patch management
该标签下有 12 篇文章
SAP 2026 年 11 月安全补丁日：四个 CVSS 10.0 漏洞。先修补对外的 Web Dispatcher 和 ICM；如何确认是否受影响以及今天该做什么
2026 年 11 月 10 日，SAP 的安全补丁日发布了 35 条新的安全说明（Security Note）和 4 条 GitHub 安全公告，并更新了 3 条此前的说明。SAP 的列表将 9 行标为 Critical（严重）。其中四个为 CVSS 10.0：NetWeaver AS ABAP 的 Internet Communication Manager（ICM）中的内存破坏（CVE-2026-76964），SAP Web Dispatcher 中的内存破坏（CVE-2026-89126），SAP Gateway 中的访问控制缺陷（CVE-2026-89103），以及 AS ABAP 的 SAML2 服务提供方中的认证缺失（CVE-2026-120017）。CVE 记录称这四个漏洞均无需认证、可通过网络利用、无需用户交互（CVE-2026-120017 为在特定配置下）。另有三个为 CVSS 9.9（CVE-2026-109803、CVE-2026-76965、CVE-2026-109795），需要低权限登录。SAP 的列表没有提到被利用，该页面上的 CVE 均未列入 CISA 的 KEV 目录（11 月 10 日 19:00 UTC 版本）。在 CVE 记录所附的 CISA 评估中，我们能看到的四条均为 exploitation: none（未见利用）。SAP Note 的正文需要登录才能查看，本站未读取。本站的结论：先修补对外的 Web Dispatcher 和 ICM，在 SAP Note 中确认已修复的版本级别，并把包括重启在内的更新纳入计划。
OpenSSH 10.6p2 紧急修复（CVE-2026-123158）：已列入 CISA KEV；Alpine 等未启用 PAM 的 musl 系统上，sshd 无需密码即可登录
2026年11月5日，OpenSSH 发布 10.6p2，针对部分在禁用 PAM 的情况下构建并运行的 Linux 系统（尤其是 Alpine Linux 等使用 musl libc 的系统）上 sshd 的密码认证绕过问题，提供了关键的规避措施。对应 CVE 为 CVE-2026-123158（CVSS 3.1 基础分 8.1，来自 CVE 记录）。11月9日，CISA 将其加入已知被利用漏洞（KEV）目录，美国联邦机构的期限为11月12日。一家私营威胁情报公司报告称，在公开后不到九小时内就看到了攻击尝试，并在一个诱饵环境上成功一次；未报告生产系统受损，也未找到独立验证。Alpine Linux 于11月5日发布公告，并为各分支提供了修复后的软件包。据 Alpine 称，满足以下条件的主机受影响：启用了密码认证，某个账户的密码字段为星号，且另一账户持有常规哈希。启用 PAM、设置了 PasswordAuthentication no 的环境，以及不运行 sshd 的容器不受影响。本站的结论：如果您在 Alpine 或 OpenWrt、嵌入式 Linux 等其他基于 musl 的系统上运行 sshd，请今天就更新到修复后的软件包并重启 sshd，在此之前关闭密码认证，并检查认证日志。
Jenkins 2.588 和 LTS 2.580.2 修复 15 个漏洞（CVE-2026-117612 至 117626）：检查版本，以及更新后要复核什么
2026 年 10 月 28 日，Jenkins 项目发布安全公告，在每周版 2.588 和 LTS 2.580.2 中修复了 Jenkins 核心的 15 个漏洞（CVE-2026-117612 至 CVE-2026-117626）。受影响的是每周版 2.587 及更早版本和 LTS 2.580.1 及更早版本。公告将其中 13 个评为高危，2 个评为中危。大多数漏洞需要某种权限，例如 Overall/Read 或 Item/Configure（有些配置会向匿名用户授予 Overall/Read）。例外是 CVE-2026-117618，即初始设置向导中的竞态条件，使未经身份验证的用户能在初始设置期间创建管理员账户，因此对暴露在互联网上的新安装 Jenkins 实例而言优先级更高。公告列出的唯一变通措施，是在更新引发问题时关闭新增检查的设置，以及强制启用内容安全策略（CSP），后者可限制三个 XSS 漏洞的已知影响；真正的修复是更新。截至 11 月 3 日，本站未发现可信的被利用报告，这 15 个漏洞也均不在 CISA 的已知被利用漏洞（KEV）目录中。本站的结论：确认您的 Jenkins 版本，更新到 2.588（LTS 2.580.2），不要让 Jenkins 暴露在互联网上，也不要给匿名用户任何权限，并在更新后复核用户、管理员和代理节点。
针对Synology DSM的勒索软件攻击：过时版本经2024年12月已修复的漏洞遭攻击，今天该更新和检查什么（SA-24:20）
2026年10月29日，Synology表示已发现威胁行为者利用2024年12月已修补的一个漏洞，攻击运行过时DSM版本的设备，意图加密数据并勒索赎金。Synology强烈敦促所有使用存在漏洞版本的用户立即更新DSM，并建议开启自动更新。公告指向Synology-SA-24:20，其修复版本为：DSM 7.2.2为7.2.2-72806-1或更高，7.2.1为7.2.1-69057-6，7.2为7.2-64570-4，7.1为7.1.1-42962-7，6.2为6.2.4-25556-8。该公告列出三个CVE，Synology没有说明其中哪一个正被利用。公司尚未公布受害者数量或任何攻击者名称。本站的结论：今天就检查您的DSM版本，更新到修复版本或更高，且不要将DSM管理界面暴露在互联网上。请保留一份与NAS分开、且无法从NAS覆盖的备份。
WordPress 7.1.4 漏洞 CVE-2026-119977：可能导致远程代码执行的核心更新竞态条件已修复；请检查版本与自动更新
2026年10月28日，WordPress 项目发布安全版本 7.1.4，修复了核心更新过程中一个可能导致远程代码执行的漏洞。据 WordPress 的 GitHub 安全公告，在使用完整安装包进行核心更新时，WordPress 会把新文件解压到可通过网络访问的升级目录内一个可预测的目录中，未经认证的攻击者如果在解压期间赢得竞态，就可能实现远程代码执行（RCE）。修复包含在 7.1.4 中，并已回移到一直追溯至 4.7 的所有分支（7.0.8、6.9.11、6.8.12 等）。CVE-2026-119977 于10月31日由担任 CNA 的 Wordfence 发布，CVSS v3.1 评分为 8.1（高危），攻击复杂度为高；WordPress 的公告将其评为低，并未给出评分。据 SecurityWeek 报道，一家 WordPress 安全厂商在部署防火墙规则9分钟后首次命中，并在最初21小时内记录到超过18,500个针对临时更新位置的请求；该厂商表示未报告任何成功入侵。CISA 于11月3日将该 CVE 列入其已知被利用漏洞（KEV）目录（KEV 条目给出美国联邦机构的截止日期为11月6日，CISA 除要求打补丁外，还要求联邦机构依据 BOD 26-04 进行取证分级排查）。启用了后台自动更新的站点应会自行更新；关闭了自动更新的站点应在“更新”页面手动更新。本站结论：把它当作已被利用的漏洞，今天就更新；如果你更新较晚，请检查是否有被入侵的迹象（本站的建议）。
Capcom 勒索软件事件（2020）—— 一台旧 VPN 设备为何成为入口，以及对双重勒索的防御
入口是一台旧备用 VPN 设备——在新设备替换后，它仍留在北美子公司里继续运行。攻击者借此侵入内网、窃取数据，再用勒索软件加密系统（双重勒索）。最多约 39 万人份的个人信息可能泄露（不含信用卡数据）。Capcom 拒绝付款，从备份恢复，并透明披露。要在你的环境里防御：停用弃置设备、修补边界设备，并同时覆盖窃取与加密（隔离、检测、备份）。
WordPress 安全 — 生产环境加固实务参考
WordPress 占有最大市场份额，因此也是最大的攻击目标，但入侵途径是可预测的（插件/主题漏洞、拖延更新、弱管理员、暴露的管理后台）。本页是一份可上手的实务参考：(1) 按优先级排序的加固检查清单（P0–P2）；(2) 分领域指南——自动更新、插件/主题最小化、强管理员 + 双因素认证、降低管理后台暴露（xmlrpc/REST 枚举/文件编辑）、wp-config 与密钥、文件权限、HTTPS/备份、PHP/依赖的更新；(3) 一份自我验证清单。仅限防御——不含攻击步骤。
什么是恶意软件？类型、感染途径与基本防御
恶意软件（Malicious Software）是为危害你的设备或数据而制作的不良软件的统称。病毒·蠕虫·木马·勒索软件·间谍软件·僵尸程序都是它旗下的一部分。无论外表多么不同，防御方式都是共通的三项：防止感染（更新·不打开可疑附件/宏·MFA）、检测（EDR·杀毒软件）、能够恢复（备份）。比起记住类型名称，做好这些共通的防御重要得多。
什么是勒索软件 —— 工作原理、入侵途径与「不付款」的防御
勒索软件是一种加密文件并要求「想恢复就付赎金」的恶意软件。如今除了加密，还会窃取数据并威胁「不付款就公开」，这种双重勒索已成主流——即使能解密，信息泄露也无法挽回。主要入侵口是钓鱼、弱口令/无 MFA 的 VPN/RDP，以及未修补的对外公开漏洞。最重要的防御是「离线/防篡改备份＋恢复演练」——打造无需付款也能恢复的状态。同时也要防止入侵（MFA·补丁），并限制损害范围（最小权限·隔离）。
MOVEit 大规模数据泄露（2023）—— SQL 注入零日漏洞波及 2,700 多家组织的原因与防御
入口是面向互联网公开的文件传输产品 MOVEit Transfer 的 SQL 注入零日漏洞（CVE-2023-34362）。攻击者植入 Web shell（LEMURLOOT），从后端数据库批量窃取数据，致 2,700 多家组织、约 9,330 万人的数据外泄。许多受害者是因为外包方、合作方使用了 MOVEit 而被间接牵连。在你的环境中，可通过 KEV 即时打补丁、最小化暴露面、Web↔DB 的最小权限与隔离、外包方盘点与数据最小化来防范。
还在用 Windows 10 的人请注意：支持终止后的安全风险
通常版 Windows 10 Home/Pro 系列 22H2 已于 2025 年 10 月 14 日结束支持。2026 年 10 月 16 日核对的官方说明将个人 ESU 期限列为 2027 年 10 月 12 日，已登记者自动延续。请检查设备登记与更新状态、所在地区的条件，并优先迁移到持续更新的操作系统。LTSC/IoT 与企业 ESU 属于不同制度。
Equifax 信息泄露事件（2017）——未打补丁的 Apache Struts 导致 1.47 亿人泄露的原因与防御
原因是已经发布修复补丁的已知 CVE（CVSS 10.0）没有被应用到公开系统上。监控设备因证书失效导致长达 76 天都没察觉数据外带，使损失扩大。在你的环境里，要用资产盘点、补丁 SLA、机器监控、检测健全性来防止重演。