漏洞快报
正在被实际利用的漏洞(CISA KEV)按最新排序。每个 CVE 均附带利用概率(EPSS)与严重程度(CVSS)，从防御视角帮助你判断「是否需要立即修复」的信息流。
阅读解析
- CVE-2026-111793 — Openwave Webtop Media Transcoder 绕过文件类型限制：解析与对策（已在 1.1.22.0 修复，已观察到攻击，已列入 KEV） →
- CVE-2026-116606 与 CVE-2026-111560 — Barracuda Email Security Gateway 认证绕过与操作系统命令注入：解析与对策（已列入 KEV，期限为11月13日，需要检查是否被入侵） →
- CVE-2026-124194 — Microsoft Outlook 欺骗漏洞会泄露 NTLMv2 哈希：解析与对策（已在 11 月补丁星期二修复，已列入 KEV） →
- CVE-2026-125350 — Google Chrome XML 释放后使用漏洞已被在野利用：解析与对策（已在 157.0.8103.50 修复，已列入 KEV） →
- CVE-2026-20320 — Cisco BroadWorks XXE 让未经认证的攻击者读取配置信息：解析与对策（已在 RI.2026.07 修复，已列入 KEV） →
- CVE-2026-102895 — GPUStack 让未认证攻击者冒充管理员：解析与对策（CVSS 9.8，已在 2.2.0 修复，已被利用） →
- CVE-2026-116779 — FreeSWITCH 的 SIP MESSAGE 处理让攻击者执行 API 命令和操作系统命令：解析与对策（已在 1.11.3 修复，已被利用，已列入 KEV） →
- CVE-2026-123218 — IBM Aspera Faspex 5 授权绕过让攻击者获得管理员权限：解析与对策（已在 5.0.19 PL1 修复，已列入 KEV） →
- CVE-2026-123551 — OpenAM 通知 WebSocket 允许未认证攻击者读取会话令牌：解析与对策（CVSS 10.0，已在 16.1.4 修复） →
- CVE-2026-45247 — Magento 扩展的 PHP 对象注入导致免认证 RCE（解析与对策） →
在 Google Chrome 157.0.8103.50 之前的版本中，XML 组件存在释放后重用（Use after free）漏洞。远程攻击者可通过精心构造的 HTML 页面，在沙箱内执行任意代码。（Chromium 安全严重程度：高）
Barracuda Email Security Gateway 9.4.0.030 之前的版本存在一个身份验证绕过漏洞，未经身份验证的远程攻击者可调用配置导入功能，并还原经过精心构造的兼容备份归档文件，从而未经授权修改设备的全局配置。
漏洞存在于 Cisco BroadWorks 的开放客户端接口（OCI）XML 解析器中，未经身份验证的远程攻击者可利用该漏洞读取受影响系统上的敏感配置信息。 该漏洞的成因是 XML 条目解析不当，原因在于默认允许解析外部实体。攻击者可向开放客户端接口–配置（OCI-P）服务发送精心构造的 XML 消息来利用此漏洞。成功利用后，攻击者可以以 Cisco BroadWorks 用户的权限查看文件系统中的敏感文件。
在特定 Barracuda 设备产品中，时区配置字段对 shell 元字符的处理不当（未正确转义或过滤），且该问题存在于其通用 Barracuda 代码中。已通过身份验证的管理员可注入操作系统命令；当构造的时区值随后被处理时，这些命令将以 root 权限执行。
KEV 收录: 2026-11-10官方(NVD) →Microsoft Office Outlook 的用户界面未能对不安全操作发出警告，允许未经授权的攻击者通过网络实施欺骗（spoofing）攻击。
Openwave Webtop Media Transcoder 未强制执行管理员定义的文件类型限制，无法限制可被转换的文件类型。若用户绕过 Webmail 界面，已通过身份验证的用户可能借此处理和转换非预期的文档类型。
在 musl libc 且未使用 PAM 的 Linux 系统上，OpenSSH 10.6p2 之前版本的 sshd 存在密码认证绕过问题。该问题与对字符串是否为密码哈希的误判有关，而相应的缓解措施缺失。对于某些账户配置，长度在 256 至 1024 个字符之间的任意密码均可通过认证。Alpine Linux 即为使用 musl libc 且未使用 PAM 的平台示例。
KEV 收录: 2026-11-09官方(NVD) →FreeSWITCH 是一个软件定义的电信协议栈，可将传统专有电信交换机转变为运行在通用商用硬件上的软件实现，推动电信行业的数字化转型。在 1.11.3 之前的版本中，`sofia_presence_handle_sip_i_message()` 会以加号（+）拆分入站 SIP MESSAGE 的 To 用户部分，并将左侧内容视为聊天协议选择器。当选择 `api` 聊天协议时，请求会进入 `switch_api_execute()`，使其消息被接受的对端能够以守护进程的权限执行 FreeSWITCH API 命令，包括操作系统命令接口。默认的 internal 和 external 配置文件启用了入站聊天功能，任何经过身份验证的配置文件账户即可满足要求；在受影响的配置中，默认目录用户若没有密码凭据，也可以绕过这一限制。该漏洞可导致配置和凭据泄露、任意呼叫控制以及命令执行，且已观察到在野利用。此问题已在 1.11.3 版本中修复。
IBM Aspera Faspex 5.0.0 至 5.0.19 版本中，已获授权的用户可以构造特定消息，绕过用户授权机制，从而获得完全的管理员权限。
GPUStack 是一个开源的 GPU 集群管理器，用于 AI 模型服务和 GPU 实例配置。在 2.2.0 之前的版本中，gpustack/api/auth.py 里的 get_current_user 在 force_auth_localhost 为 false（默认值）时，会把来自回环地址的请求视为内置管理员。由于 client_ip_getter 接受同主机反向代理的对端地址，或客户端自行提供的 X-GPUStack-Real-IP 回环值，远程请求可以伪装成来自 127.0.0.1。该绕过使攻击者无需认证即可执行管理操作，包括修改用户和模型、创建持久化的管理员 API 密钥、泄露工作节点和云服务商的敏感凭据，以及通过 POST /v2/inference-backends/from-yaml 执行任意代码。已观察到有人在野外利用该漏洞攻击 2.1.1 版本的部署。该问题已在 2.2.0 版本中修复。
SonicOS SSLVPN 服务中存在一个身份验证强制执行漏洞,可能导致拥有备用身份验证方式有效凭据的用户绕过 SAML 身份验证控制。成功利用该漏洞还可能绕过由 SAML 强制执行的多因素身份验证(MFA)。
KEV 收录: 2026-11-06官方(NVD) →在改进的检查机制下解决了此问题。该问题已在 Safari 17.5、iOS 16.7.8 和 iPadOS 16.7.8、iOS 17.5 和 iPadOS 17.5、macOS Sonoma 14.5、tvOS 17.5、watchOS 10.5 中修复。拥有任意读写能力的攻击者可能能够绕过指针认证（Pointer Authentication）。
KEV 收录: 2026-11-04官方(NVD) →WordPress 核心存在远程代码执行漏洞，影响版本 4.7 至 7.1.3。该漏洞源于完整软件包核心升级过程中使用的临时暂存路径可预测且可通过 Web 访问。因此，未经身份验证的攻击者可能在升级窗口期间在服务器上执行代码。
KEV 收录: 2026-11-03官方(NVD) →Ivanti Connect Secure 22.8R2.4 中，dsinvoked 代理对 DSCache 配置数据的信任处理方式存在缺陷，可导致权限提升至 root。该漏洞已于 2026 年 10 月被在野利用。
KEV 收录: 2026-10-30官方(NVD) →Ivanti Connect Secure 存在一个可预测的数字或标识符生成漏洞，远程已认证的攻击者可利用该漏洞向磁盘上的已知位置上传内容由攻击者控制的文件。该漏洞可与 CVE-2026-104935 和 CVE-2026-111357 串联利用。
KEV 收录: 2026-10-30官方(NVD) →GitLab 已修复 GitLab CE/EE 中的一个问题。该问题影响 19.2 至 19.2.8 之前的所有版本、19.3 至 19.3.5 之前的所有版本以及 19.4 至 19.4.2 之前的所有版本。在特定条件下,未经身份验证的用户可能通过 CI/CD 配置中经过特殊构造的正则表达式,在 GitLab 服务器上执行任意代码,其根本原因是正则表达式验证不充分。
KEV 收录: 2026-10-29官方(NVD) →Cisco Secure Firewall 自适应安全设备（ASA）软件和 Cisco Secure Firewall 威胁防御（FTD）软件的远程访问 SSL VPN 服务中存在一个漏洞，未经身份验证的远程攻击者可利用该漏洞使设备意外重新加载，从而导致拒绝服务（DoS）状况。该漏洞是由于在隧道组上配置辅助身份验证时存在逻辑错误所致。攻击者可在连接 SSL 远程访问 VPN 时发送精心构造的请求来利用此漏洞。成功利用后，攻击者可使受影响的设备重新加载，从而导致拒绝服务状况。
KEV 收录: 2026-10-29官方(NVD) →在 Linux 内核中，以下漏洞已得到修复： net: skbuff: 在合并过程中保留共享分片标记 skb_try_coalesce() 可能会将 @from 中的分页分片（paged frags）附加到 @to 上。如果 @from 设置了 SKBFL_SHARED_FRAG，那么生成的 @to skb 可能包含相同的外部所有或页缓存支持的分片，但共享分片标记却丢失了。 这破坏了后续原地写入者所依赖的不变量。具体而言，ESP 输入路径会先调用 skb_has_shared_frag() 来判断一个未克隆的非线性 skb 是否可以跳过 skb_cow_data()。如果 TCP 接收合并已将共享分片移入一个未带标记的 skb，ESP 就可能误判 skb_has_shared_frag() 为假，从而直接在页缓存支持的分片上进行原地解密。 因此，当 skb_try_coalesce() 转移分页分片时，应传播 SKBFL_SHARED_FRAG 标记。尾部空间复制路径不需要该标记，因为它是将字节复制到 @to 的线性数据区，而不是转移分片描述符。
KEV 收录: 2026-10-28官方(NVD) →VMware ESX 存在日志记录不足漏洞。恶意管理员可利用此问题执行某些操作，且这些操作不会被记录。
KEV 收录: 2026-10-28官方(NVD) →漏洞描述：Google Brotli 1.0.3 至 1.2.0 版本（所有平台）的解码器（c/dec/decode.c）中存在一个缓冲区溢出漏洞。远程未经身份验证的攻击者可利用精心构造的 Brotli 压缩数据流，破坏相邻的解码器状态内存，泄露敏感内存内容，导致拒绝服务，或可能执行任意代码。 修复建议：用户应将 1.0.3 至 1.2.0 之间的所有 Brotli 库或二进制文件更新至最新可用版本：1.0.10、1.1.1 或 1.2.1。
KEV 收录: 2026-10-27官方(NVD) →Adobe Commerce 存在一个"危险类型文件无限制上传"漏洞(Unrestricted Upload of File with Dangerous Type),可能导致在当前用户上下文中执行任意代码,从而使攻击者可能获得提升的权限,或控制受害者的账户或会话。利用此问题需要用户交互,即受害者必须访问经过恶意构造的 URL 或与被入侵的网页进行交互。影响范围已改变(Scope is changed)。
KEV 收录: 2026-10-27官方(NVD) →PHP 中存在多种全局状态，它们会临时指向请求内存。在某些场景下，这些全局状态可能未被正确重置，或在重置之后又被重新填充。此时，全局状态可能在请求内存被释放之后仍然指向该内存。后续请求可能会在状态被完全初始化之前读取或依据这些陈旧状态进行分支判断。多种触发策略都可能导致这一情况，并进而引发远程代码执行（RCE）。
KEV 收录: 2026-10-26官方(NVD) →PHP 使用 longjmp() 在发生内存耗尽（OOM）错误时退出当前上下文，并中止对请求的处理。某些上下文可能没有正确考虑这种情况，在执行内存分配之前，使请求内存处于未初始化状态。随后的请求清理流程可能会读取或依据该内存进行分支判断。多种 OOM 处理策略都能稳定触发这一情况，并可能导致远程代码执行（RCE）。
KEV 收录: 2026-10-26官方(NVD) →Collabora Online 内置 CODE 服务器（richdocumentscode）在 26.4.303 之前的版本存在问题，该 Nextcloud 应用中存在远程代码执行漏洞，该漏洞已于 2026 年 9 月和 10 月被在野利用，且与 CVE-2025-66208 为不同的漏洞。该漏洞是 proxy.php 中的操作系统命令注入，发生在 CODE 服务器未运行时（例如产品近期被重启）。独立部署的 Collabora Online 服务器不受此漏洞影响，仅使用 CODE 服务器的部署会受到影响。
KEV 收录: 2026-10-23官方(NVD) →VeloCloud Orchestrator（VCO）本地部署版存在一个安全问题：远程攻击者可能借此访问仅供内部使用的特权功能，并对 VCO 主机造成影响。成功利用该漏洞可能危及编排器及其管理数据的机密性、完整性和可用性。 在受影响的系统上，任何已通过身份验证的用户都可以获取操作员权限，并冒充本地"超级用户操作员"（superuser operator）账户。这包括访问仅供内部使用、原本不应对外远程开放的功能。 VCO 的托管版本（包括专用版，Dedicated）同样受到影响，相关问题已修复。
KEV 收录: 2026-10-23官方(NVD) →Plex Media Server 1.43.3.10861 之前的版本允许管理员用户写入可能在加载时被执行的任意文件。偏好设置项 TranscoderH264Options 会在每次转码时原样追加到 x264 的选项字符串中。服务启动时，所有 .so 文件都会被执行，且不进行签名、可执行位或符号检查。
KEV 收录: 2026-10-20官方(NVD) →SiteGuard Server Edition 存在操作系统命令注入漏洞，攻击者可能利用该漏洞，在运行受影响产品的系统上以 root 或 SYSTEM 权限执行任意操作系统命令。
KEV 收录: 2026-10-20官方(NVD) →西门子软件中心（Siemens Software Center，所有版本 < V4.0.9.8）中存在一个安全漏洞。受影响的应用程序从不受控的搜索路径加载动态链接库（DLL）。经过身份验证的本地攻击者可能利用该漏洞，将精心构造的 DLL 放置到应用程序会搜索的目录中，从而以受影响应用程序的权限执行任意代码。
KEV 收录: 2026-10-20官方(NVD) →Plex Media Server 1.43.3.10861 之前的版本未能正确中和 "searchOne" 中包含的 URL 值，攻击者可借此调用其他插件的函数并提供自定义参数。
KEV 收录: 2026-10-20官方(NVD) →Plex Media Server 1.43.3.10861 之前的版本存在服务端请求伪造（SSRF）漏洞，相关问题出现在 `/player/timeline` 接口。攻击者只需使用任意 X-Plex-Token 值，并在 `protocol` 参数中包含完整 URL，即可迫使 Plex 服务器向攻击者指定的目标地址发送 POST 请求。
KEV 收录: 2026-10-20官方(NVD) →Plex Media Server 1.43.3.10861 之前的版本允许已认证用户通过 '/video/:/transcode/universal' 路径参数请求任意内部或外部地址。
KEV 收录: 2026-10-20官方(NVD) →该漏洞存在于 BeyondTrust Remote Support 产品的内部组件中。这些组件未能充分验证其所接收消息的来源。在特定条件下，攻击者可能借此对设备执行文件操作。
KEV 收录: 2026-10-16官方(NVD) →未经适当限制的路径名访问受限目录（"路径遍历"）[CWE-22] 漏洞影响 Fortinet FortiOS 7.6.0 至 7.6.4、FortiOS 7.4.0 至 7.4.9、FortiOS 7.2 全版本、FortiOS 7.0 全版本、FortiOS 6.4 全版本，FortiPAM 1.7.0、FortiPAM 1.6 全版本、FortiPAM 1.5 全版本、FortiPAM 1.4 全版本、FortiPAM 1.3 全版本、FortiPAM 1.2 全版本、FortiPAM 1.1 全版本、FortiPAM 1.0 全版本，FortiProxy 7.6.0 至 7.6.4、FortiProxy 7.4.0 至 7.4.11、FortiProxy 7.2 全版本、FortiProxy 7.0 全版本，以及 FortiSwitchManager 7.2.0 至 7.2.7、FortiSwitchManager 7.0.0 至 7.0.6。具有管理员配置文件且至少拥有读写权限的已认证攻击者，可能通过特定的 CLI 命令写入或删除任意文件。
KEV 收录: 2026-10-16官方(NVD) →Bitbucket Data Center、Confluence Data Center、Jira Service Management Data Center、Jira Software Data Center、Bamboo Data Center、Crowd Data Center、Crucible 和 Fisheye 中存在一个任意文件访问漏洞。未经身份验证的攻击者可利用该漏洞访问受影响版本中 Web 应用根目录下的特定文件。利用该漏洞需要事先知道目标文件的确切名称和路径;该漏洞不允许攻击者枚举或列出目录内容。在某些配置下,若存在敏感文件,该漏洞的严重性会显著提高。 该漏洞允许未经身份验证的远程攻击者访问受影响版本中 Web 应用根目录下的特定文件。必须针对以下受影响版本进行修复: - Bitbucket Data Center,引入版本 ≥ 4.6.0,修复版本:9.4.26、10.2.8、10.5.1 - Confluence Data Center,引入版本 ≥ 5.10.0,修复版本:9.2.26、10.2.19 - Crowd Data Center,引入版本 ≥ 2.11.0,修复版本:6.3.7、7.0.3、7.1.7、7.2.4 - Jira Software Data Center,引入版本 ≥ 7.1.0,修复版本:9.12.40、10.3.26、11.3.12 - Jira Service Management Data Center,引入版本 ≥ 3.1.0,修复版本:5.12.40、10.3.26、11.3.12 - Bamboo Data Center,版本 ≥ 7.0.1,修复版本:10.2.24、12.1.12 - Crucible,修复版本:4.9.15 - Fisheye,修复版本:4.9.15 利用该漏洞需要事先知道目标文件的确切名称和路径。该漏洞不包含枚举或列出目录内容的能力。
KEV 收录: 2026-10-15官方(NVD) →Ahsay AhsayCBS 10.3.2 及之前版本中发现一个缺陷。该漏洞影响 Replication Receiver 组件的 /rps/api/json/UpdateReceivers.do 文件中的未知代码。通过操纵参数 random 可执行操作系统命令注入。攻击可远程发起。该漏洞的利用代码已公开发布，可被使用。升级至 10.3.4 版本可解决此问题。建议升级受影响的组件。
KEV 收录: 2026-10-14官方(NVD) →在 Ahsay AhsayCBS 直至 10.3.2 版本中检测到一个漏洞。该漏洞影响 API 组件中文件 com/ahsay/obs/api/ApiStructsAction.java 的 checkSysPwd 函数。通过操纵参数 random 可导致身份验证不当。攻击者可远程发起攻击。该漏洞的利用代码现已公开，可被使用。升级至 10.3.4 版本可缓解此问题。建议升级受影响的组件。
KEV 收录: 2026-10-14官方(NVD) →思科安全邮件网关高级恶意软件防护（AMP）功能中的一个漏洞可能允许未经身份验证的远程攻击者在底层操作系统上写入任意文件。 该漏洞源于在启用文件信誉服务时对电子邮件附件处理不当。攻击者可通过受影响的设备发送包含精心构造附件的电子邮件来利用此漏洞。成功利用后，攻击者可在底层操作系统上以root权限写入任意文件并执行命令。
KEV 收录: 2026-10-14官方(NVD) →在 Palo Alto Networks PAN-OS® 软件的管理界面中存在一个远程代码执行（RCE）漏洞，经过身份验证的攻击者只要具备网络访问权限，即可在防火墙上以 root 权限执行任意代码。 将管理界面访问限制为仅受信任的内部 IP 地址，可以最大程度降低该问题带来的安全风险。具体做法请参阅我们推荐的最佳部署指南：https://live.paloaltonetworks.com/t5/community-blogs/tips-amp-tricks-how-to-secure-the-management-access-of-your-palo/ba-p/464431 。 该问题适用于 PA 系列和 VM 系列防火墙，以及 Panorama（虚拟版和 M 系列）上的 PAN-OS 软件。 Cloud NGFW 和 Prisma® Access 不受此漏洞影响。
KEV 收录: 2026-10-14官方(NVD) →Ivanti Connect Secure 存在一个通过伪造身份实现的认证绕过漏洞，远程未认证攻击者可利用该漏洞执行任意命令。
KEV 收录: 2026-10-13官方(NVD) →在 Windows Shell 中，由于对命令中使用的特殊元素处理不当（“命令注入”），未经授权的攻击者可通过网络绕过安全功能。
KEV 收录: 2026-10-13官方(NVD) →
优先级 = KEV(正在被实际利用) ＋ EPSS(30 天内被利用的概率) ＋ CVSS(严重程度) 的综合。本信息流以防御为目的，不涉及攻击代码或 PoC。各 CVE 的详情链接至官方来源(NVD)。