每日安全情报报告
由 AI 整理发布
覆盖近 48 小时新增高危漏洞、公开 PoC 与安全情报文章（重点汇总 9 月下旬集中披露并遭在野利用的零日/高危漏洞）
风险等级：🔴 严重 | 🟠 高危 | 🟡 中危 | 🟢 低危
一、最新高危漏洞（优先关注在野利用）
本日重点：9 月下旬出现一波针对网络管理平面、VPN/防火墙、CMS 与邮件系统的集中零日披露，其中多枚已被 CISA 纳入 KEV（Known Exploited Vulnerabilities）确认在野利用，需优先处置。
| 风险 | CVE 编号 | 漏洞类型 | 受影响组件 | CVSS | 在野利用 | 参考链接 |
|---|---|---|---|---|---|---|
| 🔴 严重 | CVE-2026-94127 | 堆缓冲区溢出（OAuth 实现），未授权 RCE | F5 BIG-IP APM 21.1.0、17.1.0–17.5.1 | 9.8 | ✅ KEV（9/22 加入） | NVD 详情 · F5 公告 |
| 🔴 严重 | CVE-2026-93616 | 目录遍历 + 任意文件上传 → RCE | Check Point Security Management Server（R82.x/R81.x 等多系列） | 9.8 | ✅ KEV（9/22 加入） | NVD 详情 · Check Point 公告 |
| 🔴 严重 | CVE-2026-85102 | 认证绕过 + 远程代码执行 | Check Point Quantum Security Gateway / Spark 防火墙 | 9.8 | ✅ KEV（9/22 加入） | NVD 详情 · Check Point 公告 |
| 🔴 严重 | CVE-2026-76460 | API 网关认证绕过 → root RCE | Cisco ISE / ISE-PIC | 9.8 | ✅ 在野利用 | NVD 详情 · Cisco 公告 |
| 🔴 严重 | CVE-2026-76461 | SQL 注入 → 命令执行 | Cisco Secure Email Gateway（AsyncOS） | 9.8 | ⚠️ PoC 公开 | NVD 详情 · PoC 汇总 |
| 🔴 严重 | CVE-2026-87902 | 未授权路径遍历 → LFI/RCE | WordPress Core 4.7.0–7.1.1（已修复 7.1.2） | 9.2（v4）/8.1（v3） | ✅ KEV（9/25 加入） | NVD 详情 · WordPress 公告 |
| 🔴 严重 | CVE-2026-89026 | 硬编码 JWT 密钥 → 未授权 RCE | Issabel Framework（开源 PBX，Asterisk） | 9.8 | ✅ 在野利用（Shadowserver 9/9 观测） | NVD 详情 · 技术分析 |
| 🔴 严重 | CVE-2026-80155 | 认证绕过 / 任意文件写入 → RCE | Lantronix SLC8000、EMG8500、EMG7500 等串口/终端服务器 | 10.0 | ⚠️ 需优先加固 | NVD 详情 · Lantronix 公告 |
| 🔴 严重 | CVE-2026-74849 | 远程代码执行（GINA 客户端） | ManageEngine ADSelfService Plus（< build 7001） | 9.8 | ⚠️ 需优先升级 | NVD 详情 · ManageEngine 公告 |
| 🔴 严重 | CVE-2026-86060 | SSH 登录路径参数注入 → 提权（MikroTrick 链） | MikroTik RouterOS 7.x（与 CVE-2026-67279 串联） | 9.8 | ✅ KEV（9/10 加入） | NVD 详情 · Bishop Fox 技术分析 |
| 🟠 高危 | CVE-2026-86350 | HTTP/2 请求走私（HPack 头混淆） | Apache Tomcat ≤ 9.0.121（已修复 9.0.122） | 9.1 | ⚠️ PoC 公开（9/25） | NVD 详情 · Sploitus PoC |
| 🟠 高危 | CVE-2026-65660 | 代码注入 → RCE | Microsoft SharePoint Server（多版本） | 8.8 | ✅ KEV，在野利用 | NVD 详情 · MSRC 公告 |
| 🟠 高危 | CVE-2026-48842 | 预认证 SQL 注入（virtuser_query 插件） | Roundcube Webmail < 1.6.16 / 1.7.1 | 8.1 | ✅ 在野利用（加拿大网络安全中心 9/21 预警） | NVD 详情 · CERT.pl 分析 |
| 🟠 高危 | CVE-2026-32996 | 本地权限提升 → SYSTEM | Veeam Agent for Windows 13.x ≤ 13.0.1.2067 | 严重（LPE） | ⚠️ PoC 公开（9/14） | NVD 详情 · FreeBuf 报道 |
| 🟠 高危 | CVE-2026-89775 | Linux KVM ARM64 嵌套虚拟化逃逸（Guest→Host） | Linux Kernel 6.17/6.18/7.x（已修复 6.18.51/7.2.5/7.3-rc1） | 9.3 | ⚠️ PoC 公开 | NVD 详情 · oss-security 讨论 |
| 🟠 高危 | CVE-2026-23239 | espintcp 释放后使用竞争 → 本地提权 | Linux Kernel（espintcp 模块） | 7.8 | ⚠️ PoC 公开（RustyTux） | NVD 详情 · PoC 说明 |
在野利用重点提示（🔴 必须立即处置）：
- F5 BIG-IP APM（CVE-2026-94127）、Check Point 管理服务器与 VPN（CVE-2026-93616 / CVE-2026-85102）、Cisco ISE（CVE-2026-76460）、WordPress（CVE-2026-87902）、Issabel PBX（CVE-2026-89026）、MikroTik RouterOS（MikroTrick 链） 均已确认遭在野利用并进入 CISA KEV。上述多为边界/管理平面设备，一旦失守可直接获取整个网络或基础设施的控制权，请优先完成资产盘点与补丁/缓解。
二、最新漏洞 PoC（含使用步骤）
以下 PoC 仅限授权测试与防护验证使用。所有仓库均为公开研究项目，请以官方补丁为最终修复手段。
1. CVE-2026-87902 — WordPress 未授权路径遍历 / RCE
- 来源：vulpecuna/CVE-2026-87902 · dinosn LFI 实验环境
- 使用步骤：
bash git clone https://github.com/vulpecuna/CVE-2026-87902.git cd CVE-2026-87902 pip install requests python3 poc.py -u https://target-wordpress.example - 说明：利用
pagename=..%252f双编码触发get_page_template()路径遍历，结合pearcmd.php可实现文件写入。触发需主题含page-开头目录等前置条件。
2. CVE-2026-94127 — F5 BIG-IP APM 未授权 RCE
- 来源：watchTowr Labs 复现 PoC · FurkanKAYAPINAR/CVE-2026-94127
- 使用步骤：
bash git clone https://github.com/watchtowrlabs/watchTowr-vs-f5-bigip-PreAuth-RCE-CVE-2026-94127.git cd watchTowr-vs-f5-bigip-PreAuth-RCE-CVE-2026-94127 pip install -r requirements.txt python3 CVE-2026-94127.py --url https://target-bigip.example - 说明：针对启用 APM 访问策略 + OAuth Authorization Server 配置的虚拟服务器，堆溢出实现未授权代码执行。
3. CVE-2026-93616 — Check Point 管理服务器检测脚本
- 来源：WadesWeaponShed/CVE-2026-93616_Checks
- 使用步骤：
bash git clone https://github.com/WadesWeaponShed/CVE-2026-93616_Checks.git cd CVE-2026-93616_Checks python3 check.py -t https://target-mgmt.example:19009 - 说明：目录遍历 + 任意文件上传的检测/验证脚本，可用于排查管理服务器是否被植入后门或异常文件。
4. CVE-2026-76460 / CVE-2026-76461 — Cisco ISE / 邮件安全网关
- 来源：S3v3n-JG/CVE-2026-76460 · fevar54 检测工具包 · 0xBlackash/CVE-2026-76461
- 使用步骤：
bash git clone https://github.com/S3v3n-JG/CVE-2026-76460.git cd CVE-2026-76460 python3 exploit.py -u https://target-ise.example - 说明：CVE-2026-76460 为 ISE API 网关认证绕过（root RCE，已确认在野）；CVE-2026-76461 为邮件网关 SQL 注入导致命令执行。
5. CVE-2026-86350 — Apache Tomcat HTTP/2 请求走私
- 来源：Sploitus 上的 abraxas PoC
- 使用步骤：
bash git clone https://github.com/abraxas/CVE-2026-86350.git cd CVE-2026-86350 pip install -r requirements.txt python3 poc.py --target https://target-tomcat.example:8080 - 说明：利用 HPack 解码逻辑回退导致的请求头混淆，实现 HTTP/2 请求走私（需 HTTP/2 前置）。
6. CVE-2026-23239 — Linux 内核本地提权（RustyTux）
- 来源：RustyTux PoC（GitHub）
- 使用步骤：
bash git clone https://github.com/rustytux/CVE-2026-23239.git cd CVE-2026-23239 make ./rustytux - 说明：espintcp 模块
espintcp_close()竞争条件 UAF，无需任何 Linux capability 即可本地提权至 root（时机敏感，需按目标调参）。
三、网络安全最新文章
| 来源 | 标题 | 摘要 | 链接 |
|---|---|---|---|
| The Hacker News | Roundcube 预认证 SQL 注入漏洞遭在野利用 | 加拿大网络安全中心确认 CVE-2026-48842 在野利用，影响启用 virtuser_query 插件的 Roundcube < 1.6.16/1.7.1，无需登录即可注入 SQL。 | 阅读原文 |
| The Hacker News | WSO2 与 Adobe Commerce 漏洞遭攻击并被纳入 CISA KEV | 两枚漏洞已被观测到在真实攻击中被利用，CISA 将其加入已知利用漏洞目录，要求联邦机构限期修复。 | 阅读原文 |
| The Hacker News | 被入侵的 GitHub Actions 重启并执行 Mini Shai-Hulud 恶意软件 | 遭入侵的 CI 工作流恢复运行后继续投递恶意负载，凸显软件供应链与 CI/CD 安全的重要性。 | 阅读原文 |
| The Hacker News | PamStealer macOS 恶意软件新增实时 C2 载荷解密与多层持久化 | 针对 macOS 的信息窃取木马升级，能够实时解密 C2 指令并建立多层驻留。 | 阅读原文 |
| The Hacker News | Bitget 称疑似朝鲜黑客后端被攻破致 3.516 亿美元被盗 | 加密货币交易所 Bitget 披露一起重大盗币事件，归因疑似朝鲜相关攻击者。 | 阅读原文 |
| The Hacker News | Cloudflare 修复容器越界读取其他客户磁盘残留数据的缺陷 | 多租户隔离失效导致单容器可读到相邻客户遗留磁盘数据，已修复。 | 阅读原文 |
| FreeBuf | 攻击者利用 WordPress CVE-2026-87902，披露数小时即发起在野攻击 | 详细还原漏洞前置条件、pearcmd.php 利用链及 Previdian/Patchstack 监测到的攻击时间线（累计 68 次尝试）。 | 阅读原文 |
| FreeBuf | 公开 PoC 披露 Veeam Agent 严重提权漏洞，低权用户可获取 SYSTEM 权限 | 解析 CVE-2026-32996 会话绑定缺陷与日志读取式利用，多用户 Windows 端点风险极高。 | 阅读原文 |
| FreeBuf | CVE-2026-43786：macOS CoreServices 本地权限提升漏洞 | 解析 macOS CoreServices 缺失 entitlement 检查导致普通应用以 root 执行代码，附 PoC 链接。 | 阅读原文 |
四、防御建议（速览）
- 边界优先：立即盘点并修复 F5 BIG-IP APM、Check Point 管理/VPN、Cisco ISE、MikroTik RouterOS、WordPress、Issabel PBX 等暴露在公网的资产，这些均已确认在野利用。
- 邮件系统：排查 Roundcube 是否启用
virtuser_query插件并升级至 1.6.16 / 1.7.1 以上。 - PoC 验证：使用上文公开检测/复现脚本对内部资产做授权脆弱性验证，但不依赖 PoC 是否存在来判断风险。
- 纵深加固：对管理平面设备限制来源 IP、启用 MFA、加强日志审计与异常外联监控。
- 内核/终端：Linux 服务器及时更新内核（CVE-2026-23239 / CVE-2026-89775），多用户 Windows 主机优先修复 Veeam Agent（CVE-2026-32996）。
部分内容由 AI 辅助生成
927
扫一扫
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
