安全资讯

追踪全球网络安全最新动态：CVE漏洞预警、零日漏洞、供应链攻击、勒索软件、数据泄露。覆盖Microsoft、Google、Fortinet等主流厂商安全公告，每日更新，面向站长与安全运维人员。

CVE-2026-93616：Check Point 管理服务器目录遍历，未认证上传执行脚本

作者

Check Point 更新公告（AV26-902 Update 2）通报管理服务器与日志服务器产品线的目录遍历漏洞 CVE-2026-93616，未认证攻击者可上传并执行任意脚本，CVSS 9.8，CISA 已列入 KEV，联邦机构 9 月 25 日前须完成处置。

CVE-2026-85889：Azure AI Foundry 缺失认证达满分，同批修 4 洞

作者

微软披露 Azure AI Foundry 关键功能缺失认证漏洞 CVE-2026-85889，CVSS 10.0，未认证攻击者可经网络提权；同批修复 M365 Copilot 命令注入与 Azure 数据库越权等缺陷，评分 9.6 至 9.9，均已在服务端缓解。

CVE-2026-93985：OpenPanel 沙箱逃逸可跨租户接管 Worker，无补丁

作者

开源分析平台 OpenPanel 的 @openpanel/js-runtime 存在 CVSS 9.9 沙箱逃逸漏洞：项目写权限用户可用计算属性绕过校验、在共享 Worker 进程中执行任意代码并触及数据库凭据，官方暂无补丁且 PoC 已公开。

CVE-2026-94106：getID3 未转义文件名致命令注入，CVSS 8.8

作者

9 月 20 日公开的 CVE-2026-94106 显示，PHP 元数据解析库 getID3 在 1.9.26 之前写入音频标签时未对文件名做 shell 转义，攻击者只需构造含 Shell 元字符的文件名即可命令注入，CVSS 8.8，修复版 1.9.26。

缓存键注入：Nginx 缓存键拼接缺陷可致存储型 XSS 与 CPDoS

作者

YesWeHack 研究者 Alex Brumen 公开「缓存键注入」攻击手法：当 proxy_cache_key 把协议、主机、URI 与请求头直接无分隔符拼接时，不同请求可生成相同缓存键，进而绕过访问控制、读取缓存敏感页面、触发 CPDoS 或借协议混淆投毒形成存储型 XSS。

ChainScript 木马借 ClickFix 投递，用区块链合约轮换 C2 服务器

作者

Blackpoint 披露新型 Node.js 远控木马 ChainScript：借 ClickFix 诱骗用户运行伪装成 Spotify 的 MSI 安装包，并通过 Polygon 智能合约动态解析 WebSocket C2 地址，封一台换一台，规避基于固定域名与 IP 的封禁。

Claude Opus 5 助研 72 小时攻破 OpenAI：Discourse 论坛漏洞叠加 SSO 缺陷直达内部仓库

作者

安全厂商 Hacktron 三名研究员借助 Claude Opus 5，在不到 72 小时内把 OpenAI 社区论坛的图像解码漏洞串联成完整攻击链，经 SSO 缺陷接管员工 ChatGPT 与 Codex 账户并触达内部仓库，OpenAI 已修复并支付 6500 美元赏金。

TanStack npm 供应链攻击余波：CrowdSec 170 个私有仓库被复制，离职账号未回收成突破口

作者

CrowdSec 确认约 170 个私有 GitHub 仓库被复制。攻击者借 5 月 TanStack npm 供应链事件（CVE-2026-45321）窃取的令牌，使用一名已离职但仍保留访问权限的员工账号完成操作，被盗源码 9 月才出现在公开论坛。

MikroTrick：MikroTik RouterOS 未认证接管链在野利用，12 万台 SSH 暴露设备待排查

作者

Bishop Fox 复现了 MikroTik RouterOS 的 MikroTrick 接管链：CVE-2026-67279 借 SSH 重协商绕过认证状态，CVE-2026-86060 用「-2」用户名注入身份实现提权，未认证即可取得管理员权限，修复版 6.49.21/7.23.4/7.24.2。

CVE-2026-28326：SolarWinds ARM 硬编码密钥致未认证 RCE，CVSS 8.8 补丁已发布

作者

SolarWinds 9 月 17 日修补 Access Rights Manager 的硬编码静态密钥缺陷，攻击者可用固化密钥伪造认证令牌实现未认证远程代码执行，CVSS 8.8，修复版 2026.2.1，同期 Web Help Desk 与 Serv-U 共修复 18 个漏洞。