integration ×3 : CVE-2026-19759 (9.4) 内部任务类型越权执行特权 RPC、81867 (9.4) JavaScript 任务反序列化 RCE、81375 (8.3) EmailTask 混淆代理读取 Google 内部文件——谷歌已分别于 6 月修复，无需客户操作。

GHSA 开源公告 ×6 : Angular SSR 畸形 DOCTYPE 死循环 DoS (GHSA-f67j-2jqw-jpq7)、Angular SSR 未转义处理指令 XSS (GHSA-j3r3-mxqp-r2p4)、fast-uri 授权注入/主机混淆 ×2 (7.5)、jackson-databind Duration 解析 DoS (7.5)、code-ollama grep_search 命令注入 (7.8)。涉及 npm/maven 依赖排查。

其他值得关注的认证后高分 : WatchGuard AP 诊断 CLI 命令注入 (CVE-2026-87969, 8.6)、Bimser eBA Plus Web Shell 上传 (CVE-2026-85134, 8.8)、Iron Mountain enVision SQL 注入 (CVE-2026-86595, 8.8)、Logsign 代码注入 (CVE-2026-90926, 8.8)、Unsloth Zoo 模型加载代码注入 (CVE-2026-93348, 8.6)、WarehousePG 服务端文件函数缺失授权 (CVE-2026-96538, 8.7)、Bluehood API 未授权 (CVE-2026-49994, 9.1)、token-optimizer-mcp 命令注入 (CVE-2026-55157, 8.4)、ROS 2 ros2topic 代码注入 (CVE-2024-42002, 8.6)、WordPress ConvertPlus 插件反序列化 (CVE-2026-87741, 8.8)。

安全头条 : DarkReading｜单个数据包即可致瘫工业领域 OT 服务器；Carbonato 僵尸网络在被黑 Docker 主机上部署 AI Agent；Chrome 商店 “Poper Blocker” 间谍软件下载量达数百万；JadePuffer AI 攻击者攻陷 Azure 租户实施破坏性云攻击；AI Agent 已成特权用户，访问审计亟待跟进。KrebsOnSecurity｜荷兰警方在 ShinyHunters 调查中逮捕一名”已改过自新”的黑客。

Apache Roller 6.1.5 其余缺陷 ×4 : CVE-2026-82377 (9.9) XML-RPC API 缺失授权可读写删他人博客、82378 (9.0) OAuth 1.0a 端点可绑定任意账户、82383 (8.2) 安装接口未授权改全局配置、82380 (8.1) CSRF 校验缺陷——随 82384 一并升级。

BUFFALO Wi-Fi 产品 : CVE-2026-95104 (8.7) 未认证 HTTP 请求栈溢出 DoS、86530 (8.6) 管理员命令注入，等待厂商固件。

基础设施组件 : Apache ActiveMQ Artemis < 2.34.0 (CVE-2026-101292, 8.2) 联邦协议不安全反射；ZoneMinder < 1.38.4 (CVE-2026-102296, 8.3) HTTP 摄像头响应缓冲区溢出；Network UPS Tools CI 脚本权限混淆 (CVE-2026-54160, 8.2)；elixir mint HTTP/2 头部解压内存耗尽 (CVE-2026-91043, 8.2)；Payy zk-rollup 证明缺陷 (CVE-2026-48100, 8.7)；InvoicePlane 授权缺陷 (CVE-2026-100371, 8.7)；Enocta 平台授权绕过 (CVE-2026-82323, 8.1)；Joomla Modules Anywhere LFI/SSRF (CVE-2026-100750, 8.5)。

CVE-2026-88771 Citrix NetScaler ADC/Gateway 输入验证缺陷（在野利用） (CVSS 9.5, CRITICAL, KEV)

影响NetScaler ADC < 14.1-73.37 / 13.1-64.23（含 FIPS、NDcPP 构建）、NetScaler Gateway 同版本线

描述输入验证不当，未经身份验证的远程攻击者可执行任意命令。已于 9/27 列入 CISA KEV，确认在野利用。

行动立即升级至 14.1-73.37 / 13.1-64.23 及以上；按 CISA BOD 26-04 与取证分诊要求排查已暴露实例；无法修复的停用

CVE-2026-88772 Citrix NetScaler ADC/Gateway 内存缓冲区越界（在野利用） (CVSS 9.5, CRITICAL, KEV)

影响同上版本线

描述内存缓冲区边界操作限制不当，可致远程代码执行或拒绝服务。与 88771 同日列入 KEV，在野利用中。

行动同上，升级并做入侵痕迹排查

CVE-2026-100741 hMailServer JScript 事件脚本 eval 注入 (CVSS 9.8, CRITICAL)

影响hMailServer 6.0.0–6.3.3（Windows）

描述事件脚本分发器将密码等事件值未转义反斜杠即拼入 JScript 字面量，未认证攻击者通过 SMTP/POP3/IMAP 登录请求注入任意 JScript，经 WScript.Shell 以服务账户权限执行命令。利用需非默认配置（启用事件脚本 + JScript + 定义相关处理器）。

行动排查是否启用事件脚本/JScript 配置，关注官方修复；公网暴露的邮件服务器优先核查

CVE-2026-100886 Seetong 监控设备调试服务认证缺陷 (CVSS 9.3, CRITICAL)

影响Seetong T8108 / T8108P / T8116 / T8232 固件 4.6.1.4-build202604241011

描述调试服务存在不当认证，可远程利用；漏洞利用代码已公开，厂商未响应、暂无补丁。

行动立即将相关摄像头/NVR 从公网收敛，隔离至受信网段并排查异常访问

CVE-2026-101043 pnpm 仓库配置注入窃取环境密钥（凭据级设计缺陷） (CVSS 8.3, HIGH)

影响pnpm 11.0.0–11.11.0 之前、10.7.0–10.34.5 之前

描述pnpm-workspace.yaml 中 httpProxy/httpsProxy/noProxy 的 ${VAR} 占位符会被展开——克隆恶意仓库后执行任意 pnpm 命令（如 pnpm install），NPM_TOKEN、GITHUB_TOKEN 等环境密钥即被拼入代理地址外泄至攻击者主机，且发生在任何生命周期脚本执行之前。

行动升级 pnpm 11.11.0 / 10.34.5；对近期克隆过不可信仓库的环境轮换 NPM_TOKEN/GITHUB_TOKEN 等凭据

CISA 通告 ×2 ：① 将 CVE-2026-88771、CVE-2026-88772 加入已知被利用漏洞目录；② 专报 Citrix NetScaler ADC/Gateway 严重零日漏洞遭在野利用，涉及 CVE-2026-88771~88778 共 8 枚。

Citrix 同批次其余 5 枚 ：CVE-2026-88773 HTTP 请求走私 (9.3)；CVE-2026-88775/88776/88777 内存溢出致异常或 DoS (8.8)；CVE-2026-88778 可预测值缺陷 (8.8)。均影响同一版本线 → 随 P0 一并升级。

Obot（开源 AI Agent/MCP 平台）×4 ：CVE-2026-101065 (9.3) Docker 快速启动默认监听 0.0.0.0 且关闭认证，任何可达者即获 Owner/Admin 权限，且容器挂载 docker.sock 可控制宿主机；CVE-2026-101084 (9.3) /mcp-connect 授权绕过访问受限 MCP 服务；CVE-2026-101062 (8.7) OAuth 动态客户端注册钓鱼窃取令牌；CVE-2026-101064 (8.3) SSRF 读取云元数据 → 升级 v0.23.0 并启用 OBOT_SERVER_ENABLE_AUTHENTICATION。

Nezha 监控面板 CVE-2026-100890 (9.3)：OAuth2 重定向端点 Host 头注入回归（dashboard_host 为空时），可劫持授权码完成账户接管；尚无补丁 → 配置 dashboard_host 并前置反代规范 Host。

vm2 沙箱 ×2 ：CVE-2026-100721 (9.5) 外部模块解析器授权绕过，前缀匹配缺陷可加载白名单外兄弟模块，逃逸沙箱在宿主执行任意代码；CVE-2026-100722 (8.9) construct 陷阱未处理宿主 Promise 拒绝可崩溃宿主进程 → 升级 3.12.2（注意 vm2 已停止维护，建议迁移 isolated-vm）。

Contrast 机密计算运行时 ×5 ：CVE-2026-100835 (9.1) 远程证明中继攻击可冒充 Coordinator/工作负载；CVE-2026-100838 (8.6) Kata agent CopyFile 校验缺陷可完全接管访客；CVE-2026-100839 (8.4) BadAML 注入（SEV-SNP 平台）；CVE-2025-71423/71425 (8.5) 工作负载密钥写入 K8s 日志 → 分别升级 1.16.0/1.19.1/1.18.0/1.12.2/1.8.1 并轮换已泄露的 workload secrets。

Fleet CVE-2026-101045 (8.9)：macOS 应用安装脚本由 Homebrew cask 元数据生成，转义不全时攻击者可借上游 cask 元数据在托管 macOS 上以 root 执行命令（供应链向量，无需 Fleet 凭据）。修复已于 8/19 落地，代码修复含于 Fleet v4.92.0。

MONAI 医学影像 AI 框架 ×6 ：CVE-2026-100840 (8.5) bundle 配置引擎任意代码执行（恶意 bundle 投毒）；100846 (8.8)/100843 (8.5)/100841 (8.5) pickle 反序列化（含共享缓存目录投毒场景，所有版本受影响、暂无补丁）；100844 (8.6) nnUNetV2Runner 命令注入；100845 (8.5) NumpyReader allow_pickle → 谨慎加载第三方 bundle/数据文件，隔离缓存目录。

Sylius 电商平台 ×4 ：CVE-2026-100870 (8.7) 密码重置链接 Host 头伪造劫持管理员账户（未认证）；100871 (8.7) Admin/Shop API JWT 混用，注册同名邮箱即获管理员全权；100872 (8.7) 购物车重算不校验金额致少付款；100869 (8.2) 任意触发退款 → 升级 1.12.25/1.13.17/1.14.20/2.1.16/2.2.9。

AzuraCast 电台平台 ×5 ：CVE-2026-100847 (8.7) sortOrder DQL 注入窃取凭据；100852 (8.7) 录播用户名命令注入；100856 (8.7)/100857 (8.6) Liquidsoap 插值代码注入；100853 (8.2) 点播下载端点越权 → 升级 0.23.8。

Heym 工作流自动化 ×4 ：CVE-2026-100864/100865 (8.7) 表达式引擎沙箱逃逸，认证用户执行任意 Python/系统命令；CVE-2026-101049/101050 (8.3) Slack/Telegram webhook 签名校验缺失，未认证伪造事件以凭据主身份触发工作流 → 升级 0.0.91+。

wolfSSL ×3 ：CVE-2026-89102 (8.3) OCSP 多响应装订校验缺陷，持有任一链上证书即可伪造任意身份证书（客户端侧）；CVE-2026-89136 (8.3) RPK 模式下服务器可绕过认证；CVE-2026-93302 (8.3) MatchTrustedPeer 忽略公钥，伪造 CA 克隆通过验证 → 升级最新版或按公告缓解。

http4k ×2 ：CVE-2026-100725 (8.3) BasicCookieStorage 不执行 RFC 6265 作用域，跨源泄露会话 Cookie；CVE-2026-100834 (8.2) Digest 认证默认放行任意 nonce，无重放保护 → 升级 6.48.0.0/5.42.0.0/4.51.0.0。

CVE-2026-100740 D-Link DIR-895L (8.6)：L2TP 控制通道解析器越界写，可远程触发，利用代码已公开；该型号已停产停更 → 建议退役或严格收敛管理面。

CVE-2026-101060 python-utcp (8.4)：call_tool 跟随 302 重定向不复验目标，SSRF 可达云元数据/内网服务 → 升级 1.1.4。

OpenClaw 大批量高危（22 条，最高 CVSS 9.0） : 涉及 exec 审批绕过（CVE-2026-100530/100559/100561/100580）、owner 授权绕过（100544/100557/100568/100585/100586/100587/100596）、Gateway 未认证 DoS（100558）、SSRF（100567/100574）、沙箱绕过（100589）、TOCTOU 竞态（100597）、iOS TLS pin 未强制（100551，9.0）、ClawHub 举报流程滥用（100603）等。处置: 统一升级至 2026.8.1 / iOS 2026.8.11 及以上（注: 本机已卸载 OpenClaw，仅需关注舆情）。

SiYuan 批次（11 条，最高 CVSS 8.7） : 含未认证 SQL 注入（CVE-2026-100644）、多枚路径遍历任意写（100636/100637/100638）、认证绕过（100635/100646）、存储型 XSS（100639/100641/100643/100645）、剪贴板越权（100640）。处置: 升级 SiYuan >= 3.8.4。

Netty 批次（8 条，均 CVSS 8.7） : HTTP/3 QPACK 解码器多处 DoS（CVE-2026-100660/100661/100662/100663/100664）、HttpServerCodec 队列无界增长（100656）、STOMP ByteBuf 泄漏（100657）、QUIC 主机名校验不完整（100665）。处置: 升级 Netty 至 4.2.18.Final。

Froxlor 批次（6 条，含 2 条 CVSS 9.4、1 条 9.3） : letsencryptchallengepath 设置注入 acme.sh 命令（CVE-2026-100714，9.4）、客户数据导出路径校验 off-by-one（100716，9.4）、SSL 证书解析存储型 XSS（100720，9.3）、FTP 数据删除任意删文件（100715）、改密后会话/API Key/2FA 信任不失效（100711）、URL userinfo CRLF 未过滤（100717）。处置: 升级 Froxlor >= 2.3.12。

Kyverno 批次（5 条，含 CVSS 9.4） : CVE-2026-100706（9.4）apiCall urlPath 编码绕过跨命名空间写对象；100707 命名空间隔离绕过；100705 SSRF；100704 PolicyException 字段未读取；100703 globalcontext CEL 库未限定命名空间。处置: 升级 Kyverno >= 1.19.1。

Capgo 批次（9 条，CVSS 8.6–8.7） : 多租户授权与 API Key 权限缺陷，含轮换高权限 org_super_admin 密钥并取回明文（100615）、跨租户图像完整性（100614）、已删除 Bundle 未认证下载（100622）、API Key 过期策略未强制（100628）等。处置: 升级 capgo.app 至最新版本。

Budibase 其余 5 条 : CVE-2026-100683（8.9）MySQL/MSSQL 列改名 DDL SQL 注入、100682（8.7）PWA 图标上传 ZIP symlink 任意写、100680（8.6）OpenAPI 导入任意文件读、100685/100686 跨工作区越权。处置: 升级 >= 3.45.0。

Joomla 扩展批次 : CVE-2026-94130（9.3）YouTube Gallery < 5.7.3 未认证 SQL 注入；CVE-2026-97160（9.4）UP 插件认证后 PHP 命令注入、97161（9.2）路径遍历/文件访问、97162（8.3）SQL 注入；CVE-2026-94131（8.3）AcyMailing Enterprise < 11.1.0 任意文件删除。处置: 分别升级 YouTube Gallery >= 5.7.3、UP 插件最新版、AcyMailing >= 11.1.0。

Hugo 批次（3 条） : CVE-2026-100690（8.7）Node.js 权限模型校验绕过、100692（8.7）挂载根符号链接逃逸、100693（8.6）IP 字面量大小写绕过。处置: 升级 Hugo >= v0.166.0。

GitPython CVE-2026-100689（8.7） : 未校验 .gitmodules 的 path 字段，更新子模块时可越界写入。处置: 升级 GitPython >= 3.1.62。

Grav CMS 批次（5 条，最高 8.8） : 组/账户蓝图权限提升（100670，8.7）、IIS 示例配置大小写敏感绕过访问控制（100669，8.7）、Twig 沙箱配置缺陷（100671，8.6）、Comments 插件未认证 JSON 数据泄露（100672，8.7）、Data Manager 插件存储型 XSS（100673，8.4）。处置: 升级 Grav >= 2.0.25 及相关插件。

WordPress 其余高危插件 : CVE-2026-96524（8.8）MCP Server for WordPress < 1.8.2 REST nonce 校验缺陷，可未认证执行管理操作；CVE-2026-77203（8.8）Groups 插件 <= 4.6.0 权限提升。处置: 升级对应插件至修复版本。

AI/基础设施组件零散高危 : vLLM 0.22.1–0.28.0 模型 revision pin 未传播至部分 HF 加载（CVE-2026-100653，8.3）；nodemailer < 10.0.6 地址解析正则二次回溯 ReDoS（100700，8.7）；Parse Server < 8.6.90 / 9.10.1-alpha.9 安装记录去重缺陷（100631，8.7）；stoatchat < 0.15.5 SVG 本地文件解析任意读（100676，8.8）与 MFA 挑战无限重试（100678，8.3）；Laranode < 1.2.1 路径遍历任意写（100520，8.7）；Budibase/Kyverno 等见上文批次。

CVE-2026-84095 / CVE-2026-84096（CVSS 8.0） wp-review-slider-pro < 12.7.12: AJAX 处理器缺少能力校验且 nonce 对访客可见，任意认证用户（含订阅者）可篡改评论数据。

CVE-2026-100702（CVSS 8.2） nodemailer < 10.0.2: 深嵌套收件人数组导致栈耗尽 DoS。

CVE-2026-100652（CVSS 8.2） vLLM 0.22.0–0.23.0: stop_token_ids 未校验词表边界，可致推理异常。

CVE-2026-100703（CVSS 8.3） Kyverno 1.16.0–1.19.0: globalcontext CEL 库未限定命名空间（随 Kyverno 批次升级）。

CVE-2026-100612（CVSS 8.6） Capgo sso_providers 表访问控制修复不完整（随 Capgo 批次升级）。

WSO2 多产品路径遍历漏洞 (在野利用) CVE-2026-5430 (KEV, CRITICAL)

影响WSO2 API Control Plane / API Manager / Traffic Manager / Universal Gateway

描述路径遍历可导致不受限文件上传并进一步实现远程代码执行，已确认在野利用，CISA 已于 9 月 24 日收入 KEV 目录。

行动立即按厂商指引应用缓解措施/补丁，排查互联网暴露面，遵循 CISA BOD 26-04 处置时限。

Adobe Commerce / Magento 授权校验缺陷 (在野利用) CVE-2026-71362 (KEV, CRITICAL)

影响Adobe Commerce 与 Magento 电商平台

描述不正确的授权校验允许攻击者无需用户交互即可越权访问敏感资源，已确认在野利用。

行动立即应用 Adobe 官方补丁，审计管理员账号与订单/客户数据访问日志。

HFS2 文件服务器双致命漏洞 CVE-2026-97359 / CVE-2026-97360 (CVSS 10.0, CRITICAL)

影响HFS2 (Http File Server) 2.4.0 及之前版本

描述① multipart 上传处理的模板注入，未认证攻击者通过恶意文件名即可远程执行任意命令；② 宏调度器缺乏授权模型 + 路径解析缺陷，未认证攻击者可对服务账户可及的任意文件进行读/写/追加/删除。另有 CVE-2026-97362 (CVSS 8.7) 单请求即可造成持久拒绝服务。

行动公网暴露的 HFS2 实例立即下线或升级；排查是否存在 webshell 与异常文件。

WordPress WAWP 插件未授权提权 CVE-2026-14281 (CVSS 9.8, CRITICAL)

影响Automation Web Platform – Notifications and OTP for WooCommerce 插件 <= 4.8.6

描述公开 REST 注册路由缺失权限校验，wawp_custom_fields 参数直接写入 user_meta，未认证攻击者可注册管理员账号；OTP 校验亦可被完全绕过。

行动立即升级/停用该插件，排查近期待新增管理员账号。

Honeywell PD45 工业打印机未认证 RCE CVE-2026-13249 (CVSS 9.8, CRITICAL)

影响Honeywell PD45 工业打印机固件 F10.19 版本

描述Web 管理界面存在未认证任意文件上传，可远程执行代码，完全接管打印设备；另有 CVE-2026-13248 (CVSS 8.8) 认证后任意文件写 RCE。

行动隔离打印机管理网段，等待/部署厂商固件更新。

nimble_zta Cloudflare Zero Trust 认证绕过 CVE-2026-91187 (CVSS 9.3, CRITICAL)

影响dashbit nimble_zta 0.1.2 (Elixir 库)，使用 Cloudflare Zero Trust 认证策略的应用

描述JWT 签名校验结果被丢弃，未认证攻击者可伪造任意 Cloudflare 服务令牌身份通过认证——凭据级设计缺陷。

行动升级至 0.1.3，审计依赖该库的服务访问日志。

ServiceNow AI Platform 未认证 SQL 注入/缺失授权 CVE-2026-13016 / CVE-2026-86860 (CVSS 9.3, CRITICAL)

影响ServiceNow AI Platform（自托管实例）

描述特定条件下未认证用户可执行任意 SQL 读写实例数据，或利用缺失授权提取数据并提权；厂商已为托管实例部署修复。同批另有 CVE-2026-86857/86858/86859 (CVSS 8.4–8.7) 授权绕过/访问控制缺陷。

行动自托管客户立即应用 ServiceNow 安全更新，核查实例异常查询日志。

OpenStack Zaqar 认证与预签名 URL 双绕过 CVE-2026-97404 (CVSS 9.2, CRITICAL)

影响OpenStack Zaqar < 22.0.2（WSGI 传输 + 启用认证策略的部署）

描述发送空 URL-Signature 头即可绕过 Keystone 认证与预签名 URL 校验，未认证攻击者知晓项目 UUID 即可读/写/删除队列与消息，叠加管理角色声明可执行管理操作。

行动升级至 22.0.2，审计队列服务访问日志。

Burp Suite DAST 认证绕过 CVE-2026-90481 (CVSS 9.2, CRITICAL)

影响PortSwigger Burp Suite DAST（原 Burp Suite Enterprise Edition）< 2026.8

描述可通过替代路径/通道绕过认证，直接访问企业扫描平台。

行动升级至 2026.8 或之后版本，限制管理面网络可达性。

CISA 通告 : CISA Adds Two Known Exploited Vulnerabilities to Catalog（即上述 CVE-2026-5430、CVE-2026-71362，联邦机构须按 BOD 26-04 限期修复）。

Velociraptor 权限提升 CVE-2026-19072 (CVSS 9.9): 低权限 “investigator” 角色可通过内部字段注入已编译 VQL，以管理员身份在服务端执行任意 VQL 语句。行动: 升级并收紧 hunt 调度权限。

Dokploy 命令注入 CVE-2026-93425 (CVSS 9.9): 认证成员通过 repoPath 注入 shell 元字符，以 root 在容器内执行命令。行动: 升级至 0.29.13。

IBM 产品批次 :

phpMyFAQ 三连发 : 2FA 认证绕过 CVE-2026-56737 (CVSS 8.1, 无需密码即可爆破 TOTP 接管含管理员在内的账户)、存储型 XSS CVE-2026-56736 (CVSS 8.2)、StopWords SQL 注入 CVE-2026-56738 (CVSS 8.5)。行动: 升级至 4.1.6 / 4.2.0-alpha。

Snipe-IT 资产管理系统三连发 : API token 流程绕过 2FA CVE-2026-63493 (CVSS 8.6)、上传文件 API 内联 XML 渲染存储型 XSS CVE-2026-63498 (CVSS 8.7)、自定义字段名存储型 XSS CVE-2026-62368 (CVSS 8.1)。行动: 升级至 8.7.0。

身份认证平台集中曝洞 :

开源/供应链生态预警 (GHSA 节选) :

Gerrit Code Review 双 DoS : CVE-2026-87721 (ANTLR 解析器嵌套括号 CPU 耗尽) / CVE-2026-87722 (正则指数级展开 OOM)，未认证远程可致服务不可用。行动: 升级 3.12.10 / 3.13.9 / 3.14.3。

WordPress 插件高危批次 : Customer Reviews for WooCommerce 未认证删除任意媒体附件 CVE-2026-89055 (CVSS 9.1)、Bookly 未认证 IDOR 泄露订单令牌/删单 CVE-2026-93399 (CVSS 9.1)、s2Member 认证前 RCE CVE-2026-19804 (CVSS 8.8)、Knit Pay 提权 CVE-2026-89426 (CVSS 8.8)、Elementor CSRF CVE-2026-62062 (CVSS 8.8)、Modula 任意文件删除 CVE-2026-92713 (CVSS 8.1)。

安全头条 :

Linux 内核批次 (20+ 枚) : SUNRPC GSS 凭据悬垂指针 CVE-2026-93207 (CVSS 9.8)、RDMA/rtrs-srv 整数下溢 CVE-2026-97413 (CVSS 9.8)、svcrdma 段计数校验 CVE-2026-93228 (CVSS 9.1)，以及 iwlwifi/cfg80211/ksmbd/nvme/ACPICA/virtio-fs/thunderbolt 等子系统 8.x 高危一批——关注发行版内核更新。

Altera Trusted Firmware (HPS) 八连发 (CVE-2026-13465/13466/13467/58004–58008, CVSS 8.3): 栈溢出/越界读写/不可信指针解引用，影响 socfpga_v2.14.0 之前版本。

网络与安全设备 : pfSense 仪表盘 LFI 致 PHP 代码执行 CVE-2026-97730 (CVSS 8.5)、Netlink HG323RW 路由器认证后 root RCE CVE-2026-96515 (CVSS 8.6)、Brocade SANnav 预共享密钥写入日志三连 CVE-2026-82371/82372/14443 (CVSS 8.4–8.5)、Dell ThinOS 10 缺失认证/证书校验 CVE-2026-81455/82157、Dell RCC 本地提权 CVE-2026-81473。

IoT/消费设备 : Botslab G980H 行车记录仪固件更新未验签 CVE-2026-81630 (CVSS 9.2) 及会话/授权缺陷三枚 (8.6–8.7)、Omni C20 证书校验缺失可 MitM→RCE CVE-2026-93291 (CVSS 9.3)、iSteamX MQTT 通配符越权 CVE-2026-95699 (CVSS 8.4)、Akia 无钥匙门锁越权开他人房门 CVE-2026-97898 (CVSS 8.4)。

数据库/中间件 : MongoDB C Driver 越界写 CVE-2026-96746、PyMongo 连接串解析缺陷 CVE-2026-96748、AWS pgcollection 类型混淆可以 postgres 用户 RCE CVE-2026-96883 (CVSS 8.7)、redis-parser DoS CVE-2026-97057、DCMTK DICOM 堆越界读 CVE-2026-97059、pulpcore 路径遍历可读 registry 签名私钥 CVE-2026-90959。

Web 应用/其他 : phpIPAM 越权 CVE-2026-97818、Taskview 未认证 OAuth 客户端注册接管账户 CVE-2026-93354、Logto SSRF CVE-2026-56739、BentoPDF CORS 代理 SSRF CVE-2026-77581、Discourse 存储型 XSS CVE-2026-91122、Termix 认证管理员 RCE CVE-2026-79766 (CVSS 9.1)、ITFlow SVG 附件 CVE-2026-97735、Root Browser Classic 命令注入 CVE-2026-85082、TREK LLM 端点劫持 CVE-2026-77294、OpenWA 二维码事件越权 CVE-2026-91160、code16 Sharp 存储型 XSS CVE-2026-61825、HFS2 单请求持久 DoS CVE-2026-97362、某配对流程命令注入 CVE-2026-93289 (CVSS 9.0, 未认证, 细节待披露)。