安全资讯 - 卫方智能网络安全资讯平台

Oracle 9月安全更新修复673个漏洞：六个 CVSS 10.0 满分全部可未认证远程利用

2026年9月17日作者卫方智能

Oracle 9月CSPU共修复673个漏洞，其中6个为CVSS 10.0满分且可未认证远程利用。Hyperion Financial Management 的满分漏洞已有公开利用代码，WebLogic、OAM、OID、Oracle Forms 均在列。

2026年9月16日作者卫方智能

F5 蜜罐在 8 月记录 807 次攻击会话、约 3.2 万次原始事件，攻击者利用 Vite 文件读取绕过漏洞 CVE-2026-39364 扫描公网暴露的开发服务器，批量窃取 .env、AWS 密钥、Azure 令牌与 Terraform state。

2026年9月16日作者卫方智能

HBO Max 官方验证账号 u/hbomax 被劫持，攻击者利用其投放 108 条恶意广告，以虚假 macOS 版 HBO Max 应用诱导用户把命令粘贴进终端，投递信息窃取程序与加密货币剪切器。该活动被命名为 PasteSwitch。

2026年9月16日作者卫方智能

日本数字厅确认，攻击者利用一台 VPN 设备中已有补丁的中危漏洞入侵政府共享平台 GSS，可能泄露约 24.6 万条公务员与承包商信息，含 23.6 万个姓名与 23.1 万个邮箱。入侵实际自 5 月下旬开始，6 月 25 日才被发现。

2026年9月16日作者卫方智能

Apache 9 月 14 日披露 Storm 两个严重漏洞：CVE-2026-82434 被评为 CVSS 4.0 满分 10.0，Nimbus 把拓扑配置原样下发，仅持只读权限者即可拿到可写的 ZooKeeper 凭据；CVE-2026-82435 认证前内存耗尽已有利用代码。

2026年9月16日作者卫方智能

苹果 9 月 14 日发布 iOS 27、macOS Golden Gate 27 等全线更新，去重后修复 273 个唯一 CVE，其中蓝牙越界写入 CVE-2026-65414 评分 9.8，远程攻击者可致应用崩溃或执行任意代码，官方暂未发现在野利用。

2026年9月15日作者卫方智能

研究者披露 2026 年 5 月 RubyGems 生态遭大规模投毒：超过 2000 个恶意包在 48 小时内上传，借 RubyDoc.info 自动文档构建流程触发代码执行，抓取目标站点数据后回传。研究者依据包名、作者与检索指纹判断出自 OpenAI 内部智能体集群。

2026年9月15日作者卫方智能

微软 9 月 14 日紧急发布带外更新 KB5129194/5129195/5129236/5129235/5129237，修复 9 月 8 日安全更新引入的远程桌面服务不稳定、Hyper-V 与 Linux 虚拟机共享目录失效、USB Audio Class 1.0 多声道设备无声等问题。

2026年9月15日作者卫方智能

微软 9 月 13 日披露针对 Microsoft 365 的活跃攻击：攻击者自 2026 年 5 月起冒充内部 IT 服务台，通过电话与短信诱导员工在仿冒登录页重新注册通行密钥或 MFA，随后注册自有认证方式建立持久化，并经 Graph API 高速外传云数据。

2026年9月15日作者卫方智能

安全厂商 Socket 披露扩展 Twitch Enhanced Viewer | JeetBot 把约 3.1 万用户的 Twitch OAuth 会话令牌以明文 URL 参数转发至运营方代理服务器，并硬编码放行 10 个俄语主播频道。该令牌为账户级凭证，无需密码与二次验证即可操作账号。

2026年9月15日作者卫方智能

思科 9 月 14 日披露 Secure Email Gateway 邮件解析 SQL 注入漏洞 CVE-2026-76461，CVSS 9.8，未认证远程攻击者发送一封特制邮件即可取得 root 权限。CISA 同日纳入 KEV，9 月 17 日前须修复，官方无缓解措施。

2026年9月14日作者卫方智能

cPanel 披露 ConfigServer Security & Firewall 命令注入漏洞 CVE-2026-65638，CVSS 4.0 评分 9.2，影响 CSF 14.00 至 16.29。启用 MESSENGER 服务并配置 reCAPTCHA 密钥时，未认证攻击者可远程执行命令。