卫方智能网络安全资讯平台 -网络安全资讯与安全防御实战

CISA 新增两个在野利用 Linux 内核漏洞：CVE-2026-53266 与 CVE-2025-39964

2026年9月19日作者卫方智能

CISA 于 9 月 18 日将 CVE-2026-53266（内核 ebtables SNAT 越界写入，CVSS 8.8）与 CVE-2025-39964（af_alg 竞态，CVSS 7.8）加入已知被利用漏洞目录，两者均为本地提权缺陷，上游修复已合并但发行版落地普遍滞后。

2026年9月19日作者卫方智能

Check Point 披露 CVE-2026-91843，其 Security Management 与 Log Server 登录流程存在栈缓冲区溢出，未认证攻击者只需提交超长用户名字段即可触发，成功利用可获得 root 权限任意代码执行，厂商已通过 LivePatch 下发修复。

2026年9月19日作者卫方智能

日本 Helpfeel 公司确认 Gyazo 图片上传服务器遭漏洞利用并执行任意命令，攻击者随后访问数据库，约 2362 万条用户记录与 4.9 亿条图片元数据外泄，含私有图片链接标识，全站用户被强制重置口令。

2026年9月19日作者卫方智能

营销平台 Brevo 遭供应链攻击，攻击者用硬编码在源码中的长效 Cloudflare API 密钥部署恶意 Worker，在 CDN 边缘向 brevo.com 及超 10 万家客户站点注入 ClickFix 脚本，WordPress 管理员还会被静默装后门插件。

2026年9月19日作者卫方智能

CDN 本来是用来省流量的，被爬虫刷一波反而账单暴涨，问题多半出在回源。本文用 9 个问答讲清爬虫刷流量的原理、哪些行为最烧钱、怎么从 Nginx 日志定位，缓存键归一化与白名单限速怎么配，以及已经产生高额账单后怎么止血。

2026年9月19日作者卫方智能

同样是把流量切到高防节点，BGP 牵引和 DNS 切换的生效速度、兼容性和成本完全不同。本文用 9 个问答讲清 BGP 路由牵引的原理、和 DNS 切换、Anycast 的差别，怎么验证牵引是否生效，牵引后真实客户端 IP 与 HTTPS 证书怎么处理。

2026年9月18日作者卫方智能

访问日志与业务日志中的手机号、身份证、Token 明文落盘会带来合规风险。本文给出 Nginx log_format 白名单字段、map 参数占位、vector 与 Filebeat 全局正则替换、Logback/Log4j2 框架过滤、logrotate 权限收紧与 Python 脱敏巡检脚本的

2026年9月18日作者卫方智能

默认 GRUB 配置下，任何接触控制台或带外管理台的人都能用 init=/bin/bash 或 rd.break 拿到 root shell 并重置管理员密码。本文给出 grub2-setpassword 超级用户口令、菜单项权限、引导文件权限收紧、systemd sulogin 校验与固件层加固

2026年9月18日作者卫方智能

CRLF 注入（HTTP 响应拆分）可截断响应头、伪造响应内容与缓存副本。本文给出 Nginx map 编码检测返回 400、ModSecurity 响应阶段规则、PHP 与 Java 响应头净化函数、缓存侧禁止缓存含 Set-Cookie 跳转响应的完整配置，并附 curl 验证用例与日志审计命

2026年9月18日作者卫方智能

CloudSEK 披露钓鱼即服务平台 BigBear 2.0，其 42 台 VPS 被用于攻击 Microsoft 365 账号，已确认 258 家机构、5000 余条凭证记录外泄，其中 474 次完成了 MFA 绕过式认证，波及 40 多个国家。

2026年9月18日作者卫方智能

NLnet Labs 披露 Unbound 递归解析器 DNSSEC 验证器中的严重堆缓冲区溢出 CVE-2026-81642，CVSS 9.1，攻击者控制恶意区域即可触发，可能导致远程代码执行。1.26.1 版本集中修复 9 个 CVE。

2026年9月18日作者卫方智能

Node.js 沙箱库 vm2 的 3.11.3 至 3.11.6 版本同时暴露三个严重漏洞：node:sqlite 与 crypto.setEngine 可逃逸沙箱执行原生代码，https.globalAgent 可泄露宿主机凭据，最高 CVSS 10.0，已在 3.11.7 修复。