漏洞
该标签下有 45 篇文章
SAP 2026 年 11 月安全补丁日：四个 CVSS 10.0 漏洞。先修补对外的 Web Dispatcher 和 ICM；如何确认是否受影响以及今天该做什么
2026 年 11 月 10 日，SAP 的安全补丁日发布了 35 条新的安全说明（Security Note）和 4 条 GitHub 安全公告，并更新了 3 条此前的说明。SAP 的列表将 9 行标为 Critical（严重）。其中四个为 CVSS 10.0：NetWeaver AS ABAP 的 Internet Communication Manager（ICM）中的内存破坏（CVE-2026-76964），SAP Web Dispatcher 中的内存破坏（CVE-2026-89126），SAP Gateway 中的访问控制缺陷（CVE-2026-89103），以及 AS ABAP 的 SAML2 服务提供方中的认证缺失（CVE-2026-120017）。CVE 记录称这四个漏洞均无需认证、可通过网络利用、无需用户交互（CVE-2026-120017 为在特定配置下）。另有三个为 CVSS 9.9（CVE-2026-109803、CVE-2026-76965、CVE-2026-109795），需要低权限登录。SAP 的列表没有提到被利用，该页面上的 CVE 均未列入 CISA 的 KEV 目录（11 月 10 日 19:00 UTC 版本）。在 CVE 记录所附的 CISA 评估中，我们能看到的四条均为 exploitation: none（未见利用）。SAP Note 的正文需要登录才能查看，本站未读取。本站的结论：先修补对外的 Web Dispatcher 和 ICM，在 SAP Note 中确认已修复的版本级别，并把包括重启在内的更新纳入计划。
OpenSSH 10.6p2 紧急修复（CVE-2026-123158）：已列入 CISA KEV；Alpine 等未启用 PAM 的 musl 系统上，sshd 无需密码即可登录
2026年11月5日，OpenSSH 发布 10.6p2，针对部分在禁用 PAM 的情况下构建并运行的 Linux 系统（尤其是 Alpine Linux 等使用 musl libc 的系统）上 sshd 的密码认证绕过问题，提供了关键的规避措施。对应 CVE 为 CVE-2026-123158（CVSS 3.1 基础分 8.1，来自 CVE 记录）。11月9日，CISA 将其加入已知被利用漏洞（KEV）目录，美国联邦机构的期限为11月12日。一家私营威胁情报公司报告称，在公开后不到九小时内就看到了攻击尝试，并在一个诱饵环境上成功一次；未报告生产系统受损，也未找到独立验证。Alpine Linux 于11月5日发布公告，并为各分支提供了修复后的软件包。据 Alpine 称，满足以下条件的主机受影响：启用了密码认证，某个账户的密码字段为星号，且另一账户持有常规哈希。启用 PAM、设置了 PasswordAuthentication no 的环境，以及不运行 sshd 的容器不受影响。本站的结论：如果您在 Alpine 或 OpenWrt、嵌入式 Linux 等其他基于 musl 的系统上运行 sshd，请今天就更新到修复后的软件包并重启 sshd，在此之前关闭密码认证，并检查认证日志。
SonicWall SonicOS SSL-VPN CVE-2026-19868：SAML 及其 MFA 可被绕过，已列入 CISA KEV（请升级 Gen7 和 Gen8）
CVE-2026-19868 是 SonicWall 防火墙操作系统 SonicWall SonicOS 的 SSL-VPN 服务中的一个漏洞。根据 SonicWall 在2026年11月6日发布的公告 SNWLID-2026-0014，在为 SSL-VPN 登录启用了 SAML 的防火墙上，持有另一种身份验证方式有效凭据的用户可能绕过 SAML 身份验证控制，以及随之绕过 SAML 所强制的多因素认证（MFA）。SonicWall 表示，其安全团队调查了一份显示可能存在利用的报告。CISA 于11月6日将该 CVE 加入其已知被利用漏洞（KEV）目录，截止日期为11月20日。受影响：SonicOS 7.3.3-7015 及更早版本的 Gen7 防火墙，以及 8.2.2-8015 及更早版本的 Gen8 防火墙。已修复：7.3.4-7013 和 8.2.3-8015 或更高版本。没有临时解决方法。同一公告还涵盖另外六个 CVE，包括管理接口中的漏洞，以及 SSL-VPN 中一个无需身份验证即可使服务停止的漏洞。本站的结论：如果您运行 Gen7 或 Gen8 的 SonicWall 防火墙，无论是否使用 SAML，都请立即升级；如果您依靠 SAML 和 MFA 保护 VPN 登录，请检查还有哪些其他账户仍然可以登录 SSL-VPN。
Jenkins 2.588 和 LTS 2.580.2 修复 15 个漏洞（CVE-2026-117612 至 117626）：检查版本，以及更新后要复核什么
2026 年 10 月 28 日，Jenkins 项目发布安全公告，在每周版 2.588 和 LTS 2.580.2 中修复了 Jenkins 核心的 15 个漏洞（CVE-2026-117612 至 CVE-2026-117626）。受影响的是每周版 2.587 及更早版本和 LTS 2.580.1 及更早版本。公告将其中 13 个评为高危，2 个评为中危。大多数漏洞需要某种权限，例如 Overall/Read 或 Item/Configure（有些配置会向匿名用户授予 Overall/Read）。例外是 CVE-2026-117618，即初始设置向导中的竞态条件，使未经身份验证的用户能在初始设置期间创建管理员账户，因此对暴露在互联网上的新安装 Jenkins 实例而言优先级更高。公告列出的唯一变通措施，是在更新引发问题时关闭新增检查的设置，以及强制启用内容安全策略（CSP），后者可限制三个 XSS 漏洞的已知影响；真正的修复是更新。截至 11 月 3 日，本站未发现可信的被利用报告，这 15 个漏洞也均不在 CISA 的已知被利用漏洞（KEV）目录中。本站的结论：确认您的 Jenkins 版本，更新到 2.588（LTS 2.580.2），不要让 Jenkins 暴露在互联网上，也不要给匿名用户任何权限，并在更新后复核用户、管理员和代理节点。
针对Synology DSM的勒索软件攻击：过时版本经2024年12月已修复的漏洞遭攻击，今天该更新和检查什么（SA-24:20）
2026年10月29日，Synology表示已发现威胁行为者利用2024年12月已修补的一个漏洞，攻击运行过时DSM版本的设备，意图加密数据并勒索赎金。Synology强烈敦促所有使用存在漏洞版本的用户立即更新DSM，并建议开启自动更新。公告指向Synology-SA-24:20，其修复版本为：DSM 7.2.2为7.2.2-72806-1或更高，7.2.1为7.2.1-69057-6，7.2为7.2-64570-4，7.1为7.1.1-42962-7，6.2为6.2.4-25556-8。该公告列出三个CVE，Synology没有说明其中哪一个正被利用。公司尚未公布受害者数量或任何攻击者名称。本站的结论：今天就检查您的DSM版本，更新到修复版本或更高，且不要将DSM管理界面暴露在互联网上。请保留一份与NAS分开、且无法从NAS覆盖的备份。
WordPress 7.1.4 漏洞 CVE-2026-119977：可能导致远程代码执行的核心更新竞态条件已修复；请检查版本与自动更新
2026年10月28日，WordPress 项目发布安全版本 7.1.4，修复了核心更新过程中一个可能导致远程代码执行的漏洞。据 WordPress 的 GitHub 安全公告，在使用完整安装包进行核心更新时，WordPress 会把新文件解压到可通过网络访问的升级目录内一个可预测的目录中，未经认证的攻击者如果在解压期间赢得竞态，就可能实现远程代码执行（RCE）。修复包含在 7.1.4 中，并已回移到一直追溯至 4.7 的所有分支（7.0.8、6.9.11、6.8.12 等）。CVE-2026-119977 于10月31日由担任 CNA 的 Wordfence 发布，CVSS v3.1 评分为 8.1（高危），攻击复杂度为高；WordPress 的公告将其评为低，并未给出评分。据 SecurityWeek 报道，一家 WordPress 安全厂商在部署防火墙规则9分钟后首次命中，并在最初21小时内记录到超过18,500个针对临时更新位置的请求；该厂商表示未报告任何成功入侵。CISA 于11月3日将该 CVE 列入其已知被利用漏洞（KEV）目录（KEV 条目给出美国联邦机构的截止日期为11月6日，CISA 除要求打补丁外，还要求联邦机构依据 BOD 26-04 进行取证分级排查）。启用了后台自动更新的站点应会自行更新；关闭了自动更新的站点应在“更新”页面手动更新。本站结论：把它当作已被利用的漏洞，今天就更新；如果你更新较晚，请检查是否有被入侵的迹象（本站的建议）。
Linux内核CVE-2026-98432：可通过网络触发的TCP释放后使用漏洞（CVSS 9.8）；请安装已修复的内核、重启并检查MPTCP
CVE-2026-98432是Linux内核IPv4 TCP代码中的一个释放后使用漏洞，于2026年10月15日公布。内核项目的CNA给出CVSS v3.1 9.8分（网络、无需权限、无需用户交互）。据报道，一家AI公司的研究人员在实验室中、依据其自身报告，演示了针对带有Multipath TCP（MPTCP）监听器的服务器以root身份远程执行代码。BleepingComputer称，针对普通TCP服务器的远程代码执行尚未公开展示，也未确认有在野利用，本站于11月1日在CISA的KEV目录中没有找到该CVE。上游修复包含在5.10.272、5.15.223、6.1.190、6.6.159、6.12.113、6.18.56和7.2.10及之后的版本中。截至11月1日，Debian已有修复的内核，SUSE有部分，Ubuntu和Red Hat将修复列为进行中。仅禁用MPTCP并不是完整的修复。本站的结论是：随着修复发布，更新面向互联网的Linux服务器并重启，仅在此之前使用厂商的临时缓解措施。
紧急PHP更新后该检查什么：Web PHP与命令行PHP、set -e与diff退出码，以及入侵复查
在2026年10月应对严重PHP漏洞期间，本站运营者管理的一个站点已更新了Web端PHP，但cron使用的命令行PHP仍指向旧版本。应分别检查Web和CLI。使用set -e时，diff和grep以退出状态1表示“发现差异”或“无匹配”，这会使脚本停止；应分别处理0、1和2。补丁之后，对每台服务器运行相同的入侵检查清单；对于可疑的日志条目，通过将实时文件与已知良好的部署副本进行比较来确认。
2026年10月网络攻击与数据泄露汇总：36个被利用的漏洞与大规模泄露
2026年10月，CISA 向其已知被利用漏洞（KEV）目录新增了36个漏洞，比9月的43个少7个。其中11个是 VPN 设备、防火墙等边缘及远程访问产品，5个是发布于2015年至2023年的旧漏洞（均在10月8日加入），10个涉及 Plex、PHP、Ahsay 和 Zammad，另有10个是其他产品。10月本站首次报道了115起事件与漏洞（日本事件65起、海外28起、全球4起、漏洞18个）；这是本站文章的数量，不是国家统计数据。在日本，会员数据库和应用数据库的泄露接连不断。已公布数字最大的是 ShopServe（约2335.6万人）、MUJI 应用（最多约2726万条记录，可能）、Club Tourism（约432万条记录，可能）和 Hana Cupid（最多4,238,242条记录）。服务提供商与 SaaS 的泄露、加密货币交易所的失窃以及 AI 开发平台的事件也在继续。我们对11月的结论是：先修补已加入 KEV 的边缘设备，盘点持有您客户名单的外部服务，并防范冒充遭泄露公司的钓鱼邮件。
Cisco Catalyst SD-WAN Manager CVE-2026-76504：无需登录即可获得管理员访问权限，已被利用（请升级到已修复版本）
CVE-2026-76504 是 Cisco Catalyst SD-WAN Manager（原 vManage，Cisco SD-WAN 的管理系统）API 会话身份验证中的一个漏洞。根据 Cisco 在2026年9月30日发布的公告，由于对 HTTP 请求中 URI 编码的处理不当，未经身份验证的远程攻击者可以绕过一条身份验证规则，以 admin 用户的权限访问 API。无论配置如何，该产品都受影响，CVSS 评分为 9.8。Cisco 表示，其安全团队在2026年9月获悉了在野的主动利用。没有临时解决方法；修复方法是升级到您所用版本系列的首个修复版本（20.9.10.1、20.12.8.2、20.15.6.1、20.18.4.1、26.1.2.1 或 26.2.1）。由 Cisco 托管的云服务已修复。CISA 于9月30日将其加入 KEV 目录，截止日期为10月3日。本站的结论：如果您在本地运行 SD-WAN Manager，请立即升级，不要让其管理接口暴露在互联网上，并按照 Cisco 公告中的检查项审查其日志，因为它可能已经暴露了数周。
Drupal Commerce Core CVE-2026-118539：无需身份验证的访问绕过漏洞，已被利用（请更新到 8.x-2.41 或 3.3.13）
2026年10月28日，Drupal 安全团队针对 Commerce Core 模块（CVE-2026-118539）发布了 SA-CONTRIB-2026-254。该模块对某些路由和实体字段的保护不足，导致访问绕过，可能对店主造成经济影响。Drupal 将其评为 Highly critical（21/25），无需身份验证，并表示该漏洞正在实际攻击中被积极利用。受影响版本为低于 8.x-2.41 的版本，以及 3.0.0 至低于 3.3.13 的版本；修复版本为 8.x-2.41 和 3.3.13。NVD 的记录显示，由 CISA 的 ADP 添加了较低的 CVSS v3.1 评分 6.5，目前仍在等待分析。截至10月31日，它尚未列入 CISA 的 KEV 目录。本站的结论是：如果您使用 Drupal Commerce 运营网上商店，请立即更新，并审计近期订单和付款中是否有不一致之处。
Ivanti Connect Secure CVE-2026-111357 和 CVE-2026-118527：另外两个漏洞被加入 CISA KEV（针对10月攻击该怎么做）
2026年10月30日，CISA 将两个 Ivanti Connect Secure 漏洞加入其已知被利用漏洞（KEV）目录：CVE-2026-111357，一个本地提权至 root 的漏洞；以及 CVE-2026-118527，一个可预测标识符漏洞，使已通过身份验证的远程攻击者能够在已知位置放置内容由攻击者控制的文件。CISA 表示，两者都可与 10月13日加入 KEV 的身份验证绕过漏洞 CVE-2026-104935 串联利用。11月2日，一家美国研究公司报告称，Ivanti 已于10月29日更新其公告，加入这两个 CVE 并发布了修复（我们无法读取 Ivanti 的公告本身，因此以下依据该公司对公告的引述）：25.1.1.2 及更早版本修复为 25.1.1.3，22.8R2.5 及更早版本修复为 22.8R2.6。10月13日的修复（25.1.1.2 和 22.8R2.5）并不修复这两个漏洞。Ivanti 建议从 22.8.x 迁移到 25.1.1.3 或更高版本，如无法立即迁移，则应用 22.8R2.6。Ivanti 表示，披露之前的利用影响了数量有限的客户，且与 CVE-2026-104935 串联。美国联邦机构的期限为：CVE-2026-111357 为11月2日，CVE-2026-118527 为11月13日。另一家研究公司报告称，利用自10月3日起，并出现凭据窃取，以及对 Windows LAPS 密码和 BitLocker 恢复密钥的 Active Directory 查询。CISA 和该公司警告称，Ivanti 的完整性检查工具（Integrity Checker Tool）可能无法检测到这种利用。本站的结论是：立即打补丁，即使打完补丁，也应将自10月初以来可从互联网访问的任何设备视为可能已被入侵，直到取证检查另有结论。在任何重启或重置之前先保存内存和日志，并轮换凭据，包括由 LAPS 管理的本地管理员密码和 BitLocker 恢复密钥。请在 Ivanti 的公告中确认版本号。
Orkes Conductor CVE-2026-58138：无需身份验证即可执行操作系统命令，已观测到攻击尝试（请更新到 3.30.2 或更高版本）
CVE-2026-58138 是 Conductor 中的一个漏洞。Conductor 是 conductor-oss 项目的开源工作流引擎，CVE 记录中称其为 Orkes Conductor。在 3.21.21 至低于 3.30.2 的版本中，由于脚本求值器没有沙箱隔离，远程攻击者只需向工作流 API 提交包含 JavaScript 或 Python 表达式的工作流定义，即可在无需身份验证的情况下执行操作系统命令。该 CVE 于2026年6月30日公布，CVSS 为 9.8（v3.1）和 9.3（v4.0）。修复包含在6月3日发布的 3.30.2 中，但其发布说明只写了进一步限制 JavaScript 引擎。一家网络安全厂商在9月报告称，其入侵防御服务在一天内拦截了 1,290 次攻击尝试，七天内拦截了 6,696 次。这些是被拦截的尝试，而不是已确认的入侵。截至10月31日，该 CVE 不在 CISA 的 KEV 目录中，NVD 也尚未分析（状态为 Deferred）。本站的结论：如果您自行运行 Conductor，请立即升级到 3.30.2 或更高版本，不要让其 API 暴露在互联网上；如果受影响的版本曾可从外部访问，请按可能已被入侵的前提进行检查。
Plex2Shell：Plex Media Server 的四个 CVE 已在野外被利用（请更新到 1.43.3.10861 或更高版本）
Plex2Shell 是一位安全研究人员为 Plex Media Server 中四个漏洞起的名称：CVE-2026-96652、CVE-2026-96654、CVE-2026-96655 和 CVE-2026-96656。Plex 表示，将它们串联起来后，未经身份验证的远程攻击者可以以 Plex Media Server 进程的权限执行代码。四个漏洞均已在2026年8月4日向所有用户发布的 1.43.3.10861 中修复。Plex 在10月19日（UTC）写道，在10月16日出现公开的概念验证代码之后，这些漏洞正被积极且广泛地利用，被入侵的服务器被用来运行加密货币挖矿程序和代理软件。CISA 于10月20日将四个漏洞全部加入其已知被利用漏洞（KEV）目录，截止日期为10月23日和11月3日。每个 CVE 单独的评分只有 4.3 至 7.2（CVSS v3.1）。QNAP 在11月6日表示，一些用户报告其 NAS 上的 Plex Media Server 似乎已被入侵；QNAP 称其自己的操作系统 QTS 和 QuTS hero 不受影响，并要求 Plex 曾可从互联网访问的所有者将 NAS 视为可能已被入侵。本站的结论：如果您运行 Plex Media Server，请今天就确认其版本为 1.43.3.10861 或更高；除非需要远程访问，否则不要直接暴露 32400 端口；如果旧版本曾可从互联网访问，请按照 Plex 的入侵检查步骤进行检查，如有疑问就重建（如果是 QNAP NAS，请按照 QNAP 的 FAQ 操作）。
SharePoint Server CVE-2026-65660：已登录用户可执行代码，已被利用（请安装2026年8月的更新）
CVE-2026-65660 是本地部署的 Microsoft SharePoint Server（Subscription Edition、2019 和 Enterprise 2016）中的一个代码注入漏洞。据 Microsoft 称，拥有低级别访问权限的已验证攻击者可以发送特制的请求，在服务器上执行代码，无需用户交互。其 CVSS 评分为 8.8。修复包含在2026年8月11日的安全更新中。Microsoft 最初将其作为欺骗漏洞发布，并于8月27日改为远程代码执行。9月25日，Microsoft 补充称已有观察到攻击的可靠证据，CISA 也在同一天将其加入 KEV 目录，截止日期为9月28日。一家安全公司在9月24日报告称，蜜罐上观察到的攻击尝试将该漏洞与另一个问题组合在一起；据报道，那个问题已于2026年6月修复，它可以让请求在允许匿名浏览的站点上无需登录即可送达。本站的结论：如果您运行 SharePoint Server，请确认每台服务器都达到或高于修复版本号，确保2026年6月的更新也已安装，审查匿名访问，并检查更新滞后的服务器是否有被入侵的迹象。
VMware ESX CVE-2026-41709（CVSS 2.7）：CISA将这一低危日志漏洞列为已被利用；请修补整份VMSA-2026-0006并检查主机
CVE-2026-41709是VMware ESX中的日志记录不足漏洞（CVSS 2.7，低危）：已经拥有管理员权限的攻击者可以执行某些操作而不被记录到日志中。Broadcom已于2026年7月29日在公告VMSA-2026-0006中修复，没有变通方案。2026年10月28日（美国时间），CISA将其加入已知被利用漏洞（KEV）目录，美国联邦机构的截止日期为11月11日。一家安全公司的威胁报告称，一个与中国有关联的组织在对美国多个组织的入侵中将其作为零日漏洞使用，最晚到2026年初，SecurityWeek将其目的描述为降低审计痕迹的可见性；本站尚未独立核实该报告。该漏洞本身不提供入口，但意味着受影响主机的日志可能无法显示入侵者做了什么。同一公告还包含两个评级为9.8的vCenter漏洞，其中之一（CVE-2026-59310）已于8月18日被CISA列为已被利用，因此只修补ESX漏洞会让入口依然敞开。本站的结论是：把ESX和vCenter更新到整份公告对应的修复版本，把主机日志发送到另一台服务器，并查找入侵迹象，而不是只相信日志。
Cisco ASA与FTD VPN漏洞CVE-2026-76418：未经认证的攻击者可使设备重启（检查方法与修复版本）
2026年10月28日（UTC），Cisco披露了Cisco Secure Firewall ASA和Secure Firewall Threat Defense（FTD）远程访问SSL VPN服务中的CVE-2026-76418（CVSS v3.1 8.6）。未经认证的远程攻击者可使设备意外重启，造成拒绝服务。原因是在隧道组（VPN连接配置文件）上配置了二次认证时存在逻辑错误，在连接SSL VPN时通过构造的请求即可触发。该公告未描述代码执行或数据泄露。没有变通方案，Cisco强烈建议升级。Cisco PSIRT称，已知悉2026年10月出现利用，但未给出细节。CISA于10月29日将其列入已知被利用漏洞（KEV）目录，美国联邦机构的处置期限为11月1日。我们的结论是：如果您在ASA或FTD上开放了SSL VPN，请检查是否有隧道组使用了二次认证，如有则升级。Cisco提供了临时缓解措施，但会降低安全性。
Linux内核Fragnesia（CVE-2026-46300）：CISA列为已被利用，截止日期为10月31日；请修补PHP和内核，然后重启
CVE-2026-46300，绰号Fragnesia，是Linux内核中的一个漏洞，可让低权限的本地用户获得root权限（CVSS v3.1 7.8，本地攻击向量）。内核在网络缓冲区之间移动数据片段时，可能丢失一个标记，该标记表示这些数据与内存中的某个文件共享，随后IPsec ESP代码可能在该只读文件的缓存副本上直接解密并覆盖。内核项目于2026年5月23日发布了该CVE，修复包含在内核5.10.257、5.15.208、6.1.174、6.6.141、6.12.91、6.18.33和7.0.10及之后的版本中。2026年10月28日（美国时间），CISA基于存在活跃利用的证据，将其加入已知被利用漏洞（KEV）目录，美国联邦机构的截止日期为10月31日。CISA的描述称，它可与PHP漏洞CVE-2026-109618和CVE-2026-109619串联，植入PHP webshell并以root身份执行命令。一家安全公司报告称，这条利用链被用于攻击25台服务器（大多是防火墙），SecurityWeek转述了该报告；本站未独立核实这些数字。Ubuntu、Red Hat和Debian已发布修复内核，而内核更新只有在重启后才会生效。本站的结论是：如果您在Linux上运行PHP网站，请更新PHP和内核，重启，并检查是否有webshell。
Adobe Commerce 和 Magento 漏洞 CVE-2026-48356：CISA 确认被利用（KEV）、7 月的修复，以及如何检查入侵痕迹
2026年10月27日，CISA 将 Adobe Commerce 和 Magento Open Source 中的文件上传漏洞 CVE-2026-48356 加入已知被利用漏洞（KEV）目录。美国联邦民事机构的修复期限为11月10日。Adobe 已于2026年7月14日在安全公告 APSB26-73 中修复了该漏洞以及另外 13 个漏洞。受影响的是 Adobe Commerce 2.4.4 至 2.4.9、Magento Open Source 2.4.6 至 2.4.9、Adobe Commerce B2B 和 Adobe Commerce Events。修复为各版本线的 2026-jul 安全修复（Events 为 1.21.0）。Adobe 公告中的表格将其评为 CVSS 9.6，而 Adobe 的 CVE 记录和 NVD 评为 9.3，唯一的区别在于可用性影响。Adobe 的公告（8月11日更新）仍表示 Adobe 未发现被利用的情况。10月24日，一家电子商务安全公司报告称，通过该漏洞（该公司称之为 PolyShell）及其他漏洞放置的 Web Shell 被用于向商店页面注入 JavaScript，自2025年7月以来该攻击活动已波及 953 家商店（大部分为 Magento），并且该公司在已打补丁的商店中也发现了注入的代码。截至10月28日，日本尚无公共机构发布警报，也没有日本商店披露受到影响。本站的结论是：Adobe Commerce 和 Magento 商店应在今天确认已应用 7 月的修复；即使已应用，也要检查上传文件夹、CMS 区块和管理员账户是否有入侵迹象。
Brotli 漏洞 CVE-2026-111497（Node2Shell）：如何检查 Node.js、Python 和 .NET，以及需要更新什么
2026年10月21日（美国时间），Google 发布了 Brotli 1.2.1、1.1.1 和 1.0.10，修复了官方 Brotli 库中的越界写入漏洞 CVE-2026-111497。受影响的是 Brotli 1.0.3–1.0.9、1.1.0 和 1.2.0。解压构造的 Brotli 数据可能破坏内存，导致崩溃、内存泄露，甚至可能导致任意代码执行。Google 在 CVSS v4.0 下将其评为 9.2。Node.js 于同一天发布了 22.23.4、24.22.1 和 26.12.1，10月22日 PyPI 软件包也在 brotli 1.2.1 和 brotlicffi 1.2.1.0 中得到修复。Microsoft 于10月25日（美国时间）发布了 .NET 8、9 和 10 的修复（8.0.33、9.0.22、10.0.14），Bun（1.4.4）和 Envoy 也发布了修复。日本计算机应急响应小组 JPCERT/CC 于10月26日发布警报，其中提到了 Node2Shell 和 HTTP2Shell 这两个别称。许多程序自带 Brotli 副本，因此更新操作系统的库并不能修复官方 Node.js 构建、来自 PyPI 的 Python wheel、容器镜像或单文件可执行程序中的副本。10月27日（美国时间），CISA 以存在主动利用的证据为由，将其加入已知被利用漏洞（KEV）目录，并要求美国联邦机构在11月10日前完成修复。CISA 未公布细节。一家威胁情报公司报告称观察到针对 Node.js 24.22.0 的利用流量，但该流量在该公司自己的测试中未能成功，Microsoft 仍将该漏洞标记为未被利用。新闻媒体报道称概念验证代码已经公开。本站结论：如果 Node.js、Bun、Python 或 .NET 服务会解压从外部收到的数据，请不要等待维护窗口，今天就更新，然后重新构建容器和可执行程序。 WordPress 和 PHP 网站：安全公司于11月2日解释称，这不是 WordPress 核心、插件或主题的缺陷，因此更新 WordPress 并不能修复它。WordPress 不自带 Brotli，而是使用操作系统的库，因此请更新操作系统的 libbrotli 软件包、重新构建容器，并在之后重启 PHP-FPM 或 Apache（重启为本站补充）。其中一家公司在实验室中通过 XML-RPC pingback 复现了代码执行，并称截至11月2日未发现有关 WordPress 网站实际被入侵的公开报告。
Nextcloud 内置 Collabora CODE 服务器漏洞 CVE-2026-110447 被利用：受影响范围与应对措施
2026 年 10 月 14 日，Collabora Online 开发者披露了 CVE-2026-110447，这是 Nextcloud 应用 Collabora Online - Built-in CODE Server（应用 ID richdocumentscode）中的一个未认证操作系统命令注入漏洞。通过该应用的 proxy.php，命令可以以 Web 服务器用户身份运行。前提条件是内置 CODE 服务器未在运行，这种情况可能出现在容器重启、升级或崩溃之后。26.4.303 之前的版本受影响；26.4.303 于 9 月 11 日发布。开发者称，禁用该应用无法解决问题，建议用户更新或移除该应用。对于已停止维护的 Nextcloud 29 及更早版本，需要更新 Nextcloud 或移除该应用。开发者称，独立部署的 Collabora Online 服务器、Docker 镜像、RPM/DEB 软件包和 Nextcloud All-in-One 不受影响。CVSS v4.0 评分为 9.2。CISA 于 10 月 23 日将该漏洞加入已知被利用漏洞（KEV）目录，截止日期为 10 月 26 日。用户在开发者代码仓库中报告了约自 9 月 10 日起的攻击，据媒体报道，攻击者植入了 Web Shell。本站结论：如果安装了内置 CODE 应用，即使已禁用，也请立即检查版本，更新或移除该应用，然后检查自 9 月 10 日以来的入侵痕迹。
GitLab CVE-2026-110264（CVSS 10.0）与已被利用的 CVE-2026-97229：如何检查并更新自托管 GitLab
2026 年 10 月 21 日，GitLab 为社区版（CE）和企业版（EE）发布了关键补丁版本 19.5.1、19.4.3、19.3.6、19.2.9、19.1.9、19.0.10 和 18.11.13。其中最严重的漏洞 CVE-2026-110264（CVSS 10.0）是在编译经过特殊构造的正则表达式时出现的整数溢出，在某些条件下可能使未经身份验证的用户在 GitLab 服务器上执行任意代码。自 7.0 起几乎所有版本都受影响。10 月 29 日，CISA 将与之相近的漏洞 CVE-2026-97229（CVSS 10.0，CWE-190）列入已知被利用漏洞（KEV）目录，处置期限为 11 月 1 日。它是同一类漏洞（CI/CD 正则表达式编译器中的整数溢出，未经身份验证的用户即可触及），GitLab 已于 10 月 12 日在 19.4.2、19.3.5 和 19.2.8 中修复，仅影响 19.2.0 至 19.2.7、19.3.0 至 19.3.4 和 19.4.0 至 19.4.1。仍低于 19.4.2、19.3.5 或 19.2.8 的实例，暴露在一个已被利用的漏洞之下。升级到本文推荐的版本（19.5.1、19.4.3、19.3.6、19.2.9）同样可以修复 CVE-2026-97229。GitLab.com 已完成修补，自托管实例需要升级。10 月 21 日的同一版本还修复了两个高危漏洞（CVSS 8.2 和 7.5）以及其他漏洞，但这些修复仅在 19.3.6、19.4.3 和 19.5.1 分支中提供。该问题的根源在于 Ruby 的正则表达式引擎（Onigmo），Ruby 于 10 月 23 日发布了 4.0.9、3.4.12 和 3.3.13。从攻击者可控字符串编译正则表达式的应用会受影响，而 Regexp.timeout 无法防范这些漏洞。GitLab 的公告未说明 CVE-2026-110264 已被利用，截至 10 月 30 日它也不在 KEV 中。Alpine Linux 报告称，其自己的 GitLab 在 10 月 20 日和 21 日遭到通过 CVE-2026-97229 的攻击尝试，并且只升级 GitLab（到 19.3.6）没有堵住该漏洞，因为修复还需要打过补丁的 Ruby；它重建了该实例，并未发现攻击者代码被运行的证据。本站的结论：核对必须经过的升级节点后，今天就升级自托管 GitLab，最终升级到 19.3.6 或更高版本；如果您自行构建 GitLab 或运行自己的 Ruby，也请确认 Ruby 为 3.3.13、3.4.12 或 4.0.9 或更高版本。Ruby 应用应升级到已修复的 Ruby，并停止从用户输入构建正则表达式。
VeloCloud Orchestrator CVE-2026-114625 已被利用：修复版本与检查要点
2026年10月22日，Arista 披露了 CVE-2026-114625。这是其 SD-WAN 管理平台 VeloCloud Orchestrator (VCO) 本地部署版中的一个 SQL 注入漏洞（CVSS v4.0 9.4，v3.1 9.9）。Arista 称其检测到该问题，并且已知该漏洞正被积极利用。任何已认证用户，即使是最低的内置租户角色（Enterprise Read Only），都可以获得运营商权限，并冒充本地超级用户运营商。修复版本为 5.2.3.18、6.1.3.10 和 6.4.2.12。公告称未列出的版本不受影响；7.0 系列未被列出，也未说明原因。托管版 VCO（包括 Dedicated）已完成修补。CISA 于10月23日将该漏洞加入其已知被利用漏洞（KEV）目录，截止日期为10月26日。这是三个月内第三个被利用的 VCO 漏洞，此前分别是7月的 CVE-2026-16812（操作系统命令注入，无需认证，CVSS 10.0）和9月的 CVE-2026-93952（输入验证不当，无需认证，CVSS v3.1 10.0）。本站结论：自行运行本地部署 VCO 的组织应当今天就升级到所在版本系列的最新修复版本，将管理界面限制在可信的管理网络内，并在升级前保留日志并检查是否已被入侵。
2026年10月中旬被利用的边缘设备漏洞：Ivanti、PAN-OS、FortiOS、Cisco
2026年10月13日至16日，CISA 将四个广泛部署的边缘设备（位于网络与互联网边界的设备）漏洞加入其已知被利用漏洞（KEV）目录：Ivanti Connect Secure CVE-2026-104935（认证绕过，无需登录，CVSS 8.6）、Palo Alto Networks PAN-OS CVE-2026-0322（管理界面代码执行，需要高权限登录，CVSS v4.0 8.6）、Fortinet FortiOS 及相关产品 CVE-2025-61624（路径遍历，需要管理员登录，CVSS 6.0）以及 Cisco Secure Email Gateway CVE-2026-76519（任意文件写入，无需登录，CVSS 9.8）。10月15日，Atlassian Data Center CVE-2026-21589（文件读取，无需登录）随后被加入。所有联邦截止日期均已过去。本站的结论：如果您使用这五个产品中的任何一个，请今天就升级到已修复的版本，将管理访问限制在管理网络内，并在升级前检查是否已被入侵。
eMudhra（emSign）中间CA密钥泄露：Python用户需要为pip、certifi和uv做什么
2026年10月17日，有报告显示，印度证书颁发机构eMudhra的八个中间证书（其中六个用于TLS）的私钥生成过程存在严重缺陷，任何人都可能将其还原。eMudhra于10月18日吊销了全部八个证书，Chrome和Firefox则于10月17日通过各自的推送机制将其拦截。10月20日，Mozilla决定紧急移除其父根证书emSign ECC Root CA - G3的信任，Chrome将于10月27日（太平洋时间）移除。浏览器已受到保护，但浏览器之外的TLS客户端在更新各自的CA列表之前，可能会信任伪造证书。在Python中，pip始终加载其内置的certifi，因此即使操作系统证书存储已修复，旧版pip仍然存在风险。Python项目于10月20日发布通知（10月22日更新），要求用户至少升级到certifi 2026.10.19、pip 26.2.2、uv 0.13.4、sigstore 4.5.1、conda 26.9.4和pixi 0.82.1，并在不使用层缓存的情况下重建容器镜像。10月21日，他们发布了捆绑pip 26.2.2的Python 3.15.1、3.14.9和3.13.17。不会再为3.11或3.12发布带有更新pip的版本。这不是CPython中的代码执行漏洞：位于网络路径上的攻击者可能将访问PyPI、python.org等站点的连接重定向到伪造服务器。截至10月24日，尚未有利用此漏洞的公告。10月22日，eMudhra表示将退出全球SSL/TLS证书业务。本站的看法是：在所有环境中将pip升级到26.2.2或更高版本，将certifi升级到2026.10.19或更高版本，在不使用缓存的情况下重建Docker镜像，并提高锁文件中的certifi版本固定值。
SiteGuard Server Edition 漏洞 CVE-2026-106931 已被利用：哪些用户受影响，该怎么做
2026 年 10 月 14 日，EG Secure Solutions 披露了 CVE-2026-106931。这是其主机型 Web 应用防火墙（WAF）SiteGuard Server Edition 统计功能中的操作系统命令注入漏洞，并称已确认存在利用。利用该漏洞，可能以 root 或 SYSTEM 权限在运行该产品的服务器上执行任意操作系统命令。受影响的是启用统计功能（默认启用）的 Ver2.20 及以后版本：Ver8.00 Update5 之前的 Apache、Nginx 和 IIS 版，以及 Ver7.00 Update6 之前的 FreeBSD Apache 和 Nginx 版。IIS 版 Ver3.10 至 Ver4.00 Update4 不受影响。修复版本为 Ver8.00 Update5 和 Ver7.00 Update6；无法升级的系统可使用补丁，包括已终止支持的版本。厂商将该漏洞评为本地攻击向量、需要低权限（CVSS v3.0 7.8，v4.0 8.5）。JPCERT/CC 发布了警示，称已确认该产品在日本被广泛使用，并称关闭统计功能可规避该问题。CISA 于 10 月 20 日将该漏洞列入已知被利用漏洞（KEV）目录，截止日期为 10 月 23 日。本站结论：如果您运行 Server Edition，请今天就确认版本和统计功能，更新前先保存诊断数据，然后应用修复版本或补丁。
【突发】PHP 漏洞 CVE-2026-109618 与 CVE-2026-109619 已遭利用，被列入 CISA KEV 目录：请立即更新至 8.5.12、8.4.27、8.3.36 或 8.2.35
2026年10月21日，PHP 安全团队发布了 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35，修复了两个可能允许未经认证的远程代码执行（RCE）的严重漏洞，并敦促所有用户立即更新。CVE-2026-109618 涉及内存耗尽时的处理，CVE-2026-109619 涉及请求之间残留的过期内部状态；两者在 CVSS v4.0 下均被评为 9.2。所有处理网页请求的 PHP 安装都有风险（PHP-FPM、Apache mod_php、php-cgi、FrankenPHP、LiteSpeed）。该团队认为 mod_php 风险最高，并援引了一个已演示的利用方式：未经认证的请求会在任何应用代码运行之前触发攻击。PHP 8.1 及更早版本不会获得官方更新；该团队为 7.4、8.0 和 8.1 提供了最小化的源代码回移补丁。Linux 发行版提前收到了补丁。目前没有完整的缓解方案，更新是唯一安全的选择。10月22日，日本 IPA 与 JPCERT/CC 发布警报，JVN 发布了 JVNVU#99905564。CISA 在首次发布警报时尚未观察到利用，但已于10月26日将这两个漏洞列入其已知被利用漏洞（KEV）目录，并为美国联邦民事机构设定了10月29日的期限。据媒体报道，一名安全研究人员运行未打补丁的 PHP 8.4.26（mod_php）的蜜罐于10月24日遭到成功的远程代码执行。一家大型云服务商的蜜罐在披露前四天（10月17日）就已监测到利用尝试。据本站所查，截至10月27日，尚无蜜罐以外的入侵被公开。日本大多数主要共享主机服务商已宣布修复已应用，但部分服务商（如 KAGOYA）尚未宣布。10月23日，PHP 团队披露了第三个问题（CVE-2026-115560），该问题未被10月21日的版本修复。它只有在特定的配置和应用代码组合下才可能导致代码执行；该团队认为实际中不太可能出现，将在下一个常规版本中发布修复和完整公告，并建议在此之前设置 session.upload_progress.enabled=0。受影响的版本和 CVSS 评分尚未公布，也未报告任何利用行为。截至10月29日（在 php.net 上查看），该问题的修复版本尚未发布。10月28日，CISA 还将 Linux 内核漏洞 CVE-2026-46300 列入 KEV（美国联邦机构的期限为10月31日），并表示它可以与这两个漏洞串联，用于植入 PHP webshell 并以 root 身份执行命令。本站观点：利用现已得到确认，请确认你或你的服务商是否为每个站点更新 PHP，并立即升级到修复版本。同时请检查10月17日起的日志，查找入侵迹象。在共享主机上，请在服务商官方网站上查看其完成通知。
MOVEit 大规模数据泄露（2023）—— SQL 注入零日漏洞波及 2,700 多家组织的原因与防御
入口是面向互联网公开的文件传输产品 MOVEit Transfer 的 SQL 注入零日漏洞（CVE-2023-34362）。攻击者植入 Web shell（LEMURLOOT），从后端数据库批量窃取数据，致 2,700 多家组织、约 9,330 万人的数据外泄。许多受害者是因为外包方、合作方使用了 MOVEit 而被间接牵连。在你的环境中，可通过 KEV 即时打补丁、最小化暴露面、Web↔DB 的最小权限与隔离、外包方盘点与数据最小化来防范。
CORS 是什么 — 原理，以及配置错误（CORS misconfiguration）会引发什么
CORS 是浏览器用来控制「其他源的 JS 能否读取自己 API 响应」的机制。配置错误＝反射任意 Origin，或把 Access-Control-Allow-Origin:* 与认证信息同时使用，会导致第三方网站读取到已登录数据。基本的防御是采用白名单方式、不要不加判断地反射 Origin、默认拒绝。
会话固定（Session Fixation）是什么 — 让用户用攻击者准备好的 ID 登录的漏洞
会话固定是攻击者预先准备一个已知的 session ID 让受害者使用，待其登录后用该 ID 冒充受害者的攻击。主要防御是『每次登录（以及权限变化）时都重新生成 session ID』。禁止从 URL 接收 ID，并给 Cookie 设置 HttpOnly/Secure/SameSite。
什么是点击劫持？把透明页面叠在另一个页面上、诱导你点击其中按钮的攻击
点击劫持是用透明的 iframe 把自己的站点叠加到另一个站点上，诱导用户执行非本意操作（转账、修改设置、同意授权）的攻击。主要防御是不让自己的站点被嵌入到他站的框架里：CSP frame-ancestors 与 X-Frame-Options。
IDOR 是什么：改写 ID 就会暴露他人数据的漏洞
IDOR 是一种仅靠把 ?id=124 改成 125 就能看到他人发票、个人信息的访问控制缺陷漏洞。主要防御是「在服务端每次校验『当前登录的这个用户，是否可以查看该对象』」。难以猜测的 ID 并不能算作对策。
什么是开放重定向（open redirect）：把用户从受信任的 URL 转发到别的站点的漏洞
开放重定向是指可以在 ?next= 等跳转目标参数里塞入外部 URL，从而借助受信任的域名把用户转到别的站点的漏洞。它会被用于钓鱼。主要的防御是「跳转目标不接收外部 URL／只允许允许列表或相对路径」。
路径遍历是什么 — 用 ../ 读取服务器上「本不该交出的文件」的漏洞
路径遍历是一种在文件名输入中混入 ../，从而逃出基准目录、读写 .env、配置、密钥等的漏洞。主要防御是「不把用户输入直接用作文件路径」「先规范化再将其限制在基准目录内」。
CSRF（跨站请求伪造）是什么：让登录中的用户发出并非本意的请求的攻击
CSRF 是一种擅自让登录中用户的浏览器发出「并非本人本意的操作」的攻击，它滥用了浏览器自动发送 Cookie 的特性。主要防御是 CSRF Token＋SameSite Cookie。不用 GET 来改变状态同样重要。
什么是 SQL injection（SQLi）：能用输入改写数据库命令的漏洞
SQLi 是一种让输入被当作「命令的一部分」而非「数据」来解释、从而改变数据库查询含义的漏洞，直接导致数据被读取、被篡改、被全部删除。主要的防御是「停止字符串拼接，用占位符（prepared statement）传值」。
XSS（跨站脚本）是什么：让攻击者的脚本在其他用户浏览器中执行的漏洞
XSS 是一种让攻击者准备的字符串「作为脚本」在另一名用户的浏览器中被执行的漏洞，直接导致会话被窃取与冒充。主要的防御是「输出时转义」。不破坏框架的自动转义是最有效的对策。
什么是 CVE？漏洞统一编号机制的原理
CVE 是给漏洞分配的全球通用标识编号（例如 CVE-2025-12345）。它让所有人能用同一个名字引用同一个漏洞，是对策与监控的起点。CVE＝名字、CVSS＝严重程度、KEV＝是否正被利用，职责各不相同。对个人而言，用机器监控来追踪才现实。
CVSS 是什么？漏洞严重程度评分及其计算方法
CVSS 是用 0.0～10.0 表示漏洞严重程度的通用分数。分数由「攻击途径・复杂度・所需权限・用户交互・影响范围・CIA」这些既定指标通过公式算出。懂了标准就能读懂 10.0 的含义。不过优先级还要结合 KEV（是否正被利用）和你自己是否在用来一起判断。
什么是 RCE（远程代码执行）——为什么它是最糟一类的漏洞
RCE 是一种让攻击者能在服务器上执行任意代码的漏洞。它不止于信息泄露，而是直接通向被接管，属于最糟一类。损害能扩散到多远，由「该进程的权限」决定。防御的关键在于迅速更新、CVE 监控、最小权限。
什么是 SSRF（服务器端请求伪造）
SSRF 是利用外部输入的 URL，让服务器去访问内部资源（内部 IP 或云元数据）的攻击。只要做了去获取 URL 的功能，就必须有目标 allowlist、内部网络阻断，以及防范重定向 / DNS 重新解析的绕过。它也是 Capital One 事故的原因。
Equifax 信息泄露事件（2017）——未打补丁的 Apache Struts 导致 1.47 亿人泄露的原因与防御
原因是已经发布修复补丁的已知 CVE（CVSS 10.0）没有被应用到公开系统上。监控设备因证书失效导致长达 76 天都没察觉数据外带，使损失扩大。在你的环境里，要用资产盘点、补丁 SLA、机器监控、检测健全性来防止重演。
Heartbleed（CVE-2014-0160）——OpenSSL 漏洞导致服务器内存泄露
OpenSSL 的内存越界读取，可能泄露私钥乃至会话的事件。根源是返回的内存比请求长度更多的实现错误。教训是按已泄露处理（重新签发证书、彻底更换密钥与机密），监控被广泛使用的基础库，并重视内存安全。
Log4Shell（CVE-2021-44228）——日志库漏洞，以及为何难以迅速确认自己是否在用
Log4j 的漏洞（CVSS 10.0）。核心问题在于经由间接依赖（传递性依赖），在不知不觉中正在使用它。日志输出这一被动处理成了攻击通道。SBOM 与依赖的机器化监控、迅速打补丁、对后续 CVE 的追踪，都是教训所在。
XZ Utils 后门（CVE-2024-3094）——受信任的共同维护者发起的供应链攻击
压缩库 xz 中被一名受信任的维护者植入了后门，这是一起供应链攻击。一名技术人员注意到登录变慢，在它进入稳定版之前发现了它。被瞄准的不是代码，而是『人与信任』。教训是：把依赖最小化、固定版本、提高可复现性、追查异常、支援维护者。