安全资讯 - 卫方智能网络安全资讯平台

CVE-2026-93952：VeloCloud 编排器满分零日遭利用，KEV 限期 9 月 25 日

2026年9月25日作者卫方智能

Arista 披露 VeloCloud Orchestrator 本地部署版存在输入校验缺陷 CVE-2026-93952，CVSS 10.0，已被在野利用并进入 CISA KEV，联邦机构修复期限 9 月 25 日。攻击者无需任何编排器凭据。

2026年9月25日作者卫方智能

加拿大网络安全中心 9 月 24 日更新通告，确认 5 月已修补的 Roundcube 预认证 SQL 注入 CVE-2026-48842 正被在野利用。Shadowserver 追踪到 52.3 万个公网实例，cPanel 默认预装该组件。

2026年9月25日作者卫方智能

cPanel 于 9 月 22 日紧急修复 CVE-2026-87899：只要持有任意一个 cPanel 账户，即可通过 CalDAV/CardDAV 功能提权至 root 并接管整台服务器。共享主机上一个普通租户就能横向吃掉同机所有站点。

2026年9月25日作者卫方智能

SolarWinds 于 9 月 22 日发布 Observability Self-Hosted 2026.2.3，修复 CVE-2026-28324（CVSS 9.8）与 CVE-2026-28325（CVSS 8.8）两处未认证远程代码执行漏洞，非默认配置部署受影响，官方称暂无在野利用证据。

2026年9月24日作者卫方智能

9 月 22 日，勒索团伙 ShinyHunters 宣称利用 Oracle PeopleSoft 未修复零日攻入 FBI 招聘系统，窃取 2 至 3TB 现任、前任与应聘人员数据并篡改 FBIjobs.gov 首页，要求 FBI 一周内撤回对其手法的公开描述。FBI 已确认调查。

2026年9月24日作者卫方智能

Cisco Talos 9 月 22 日披露 Windows 植入程序 CLOSEDQUORUM：它把 DeepSeek、Qwen、Mistral、Gemini 当作委员会，由模型投票在窃密、注入、持久化之间选择动作，凭据经 Discord webhook 外传，全程没有传统 C2 服务器。

2026年9月24日作者卫方智能

DepthFirst 披露 Linux 内核 AF_UNIX 套接字垃圾回收器释放后使用漏洞 CVE-2026-80521，CVSS 7.8。攻击者可在容器内用默认放行调用绕过命名空间、cgroup 与 seccomp 取得宿主 root，利用代码已公开，Ubuntu 三大 LTS 尚无补丁。

2026年9月24日作者卫方智能

Lantronix 带外管理设备披露一批漏洞，其中 CVE-2026-80155 获 CVSS 双版本满分 10.0：会话 Cookie 路径截断叠加路径遍历即可绕过全部会话校验，未认证读取配置并任意写文件，直至远程代码执行。SLB882 等旧型号暂无修复固件。

2026年9月24日作者卫方智能

WordPress 9 月 22 日发布 7.1.2，仅修复一处未认证路径遍历漏洞 CVE-2026-87902，CVSS 9.2。页面模板解析可被诱导包含主题目录之外的任意可读 PHP 文件，配合 register_argc_argv 与 PEAR 可升级为远程代码执行。

2026年9月23日作者卫方智能

Securonix 披露 Windows 后门 TASK#STOMP：用 VBScript 安装器注册四条伪装成系统服务的计划任务，再用两个隐藏 PowerShell 模块窃取商业文档、Wi-Fi 明文密码与剪贴板内容，并接受远程命令。

2026年9月23日作者卫方智能

卡巴斯基 GERT 披露一起无加密勒索事件：攻击者拿下域管理员等价权限后，用挂在域根的组策略对象在全体域内主机投放勒索信息、关闭防火墙并停用本地管理员账号，Windows 终端上既无加密程序也无常驻恶意进程。

2026年9月23日作者卫方智能

ShinyHunters 利用 Cl0p 暗网泄露站点所用 Grav CMS 的未认证文件上传缺陷拿下站点，将其完全篡改并反向索要八位数赎金，威胁公开曾向 Cl0p 付款的企业名单、金额与比特币地址。