远程代码执行
该标签下有 3 篇文章
Orkes Conductor CVE-2026-58138：无需身份验证即可执行操作系统命令，已观测到攻击尝试（请更新到 3.30.2 或更高版本）
CVE-2026-58138 是 Conductor 中的一个漏洞。Conductor 是 conductor-oss 项目的开源工作流引擎，CVE 记录中称其为 Orkes Conductor。在 3.21.21 至低于 3.30.2 的版本中，由于脚本求值器没有沙箱隔离，远程攻击者只需向工作流 API 提交包含 JavaScript 或 Python 表达式的工作流定义，即可在无需身份验证的情况下执行操作系统命令。该 CVE 于2026年6月30日公布，CVSS 为 9.8（v3.1）和 9.3（v4.0）。修复包含在6月3日发布的 3.30.2 中，但其发布说明只写了进一步限制 JavaScript 引擎。一家网络安全厂商在9月报告称，其入侵防御服务在一天内拦截了 1,290 次攻击尝试，七天内拦截了 6,696 次。这些是被拦截的尝试，而不是已确认的入侵。截至10月31日，该 CVE 不在 CISA 的 KEV 目录中，NVD 也尚未分析（状态为 Deferred）。本站的结论：如果您自行运行 Conductor，请立即升级到 3.30.2 或更高版本，不要让其 API 暴露在互联网上；如果受影响的版本曾可从外部访问，请按可能已被入侵的前提进行检查。
Plex2Shell：Plex Media Server 的四个 CVE 已在野外被利用（请更新到 1.43.3.10861 或更高版本）
Plex2Shell 是一位安全研究人员为 Plex Media Server 中四个漏洞起的名称：CVE-2026-96652、CVE-2026-96654、CVE-2026-96655 和 CVE-2026-96656。Plex 表示，将它们串联起来后，未经身份验证的远程攻击者可以以 Plex Media Server 进程的权限执行代码。四个漏洞均已在2026年8月4日向所有用户发布的 1.43.3.10861 中修复。Plex 在10月19日（UTC）写道，在10月16日出现公开的概念验证代码之后，这些漏洞正被积极且广泛地利用，被入侵的服务器被用来运行加密货币挖矿程序和代理软件。CISA 于10月20日将四个漏洞全部加入其已知被利用漏洞（KEV）目录，截止日期为10月23日和11月3日。每个 CVE 单独的评分只有 4.3 至 7.2（CVSS v3.1）。本站的结论：如果您运行 Plex Media Server，请今天就确认其版本为 1.43.3.10861 或更高；除非需要远程访问，否则不要直接暴露 32400 端口；如果旧版本曾可从互联网访问，请按照 Plex 的入侵检查步骤进行检查，如有疑问就重建。
SharePoint Server CVE-2026-65660：已登录用户可执行代码，已被利用（请安装2026年8月的更新）
CVE-2026-65660 是本地部署的 Microsoft SharePoint Server（Subscription Edition、2019 和 Enterprise 2016）中的一个代码注入漏洞。据 Microsoft 称，拥有低级别访问权限的已验证攻击者可以发送特制的请求，在服务器上执行代码，无需用户交互。其 CVSS 评分为 8.8。修复包含在2026年8月11日的安全更新中。Microsoft 最初将其作为欺骗漏洞发布，并于8月27日改为远程代码执行。9月25日，Microsoft 补充称已有观察到攻击的可靠证据，CISA 也在同一天将其加入 KEV 目录，截止日期为9月28日。一家安全公司在9月24日报告称，蜜罐上观察到的攻击尝试将该漏洞与另一个问题组合在一起；据报道，那个问题已于2026年6月修复，它可以让请求在允许匿名浏览的站点上无需登录即可送达。本站的结论：如果您运行 SharePoint Server，请确认每台服务器都达到或高于修复版本号，确保2026年6月的更新也已安装，审查匿名访问，并检查更新滞后的服务器是否有被入侵的迹象。