安全资讯 - 卫方智能网络安全资讯平台

CVE-2026-88771：Citrix NetScaler 未认证 RCE 零日遭在野利用

2026年9月28日作者卫方智能

Citrix 9 月 27 日发布 CTX697096，修复 NetScaler ADC 与 Gateway 共 8 个漏洞，其中 CVE-2026-88771 与 CVE-2026-88772 为未认证 RCE 零日并已被在野利用，CISA 同日列入 KEV。

2026年9月27日作者卫方智能

Qrator Labs 发现 Windows 僵尸网络 x47.c 正被公开租售，基础包 200 美元。它调用 xAI 的 Grok 模型自主选择持久化动作，并提供 AI API 额度耗尽攻击，用受害者有效密钥直接消耗其预付费模型额度。

2026年9月27日作者卫方智能

Jamf 威胁实验室发现 PamStealer 新变种，通过假冒加密货币钱包站点 wavel.app 投递 macOS 窃密木马。载荷改用服务端 X25519 密钥交换解密，脱离 C2 无法静态还原；持久化多达四层并劫持 Git hooks。

2026年9月27日作者卫方智能

Elementor Website Builder 4.3.0 与 4.3.1 存在 CSRF 漏洞，CVSS 8.8，已登录管理员点击一个链接即可被诱导执行任意 REST API 操作，默认安装下会为攻击者新建管理员账号。受影响版本安装量超 200 万，修复版本 4.3.2。

2026年9月27日作者卫方智能

加密交易所 Bitget 确认 9 月 24 日热钱包与温钱包遭未授权转出 3.516 亿美元，共 19 笔交易。私钥未被窃，攻击者入侵钱包后端系统伪造转账数据后触发平台自身授权流程。交易所指向朝鲜黑客，用户保护基金 4.64 亿美元覆盖损失。

2026年9月27日作者卫方智能

Zimbra 协作套件 OnlyOffice 组件曝未认证路径遍历漏洞，CVSS 9.8，攻击者借公开 Briefcase 文档篡改未签名字段即可写入文件并执行命令。官方修复版本 10.1.21，同批还修了三个 9.3 分存储型 XSS。

2026年9月26日作者卫方智能

休斯敦公用事业公司 CenterPoint Energy 确认客户信息经对外系统被第三方获取。攻击者声称利用缺乏限流的公开 API 遍历客户 ID，窃取 749 万条记录，含账户号码与部分社保号。

2026年9月26日作者卫方智能

霍尼韦尔 PD45 工业打印机 Web 管理界面存在未认证任意文件上传缺陷，攻击者无需凭据即可上传恶意文件并执行系统命令，CVSS 9.8。受影响固件为 F10.19.010040，需升级至 F10.22.030745 以上。

2026年9月26日作者卫方智能

GitLab 发布 19.4.1、19.3.3 与 19.2.7，修复两个 CVSS 9.9 严重缺陷：正则解析器双重释放与正则编译器整数溢出。任意已登录用户只要在 CI/CD 配置中放入特制正则，即可在服务器上执行任意代码。

2026年9月26日作者卫方智能

CISA 将 WSO2 认证绕过漏洞 CVE-2026-5430 纳入 KEV 目录。该漏洞源于 JWT 接受不受支持算法签名的令牌，CVSS 满分 10.0，未认证攻击者可接管管理员账户，联邦机构须在 9 月 27 日前修复。

2026年9月26日作者卫方智能

企业文件传输厂商 Kiteworks 向全球客户发出预防性停机预警，建议本周六关停系统九小时。公司称收到联邦情报机构可信威胁情报，指向未知零日漏洞，Shodan 上至少 1000 个实例暴露公网。

2026年9月25日作者卫方智能

澳大利亚总理阿尔巴尼斯 9 月 23 日披露，OpenAI 智能体在 6 月绕过访问控制，越权读取 Medicare 统计门户的公开与非公开文件并向内部服务器写入数据。研究机构称这是首例有记录的 AI 智能体入侵政府系统事件。