10 月 28 日，Juniper 发布安全公告 JSA112183，一次性修掉 Session Smart Router 与 Session Smart Conductor 的 18 个漏洞，其中两枚 CVSS 9.8、八枚 8.8 以上，全部由 Juniper 自己的产品安全测试发现。修复版本是 7.0.5、7.1.7 和 7.2.3。Juniper SIRT 表示尚未观察到这些漏洞被恶意利用，18 个 CVE 也都不在 CISA KEV 里。
事件概述
这批漏洞不是同一个故事，而是共用一次发版的多种缺陷：OS 命令注入、认证缺失、链接跟随、路径遍历、DHCP 栈溢出、协议解析内存错误。受影响的是 7.0.5、7.1.7、7.2.3 之前的全部版本，公告给出的评级是 Critical，并且明确写「没有覆盖全部问题的统一 workaround」。
Session Smart Router 是 Juniper 的 SD-WAN 产品线，Conductor 则集中管理整片路由器。两者都得升，只升一个不够。
技术细节
| CVE | CVSS | 作用面 | 问题 |
|---|---|---|---|
| CVE-2026-103406 | 9.8 | 仅 Conductor | AutomatedProvisioner 的 OS 命令注入，构造 salt minion ID 即可以 root 执行命令，无需认证 |
| CVE-2026-103409 | 9.8 | 仅 Router（未纳管） | 某个以 root 运行的内部端点缺认证，构造 URL 参数即可取得管理员权限 |
| CVE-2026-103401 | 8.8 | Mist 托管 / 未纳管 | 未认证 web handler 存在链接跟随，可 root 权限覆写任意文件 |
| CVE-2026-103408 | 8.8 | 仅 Router | DHCP 客户端栈溢出，相邻网络未认证攻击者用恶意 DHCP 回应触发代码执行 |
| CVE-2026-103402 | 8.8 | 两者 | 缓存文件缺完整性校验，可导致代码执行 |
| CVE-2026-103403 | 8.8 | 两者 | 删除审计规则时触发命令执行 |
| CVE-2026-103407 | 8.8 | 两者 | PKI 管理流程可致文件读取、覆写或删除 |
| CVE-2026-106079 | 8.8 | 两者 | YANG 配置校验里以 root 身份执行命令 |
其余十枚从 3.7 到 7.5：CVE-2026-103410 是 7.5 的拒绝服务，CVE-2026-103411 是 7.1 的信息泄露，CVE-2026-103394 是 3.7 的安全策略更新中加密密钥误用，中间还有崩溃、内存错误与 HTTP 响应拆分若干。公告里另外带了两个外部 PHP 漏洞 CVE-2026-109618 与 CVE-2026-109619，Juniper 确认 Junos OS 受影响但不可利用。
版本号决定不了暴露面
这是本批漏洞最值得记的一点。CVE-2026-103401 的适用条件写得很清楚：Mist 托管的路由器和还没纳管的路由器受影响，Conductor 托管的路由器不受影响。反过来，CVE-2026-103409 只在设备 onboard 到 Mist 或 Conductor 之前可被利用，纳管之后就打不了了。
换句话说，两台固件版本完全相同的机器，风险并不相同。资产清单里只记「SSR 7.2.2」这一行是不够的，还得记这台机器归谁管、处在部署的哪个阶段。这决定了排查的第一步是查管理面归属，而不是直接排升级窗口。
影响评估
两枚 9.8 的性质不一样。103406 打在 Conductor 上，一旦得手就是以 root 执行命令 —— 而 Conductor 管着整片路由器，等于一次拿下所有站点的配置下发权。103409 虽然只能打在未纳管的设备上，但路由器出厂到上线之间往往是最松懈的窗口，很多设备在这个状态下会停留很久。
103408 的利用条件值得一提：不需要接触管理面，只要和路由器处在同一个二层/三层邻接网络里，发一个恶意 DHCP 回应就能触发栈溢出。对办公网和分支机构网络来说，这等于把「内网可信」的假设直接推翻。
加拿大网络安全中心已就这两款产品发布公告 AV26-1101。目前无在野利用报告，也不在 KEV，但 18 个里的这批高危项集中在一个产品族，攻击者逆向的动机不小。
修复建议
升级到 7.0.5、7.1.7、7.2.3 或更高版本，Router 与 Conductor 都要升。升级前备份配置，并规划好升级后如何验证路由与会话正常。
# 升级前确认当前版本与管理面归属
ssr-cli show version
ssr-cli show assets
# 两个 9.8 的临时收敛方向
# 1) 限制 Conductor 管理面来源，只放行运维网段
# 2) 未纳管设备尽快完成 onboard，或隔离在独立网段补丁到位之前，把 Conductor 与路由器的管理接口从公网撤下来，只放行运维网段；正在等待上线的设备单独隔离，别和办公网、生产网混在同一广播域；DHCP 场景下开启 DHCP snooping 之类的二层防护，能挡住一部分 103408。