安全资讯 - 卫方智能网络安全资讯平台

vm2 沙箱逃逸漏洞三连：CVE-2026-92938/92939/92940 最高 CVSS 10.0，修复版 3.11.7

2026年9月18日作者卫方智能

Node.js 沙箱库 vm2 的 3.11.3 至 3.11.6 版本同时暴露三个严重漏洞：node:sqlite 与 crypto.setEngine 可逃逸沙箱执行原生代码，https.globalAgent 可泄露宿主机凭据，最高 CVSS 10.0，已在 3.11.7 修复。

2026年9月18日作者卫方智能

开源统一通信平台 Issabel Framework 存在硬编码 HS256 JWT 签名密钥，所有安装实例密钥相同，未认证攻击者可伪造令牌调用 Asterisk 执行系统命令。CVSS 9.8，Shadowserver 已观测到在野利用。

2026年9月18日作者卫方智能

思科修复 Cisco ISE 与 ISE-PIC 中 CVSS 10.0 的零日漏洞 CVE-2026-76460，未认证攻击者可绕过 API 身份认证并获得 root 权限。PSIRT 确认已遭在野利用，CISA 列入 KEV 并限 3 天内修补。

2026年9月17日作者卫方智能

CISA 发布多份 ICS 通告：Digital Watchdog VMAX 系列 DVR/NVR 存在 6 个漏洞，两个 CVSS 9.6，含硬编码凭证与 root 级命令执行；Wärtsilä FOS-Onboard 船舶系统存在硬编码加密密钥。

2026年9月17日作者卫方智能

谷歌在 9 月 Pixel 更新公告中披露 CVE-2026-58704：蜂窝调制解调器权限绕过逻辑错误可提权（CVSS 8.0），存在有限定向利用迹象。9月16日 CISA 将其列入 KEV，要求联邦机构 9月19日前修复。

2026年9月17日作者卫方智能

研究员 Gal Weizman 公开 BragJack 攻击：一个恶意浏览器扩展即可劫持 Chrome Gemini、Edge Copilot、Opera Neon、Perplexity Comet 与 Claude in Chrome 的内置 AI 智能体。

2026年9月17日作者卫方智能

Acronis 备份插件存在 CWE-276 不安全默认权限缺陷，本地低权限用户可提权至 root（CVSS 7.8），厂商确认已在 cPanel & WHM 环境遭有限定向利用。共享主机上单账户被拿下可能连带同机其他客户。

2026年9月17日作者卫方智能

Oracle 9月CSPU共修复673个漏洞，其中6个为CVSS 10.0满分且可未认证远程利用。Hyperion Financial Management 的满分漏洞已有公开利用代码，WebLogic、OAM、OID、Oracle Forms 均在列。

2026年9月16日作者卫方智能

F5 蜜罐在 8 月记录 807 次攻击会话、约 3.2 万次原始事件，攻击者利用 Vite 文件读取绕过漏洞 CVE-2026-39364 扫描公网暴露的开发服务器，批量窃取 .env、AWS 密钥、Azure 令牌与 Terraform state。

2026年9月16日作者卫方智能

HBO Max 官方验证账号 u/hbomax 被劫持，攻击者利用其投放 108 条恶意广告，以虚假 macOS 版 HBO Max 应用诱导用户把命令粘贴进终端，投递信息窃取程序与加密货币剪切器。该活动被命名为 PasteSwitch。

2026年9月16日作者卫方智能

日本数字厅确认，攻击者利用一台 VPN 设备中已有补丁的中危漏洞入侵政府共享平台 GSS，可能泄露约 24.6 万条公务员与承包商信息，含 23.6 万个姓名与 23.1 万个邮箱。入侵实际自 5 月下旬开始，6 月 25 日才被发现。

2026年9月16日作者卫方智能

Apache 9 月 14 日披露 Storm 两个严重漏洞：CVE-2026-82434 被评为 CVSS 4.0 满分 10.0，Nimbus 把拓扑配置原样下发，仅持只读权限者即可拿到可写的 ZooKeeper 凭据；CVE-2026-82435 认证前内存耗尽已有利用代码。