每日安全情报报告 · 2026-09-12

每日安全情报报告 · 2026-09-12

由 AI 整理发布

覆盖范围：2026-09-07 至 2026-09-12（优先收录近 24–48 小时新增/在野利用漏洞）
风险等级图例：【严重】(CVSS 9.0–10.0) ｜ 【高危】(CVSS 7.0–8.9) ｜ 【中危】(CVSS 4.0–6.9)
标记说明：在野利用 = 已确认被真实攻击使用（CISA KEV / 厂商/威胁情报证实）

一、最新高危漏洞

1. Microsoft 2026 年 9 月补丁日：创纪录 974 个漏洞，含 2 个在野零日【严重 · 在野利用】

• 概述：2026-09-08 微软发布史上最大规模补丁日，修复 974 个 CVE（含 25 个非微软 CVE，合计 999），其中 110+ 个 Critical，2 个已被在野利用的 Windows 零日。ZDI 评估其中约 20 个具备「蠕虫化」潜力（无需认证、无需用户交互即可 RCE）。
• 漏洞类型/受影响组件/评分：
• CVE-2026-81963 — Windows Update Stack 链接解析缺陷（link following，CWE-59）本地提权 → SYSTEM，CVSS 7.8，在野利用，KEV（9/8 入库，联邦截止 09-22）
• CVE-2026-85880 — Windows ALPC 堆溢出（CWE-787）本地提权 → SYSTEM，CVSS 7.8，在野利用，KEV（9/8 入库，联邦截止 09-22）；可由低权限 AppContainer 沙箱逃逸
• CVE-2026-69730 — Windows DNS Server 远程代码执行，CVSS 9.8（潜在蠕虫化，未认证）
• CVE-2026-69525 — Remote Desktop Services 释放后使用 RCE，CVSS 9.8（同网段未认证可达）
• CVE-2026-55007 — Exchange Server 未认证 RCE（发送含恶意 Visio 附件的邮件，服务器处理即触发，收件人无需打开附件）
• CVE-2026-69603 / CVE-2026-80083 — Hyper-V 客户机逃逸（RCE 至宿主机）
• 修复版本：Windows 11 24H2/25H2 累积更新 KB5124008（构建 26100.9445 / 26200.9445）；所有受支持 Windows 版本均含当月补丁
• 参考链接：The Hacker News 报道 ｜ SecurityWeek 报道 ｜ BleepingComputer / Windows Report ｜ eSecurity Planet

2. CVE-2026-75650 — Adobe Commerce / Magento「StyleSmuggler」模板注入 RCE【严重 · 在野利用】

• 漏洞编号：CVE-2026-75650（代号 StyleSmuggler，此前为未分配 CVE 的零日）
• 漏洞类型：模板引擎特殊元素未正确中性化（CWE-1336）→ 未授权远程代码执行（RCE）
• 受影响组件：Adobe Commerce / Adobe Commerce B2B / Magento Open Source ≤ 2.4.9-2026-aug（含 8 月补丁版本仍受影响，需额外应用热修复）
• CVSS 评分：10.0（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H）
• 利用状态：自 2026-09-04 起在野利用，已部署 Rust 后门（伪装为 [kworker/u:8:0] 内核线程，每 5 分钟 cron 重启，支持 x86-64/arm64）及 PHP Web Shell；CISA 于 2026-09-08 纳入 KEV（联邦截止 09-11）。PoC 已公开。
• 攻击链：畸形输入写入日志/错误报告 → 触发「Payment Transaction Failed Reminder」事务邮件渲染 → 模板过滤器经对象注入链调用 DI 代码扫描组件 → 包含执行污染文件 → RCE
• 缓解建议：应用 Adobe 热修复 VULN-39341（APSB26-146，Priority 1）；轮换加密密钥及所有凭证明文（管理员密码、REST/SOAP/GraphQL Token、支付网关密钥、DB/SSH 密钥）。已修复前被入侵的实例需做事件响应，打补丁不能清除已有后门。
• 参考链接：Adobe 安全公告 APSB26-146 ｜ NVD 详情 ｜ Sansec 原始研究 ｜ Tenable 技术问答 ｜ Aviatrix 攻击路径分析

3. CVE-2026-86218 — N-able N-central 预认证 RCE【严重 · 在野利用】

• 漏洞类型：静态代码注入（CWE-96）→ 预认证远程代码执行
• 受影响组件：N-able N-central < 2026.3.1.14（含已打 Hotfix 3 的实例）
• CVSS 评分：10.0（CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H）
• 利用状态：CISA 9/8 纳入 KEV（联邦截止 09-11）；N-able 9/5 发布 Hotfix 4 后称「在野利用」。Huntress 报告一例已完全打补丁的 N-central 于 9/4 仍被入侵（具体利用链未确认）；watchTowr 已复现 RCE。该 RMM 平台掌握其管理下所有设备的特权，沦陷即可横向至客户/企业全网，是勒索团伙高价值目标。
• 修复版本：N-central 2026.3 Hotfix 4（2026.3.1.14）；托管版（NCOD）已由厂商自动修复，自建版需手动升级。
• 参考链接：The Hacker News 报道 ｜ N-able 安全公告 ｜ CERT Belgium 预警 ｜ Field Effect 分析

4. CVE-2026-20079 — Cisco Secure FMC 认证绕过 → Root【严重 · 在野利用】

• 漏洞类型：认证绕过（CWE-288，备用路径/通道）→ 执行脚本文件获取底层 OS 的 root 权限
• 受影响组件：Cisco Secure Firewall Management Center（FMC）软件、Cisco Security Cloud Control（SCC）Firewall Management
• CVSS 评分：10.0（Critical）
• 利用状态：Cisco 于 2026-09-09 更新公告确认已在野利用；同日 CISA 纳入 KEV（联邦截止 09-12，需做取证调查）。未认证远程攻击者可绕过认证并发送构造 HTTP 请求执行脚本获取 root。
• 修复版本：Cisco 按各发布分支提供热修复（7.0 / 7.2 / 7.4 / 7.6 / 7.7 / 10.0）；详见官方公告并按精确版本匹配热修复。
• 参考链接：Cisco 安全公告 cisco-sa-onprem-fmc-authbypass-5JPp45V2 ｜ Security Affairs 报道 ｜ Carthage 9/9 态势简报

5. CVE-2026-87491 — Google Chromium V8 越界写【高危 · 在野利用】

• 漏洞类型：越界写（CWE-787，Out-of-Bounds Write）于 V8 引擎
• 受影响组件：Google Chrome（含 Edge、Opera 等 Chromium 系浏览器）＜ 153.0.8010.36
• CVSS 评分：8.8（High，NVD）
• 利用状态：Google 确认存在在野 exploit，为 2026 年第 7 个被利用的 Chrome 零日；攻击者借特制 HTML 页面在 Chrome 沙箱内执行任意代码。CISA 9/9 纳入 KEV（联邦截止 09-23）。与 CVE-2026-85046（8 月 V8 类型混淆零日，KEV 截止 09-18）同属浏览器大军，需统一升级。
• 修复版本：Chrome 153.0.8010.36/.37（Windows/macOS）、153.0.8010.36（Linux）
• 参考链接：The Hacker News：四大间谍组织共用 Chrome/Windows 利用包 ｜ Security Affairs 报道 ｜ Carthage 9/9 态势简报

6. CVE-2026-19490 — Citrix NetScaler ADC/Gateway 认证绕过【严重 · 在野利用】

• 漏洞类型：认证绕过（CWE-288，备用路径/通道），SAML HTTP-Redirect binding 未签名断言伪造会话
• 受影响组件：NetScaler ADC/Gateway 14.1 < 73.32、13.1 < 63.21（及对应 FIPS/NDcPP）；配置为 Gateway 或 AAA vserver 时触发
• CVSS 评分：9.3（CVSS v4.0，部分数据源记为 9.8 v3.1）
• 利用状态：自 2026-09-03 起在野，已有可信 PoC；攻击源分布于澳大利亚、美国、德国。CISA 于 2026-09-09 纳入 KEV（联邦截止 09-12）。Shadowserver 统计约 22,000+ ADC 与近 1,700 Gateway 暴露公网。无官方 workaround，仅升级可修复。
• 修复版本：14.1-73.32 / 13.1-63.21 及以上
• 参考链接：Citrix 官方安全公告 CTX696939 ｜ NVD 详情 ｜ BleepingComputer 在野报道 ｜ HKCERT 分析

7. CVE-2025-25249 — Fortinet 多产品堆溢出【高危 · 在野利用】

• 漏洞类型：堆溢出（CWE-122）于 cw_acd 守护进程
• 受影响组件：FortiOS、FortiSwitchManager、FortiSASE（低于已修复版本，FG-IR-25-084）
• CVSS 评分：8.1（Security Affairs；部分数据源记为 9.8）
• 利用状态：在野利用，已有攻击在被入侵 FortiGate 上部署 PivotC2 远程访问木马。CISA 9/9 纳入 KEV（联邦截止 09-12）。未认证远程攻击者发送特制数据包即可执行任意代码/命令。
• 修复版本：按各产品分支应用 FG-IR-25-084 修复固件
• 参考链接：FortiGuard PSIRT FG-IR-25-084 ｜ NVD 详情 ｜ Security Affairs 报道

8. CVE-2026-32475 — Elementor Pro 未授权文件上传 → RCE【严重 · 在野利用】

• 漏洞类型：危险类型文件无限制上传（CWE-434），表单文件上传验证逻辑/处理循环错配（空文件项使 validation() 提前返回，而 process_field() 仍移动 PHP 文件）
• 受影响组件：Elementor Pro ≤ 4.2.1（需含 File Upload 字段的公开表单页）
• CVSS 评分：9.0（Critical）
• 利用状态：2026-09-02 起确认在野利用（#WordPress 社区 25+ 信源佐证）；多个公开 PoC 可用。未认证攻击者上传 PHP Web Shell 至 wp-content/uploads/elementor/forms/，借 uniqid() 预测文件名实现 RCE。
• 修复版本：Elementor Pro 4.2.2+（2026-08-19 修复）；临时缓解：移除公开表单的 File Upload 字段或用 WAF 限制表单提交。
• 参考链接：GitHub Advisory GHSA-684f-44pq-4p6q ｜ Patchstack 分析 ｜ Feedly CVE 追踪

9. 其他重点新增高危漏洞（补丁日高优先级）

10. CISA KEV 9/8 与 9/9 在野漏洞速览

2026-09-08 CISA 一次性将 4 个确认在野漏洞纳入 KEV，2026-09-09 再次新增 4 个，合计 8 个新增在野条目，几乎全部为边界设备/基础设施/浏览器：

9/8 批次（联邦截止 09-11 / 09-22）

9/9 批次（联邦截止 09-12 / 09-23）

• 参考链接：CISA 9/8 通报 ｜ CISA 9/9 通报（GovDelivery） ｜ CISA KEV 总目录 ｜ Aviatrix 9/9 分析

二、最新漏洞 PoC（含复现步骤）

说明：下列 PoC 均为近期公开仓库，仅供授权安全研究与渗透测试使用。对 Microsoft 9 月补丁日的两个 Windows 零日（CVE-2026-81963 / CVE-2026-85880）及 N-able N-central（CVE-2026-86218），截至本报告发布尚无公开可用武器化 PoC（watchTowr 已私下复现 CVE-2026-86218），请优先以补丁/缓解措施为准。

1. CVE-2026-75650 — StyleSmuggler（Magento / Adobe Commerce）【严重 · 在野】

• 受影响组件：Magento Open Source 2.4.9（及 Adobe Commerce 全版本 ≤ 2.4.9-2026-aug）
• 公开 PoC / 检测工具：
• dinosn/cve-2026-75650-magento-validation-lab（Docker 验证实验室，非完整武器化）
• disrex-group/stylesmuggler-adobe-patches（官方补丁对照）
• jithinkrishnanrs/stylesmuggler-ioc-toolkit（IoC 排查工具包）
• 复现步骤（dinosn 验证实验室，用于证明 PHP 执行原语 + 补丁有效性）：
  bash git clone https://github.com/dinosn/cve-2026-75650-magento-validation-lab cd cve-2026-75650-magento-validation-lab # 依赖：Docker + Compose v2，约 6GB RAM / 5GB 磁盘 docker compose up -d # 实验室以只读方式在 revision-pinned Magento 2.4.9 上复现 # 仅写入 /tmp 随机标记证明执行原语，不执行命令、不下载文件、不接受外部 payload bash verify.sh # 对比漏洞版 / 补丁版（VULN-39341）对相同输入的处理差异
• 前置条件：拥有/被授权测试的目标 Magento 实例；生产 Web 根目录下切勿放置探针。真实入侵排查：检索 var/log/、var/report/ 中是否含 PHP 标签及 system()/exec()/eval()/shell_exec() 等危险调用。

2. CVE-2026-32475 — Elementor Pro 文件上传 → RCE【严重 · 在野】

• 受影响组件：WordPress + Elementor Pro ≤ 4.2.1（含 File Upload 字段的公开表单页）
• 公开 PoC：
• Boreas37/CVE-2026-32475-PoC（纯标准库 Python，全自动化 RCE）
• absholi7ly/Elementor-Pro-Unauthenticated-Arbitrary-File-Upload-to-RCE
• dinosn/cve-2026-32475-elementor-pro-lab（A/B Docker 实验室 + 验证脚本）
• 复现步骤（Boreas37 PoC）：
  bash git clone https://github.com/Boreas37/CVE-2026-32475-PoC cd CVE-2026-32475-PoC # 依赖：Python 3 标准库，无需 pip 安装 python3 el_rce_poc.py --url http://TARGET \ --page-url http://TARGET/upload-form/ \ --command "id; hostname; uname -a" # 可选参数：--probe-seconds / --step-us / --workers（文件名 uniqid 预测窗口与并发） # 退出码 0 = 完整 RCE 确认；2 = 上传原语成立但文件名未在窗口内猜中（需手动定位 shell）
• 前置条件：目标页须含 Elementor Pro Form 的 File Upload 字段（非必填/默认设置即可）。完整实验室搭建见仓库 docker-compose.yml + setup_form_page.php。

3. CVE-2026-19490 — Citrix NetScaler SAML 认证绕过【严重 · 在野】

• 受影响组件：NetScaler ADC/Gateway 14.1 < 73.32、13.1 < 63.21（配置为 Gateway/AAA vserver 且启用 SAML action）
• 公开 PoC：
• TarPeg007/CVE-2026-19490（根因复盘 + 836 行单文件 Python PoC + Docker 实验室）
• BishopFox/CVE-2026-19490
• 复现步骤（TarPeg007 PoC）：
  bash git clone https://github.com/TarPeg007/CVE-2026-19490 cd CVE-2026-19490 pip install requests # 仅基础依赖 # 端点确认（无危害） python3 poc.py --target https://netscaler.example.com --check # 利用：构造未签名 SAMLResponse（raw-DEFLATE + Base64），经 GET /cgi/samlauth 提交 # --mint 自动借目标自身 AuthnRequest 链路自举全部 SAML 参数 # --safe-oracle 借错误页差分无损读配置（不签发会话） python3 poc.py --target https://netscaler.example.com --mint --safe-oracle # 成功判据：302 → /vpn/ 且 cookie 含真实 NSC_AAAC/NSC_TASS（需排除 xyz 删除标记 cookie）
• 前置条件：目标须为默认 rejectUnsignedAssertion ON (值 2) 配置（出厂默认即可被误读为「允许」）；已升级至 14.1-73.32 / 13.1-63.21 即不可利用。

4. CVE-2026-86218 — N-able N-central 预认证 RCE【严重 · 在野】

• 公开 PoC：截至本报告发布无公开可用 PoC 代码；watchTowr 已私下确认可复现 RCE。建议以检测/加固代替代码复现：
• 升级至 2026.3.1.14（Hotfix 4）
• 对控制台实施 IP 白名单 / VPN 收敛；互联网暴露实例在打补丁前考虑下线
• 审计 N-central 用户账户是否存在异常新增（攻击者常创建 .invalid 后缀的虚假管理员账户、借 Take Control 注册 Cloudflare 隧道持久化）
• 参考链接：The Hacker News ｜ secnews 深度分析

5. Microsoft 9 月补丁日两个 Windows 零日【高危 · 在野】

• CVE-2026-81963 / CVE-2026-85880：微软已确认在野，但暂无公开 PoC。二者均为本地提权（需先获得代码执行立足点），不直接提供远程未认证入口。
• 处置建议：立即应用 2026-09 累积更新（KB5124008 等）；对 RMM/终端密集环境优先推送。Windows 11 24H2/25H2 可用 Get-HotFix -Id KB5124008 验证。

三、网络安全最新文章（标题 · 摘要 · 链接）

1. Microsoft Patches Record 974 Flaws, Including Two Exploited Windows Zero-Days — The Hacker News。详解 9 月补丁日破纪录的 974 个 CVE、两个在野 Windows 零日（CVE-2026-81963 Update Stack 链接跟随、CVE-2026-85880 ALPC 堆溢出）及约 20 个蠕虫化潜力漏洞，附 ZDI/Action1 优先级建议。

2. CISA Adds N-able N-central Pre-Auth RCE (CVE-2026-86218) to KEV — The Hacker News。报道 N-able 5 周内第 4 个紧急热修复、CVSS 10.0 预认证 RCE 被在野利用并纳入 KEV，以及 Huntress 观察到的「完全打补丁环境仍被入侵」事件。

3. Four Spy Groups Used the Same Chrome and Windows Exploit Kit Within a Week — The Hacker News。Proofpoint 披露四个间谍组织（含 UNK_DoubleCheck、UNK_QuietRacket）在数日内共用同一 BlueMoon Chrome/Windows 利用包，利用 CVE-2026-87491（V8）与 CVE-2026-85046 等，并给出 IoC 与检测规则（SID 2071919–2071924）。

4. U.S. CISA Adds Cisco, Google Chromium V8, Fortinet, and Citrix NetScaler Flaws to KEV — Security Affairs。梳理 9/9 批次四个基础设施/浏览器在野漏洞（CVE-2026-20079、CVE-2026-87491、CVE-2025-25249、CVE-2026-19490）的影响、评分与修复。

5. StyleSmuggler (CVE-2026-75650): FAQ About Adobe Commerce and Magento Zero-Day — Tenable。对 StyleSmuggler 的攻击链、持久化（伪装内核线程的后门）、IoC 与「仅打补丁无法清除既有后门」的取证要点做 FAQ 式拆解。

6. CISA KEV Catalog Adds Four Critical Infrastructure Vulnerabilities (Sept 9) — Aviatrix。从攻击链视角解读 Fortinet/Citrix/Chromium/Cisco 四漏洞如何被用于初始访问、权限提升与横向移动。

7. September 9 2026 CVE Threat Brief: Citrix, Fortinet, Chrome V8, Cisco FMC KEV +4 — Carthage Electronics。按字段表逐项给出四漏洞的 CVSS、类型、修复版本、KEV 截止与逐产品 remediation checklist，适合蓝队直接落地。

8. Cybersecurity Daily Brief — Monday, September 7, 2026 — Canadian Cyber Security Journal。汇总当日要点：N-able 第 4 个热修复、CISA 七漏洞 KEV、MikroTik「MikroTrick」无认证劫持链、ScreenConnect 恶意文件传输投毒等。

9. 2026-09-08 Security Digest: Incidents, Vulnerability | Lazarus + CVE-2026-86218 — BestSec 每日安全摘要。中文视角的当日漏洞与事件汇编，覆盖 N-central RCE、云配置错误（80–98% 账户 IAM/日志缺陷）、ScreenConnect 四阶段 VBScript 投毒链等。

10. 《互联网情报资讯巡查报告》每周安全资讯（含 StyleSmuggler / Chrome 0day / SAP 内核 10.0 等） — 赛欧思科技 SOC。本周资讯汇总：Vexy 勒索软件 4 天连攻 5 企、MikroTik RouterOS 在补丁前一天被利用（MikroTrick）、SAP CVE-2026-44756（CVSS 10.0 内核 RCE）、PostgreSQL CVE-2026-6471 接管、Jenkins CVE-2026-84645 等。

部分内容由 AI 辅助生成