卫方智能网络安全资讯平台 -网络安全资讯与安全防御实战

CVE-2026-93952：VeloCloud 编排器满分零日遭利用，KEV 限期 9 月 25 日

2026年9月25日作者卫方智能

Arista 披露 VeloCloud Orchestrator 本地部署版存在输入校验缺陷 CVE-2026-93952，CVSS 10.0，已被在野利用并进入 CISA KEV，联邦机构修复期限 9 月 25 日。攻击者无需任何编排器凭据。

2026年9月25日作者卫方智能

加拿大网络安全中心 9 月 24 日更新通告，确认 5 月已修补的 Roundcube 预认证 SQL 注入 CVE-2026-48842 正被在野利用。Shadowserver 追踪到 52.3 万个公网实例，cPanel 默认预装该组件。

2026年9月25日作者卫方智能

cPanel 于 9 月 22 日紧急修复 CVE-2026-87899：只要持有任意一个 cPanel 账户，即可通过 CalDAV/CardDAV 功能提权至 root 并接管整台服务器。共享主机上一个普通租户就能横向吃掉同机所有站点。

2026年9月25日作者卫方智能

SolarWinds 于 9 月 22 日发布 Observability Self-Hosted 2026.2.3，修复 CVE-2026-28324（CVSS 9.8）与 CVE-2026-28325（CVSS 8.8）两处未认证远程代码执行漏洞，非默认配置部署受影响，官方称暂无在野利用证据。

2026年9月25日作者卫方智能

图片站、下载站最容易遇到的情况不是被打挂，而是出向带宽被爬虫拉满：CPU 内存都正常，网站就是打不开。本文用 9 个问答讲清带宽型爬虫的识别方法、按出向字节统计的命令、limit_rate 出向限速与 limit_conn 配合、按流量熔断封禁、CDN 分流与应急处置顺序。

2026年9月25日作者卫方智能

CC 防护最头疼的不是拦不住，而是拦错了：正常用户被限速、被挑战、被封 IP。本文用 9 个问答讲清误封成因（NAT 出口与移动网络共享 IP）、分级放行设计、geo 白名单与空 key 限速写法、按 Cookie 改造计数维度、灰度上线与自助解封，配置可直接复制。

2026年9月24日作者卫方智能

seccomp 系统调用过滤加固实战：确认 Seccomp 生效状态、采集真实 syscall 白名单，给出 Docker 自定义 profile、Kubernetes 安全上下文与 systemd SystemCallFilter 配置。

2026年9月24日作者卫方智能

Kerberos 域认证加固实战：先审计 NTLM 使用情况，再收紧 Kerberos 加密类型、治理 SPN 服务账户与免预认证账号，并用 SMB 签名与 LDAP 通道绑定消除 NTLM Relay 空间。

2026年9月24日作者卫方智能

API 接口签名防重放实战：从重放攻击原理讲起，给出 HMAC-SHA256 签名串构造、Redis nonce 一次性校验、幂等键与 Nginx 限流兜底的完整可复制配置与验证脚本。

2026年9月24日作者卫方智能

9 月 22 日，勒索团伙 ShinyHunters 宣称利用 Oracle PeopleSoft 未修复零日攻入 FBI 招聘系统，窃取 2 至 3TB 现任、前任与应聘人员数据并篡改 FBIjobs.gov 首页，要求 FBI 一周内撤回对其手法的公开描述。FBI 已确认调查。

2026年9月24日作者卫方智能

Cisco Talos 9 月 22 日披露 Windows 植入程序 CLOSEDQUORUM：它把 DeepSeek、Qwen、Mistral、Gemini 当作委员会，由模型投票在窃密、注入、持久化之间选择动作，凭据经 Discord webhook 外传，全程没有传统 C2 服务器。

2026年9月24日作者卫方智能

DepthFirst 披露 Linux 内核 AF_UNIX 套接字垃圾回收器释放后使用漏洞 CVE-2026-80521，CVSS 7.8。攻击者可在容器内用默认放行调用绕过命名空间、cgroup 与 seccomp 取得宿主 root，利用代码已公开，Ubuntu 三大 LTS 尚无补丁。