卫方智能 - 卫方智能网络安全资讯平台

CVE-2026-42542：TDengine 单包崩溃漏洞影响 73 万实例

2026年9月30日作者卫方智能

Ridge Security 披露 TDengine 时序数据库整数下溢漏洞 CVE-2026-42542，未认证攻击者向默认端口 6030 发送单个畸形包即可打崩服务端。影响 3.4.0.0 至 3.4.1.5，官方已在 3.4.1.6 修复，全球约 73 万实例受波及。

2026年9月30日作者卫方智能

苹果紧急推送 iOS 26.7.1、macOS 26.7.1 与 15.8.1，修复 CoreGraphics 越界写入漏洞 CVE-2026-86950。苹果确认该漏洞可能已被用于极高复杂度定向攻击，CISA 已将其列入 KEV 目录，建议存量旧版设备立即升级。

2026年9月30日作者卫方智能

UA 黑名单和 robots.txt 都拦不住的爬虫，多半跑在无头浏览器里。本文用 9 个问答讲清 Headless 爬虫的特征、服务端与前端两层识别方法、JS 挑战与指纹打分怎么落地、CDN 边缘拦截，以及如何设置处置阶梯避免误伤真实用户。

2026年9月30日作者卫方智能

服务器带宽跑满、CPU 空转、云账单暴涨？很可能是被植入木马当了肉鸡，正在对外发起 DDoS。本文用 9 个问答讲清肉鸡的判定信号、出向流量自查命令、恶意进程与持久化排查、应急处置顺序与防复发加固。

2026年9月29日作者卫方智能

先查后写导致超卖与重复领券。本文给出 O_EXCL 原子落盘、ZIP 条目白名单校验、内核 protected_symlinks、原子 UPDATE 与唯一索引、Redis 分布式锁及幂等键的完整修复与并发验证方案。

2026年9月29日作者卫方智能

企业代理与失陷 CA 可解密 App 流量。本文给出 SPKI 指纹计算、Android network_security_config、OkHttp CertificatePinner、iOS NSPinnedDomains 配置及备用 pin 轮换与 mitmproxy 验证方法。

2026年9月29日作者卫方智能

服务器被列入黑名单多因 SMTP 开放中继。本文给出 Postfix 收敛 mynetworks、补齐 reject_unauth_destination、启用 SASL 认证与发信速率限制的完整配置，附 nc 与 swaks 四项外部验证方法。

2026年9月29日作者卫方智能

Cloudflare Containers 共享存储池未清零复用的 64KiB 块，Workers 付费账户可读取其他租户容器残留数据，涉及 SQLite 数据库、.env 与凭据文件；官方已于 9 月 19 日完成修复，客户无需操作。

2026年9月29日作者卫方智能

D-Link DIR-895L 固件 A1_102b07 的 L2TP 控制通道解析存在越界写漏洞 CVE-2026-100740，CVSS 9.9，公开 PoC 已发布且厂商暂无补丁，建议隔离设备、关闭 L2TP 或更换型号。

2026年9月29日作者卫方智能

Froxlor 2.3.10 及以下版本存在三个高危漏洞，CVE-2026-100716 与 CVE-2026-100717 均为 CVSS 9.9，低权限客户账号即可提权至 root 或注入 Web 服务器配置，修复版本 2.3.12。

2026年9月29日作者卫方智能

Request a Quote for WooCommerce 插件 2.9.2 及以下存在未认证任意文件上传漏洞 CVE-2026-18143，CVSS 9.8，攻击者可在可访问目录写入 PHP 文件；官方已发 2.9.3，同时建议禁止 uploads 目录执行 PHP。

2026年9月29日作者卫方智能

OpenClaw 与 ClawHub 于 9 月 26 日集中披露约 79 个漏洞，涵盖沙箱逃逸、授权绕过、命令注入与路径遍历，最高 CVSS 8.8，修复版本为 2026.7.1 与 2026.8.1，技能市场投毒仍是活跃通道。