卫方智能网络安全资讯平台 -网络安全资讯与安全防御实战

CVE-2026-89026：Issabel PBX 硬编码 JWT 密钥致未认证命令执行，已观测在野利用

2026年9月18日作者卫方智能

开源统一通信平台 Issabel Framework 存在硬编码 HS256 JWT 签名密钥，所有安装实例密钥相同，未认证攻击者可伪造令牌调用 Asterisk 执行系统命令。CVSS 9.8，Shadowserver 已观测到在野利用。

2026年9月18日作者卫方智能

思科修复 Cisco ISE 与 ISE-PIC 中 CVSS 10.0 的零日漏洞 CVE-2026-76460，未认证攻击者可绕过 API 身份认证并获得 root 权限。PSIRT 确认已遭在野利用，CISA 列入 KEV 并限 3 天内修补。

2026年9月18日作者卫方智能

短信验证码接口被恶意刷量，损失的不只是短信费，还可能被运营商停通道。本文用 9 个问答讲清怎么从日志判断是被刷、Nginx 层怎么给短信接口单独限速、号码与 IP 两个维度怎么设阈值、验证码该前置到哪一步，以及 ipset 自动拉黑与 CDN 回源 IP 还原的实战配置。

2026年9月18日作者卫方智能

反射放大攻击的流量往往不是攻击者自己发的，而是被利用的开放服务打出来的。本文用 9 个问答讲清反射放大的三要素、各服务放大倍数、怎么自查服务器是否已被当成反射器、DNS 递归与 NTP monlist 怎么关、以及高防和运营商在源 IP 伪造场景下各自能做什么。

2026年9月17日作者卫方智能

systemd-journald 默认把日志放在内存中，重启即丢，攻击者一条 rm 即可抹掉痕迹。本文给出 Storage=persistent 落盘、Seal 前向安全密封与校验密钥离线保管、目录权限加固、远端转发，以及 journalctl –verify 篡改检测告警脚本的完整配置。

2026年9月17日作者卫方智能

默认配置下浏览器需自行向 CA 的 OCSP 服务器查询证书吊销状态，带来隐私泄露与握手延迟。本文给出 Nginx 开启 ssl_stapling 与 stapling_verify 的完整配置、resolver 与证书链要求、Must-Staple 证书签发步骤，以及用 openssl s_cl

2026年9月17日作者卫方智能

HTTP 参数污染（HPP）利用同名参数在不同中间件下的取值差异，可绕过金额校验、权限判断与 WAF 规则。本文给出 Nginx map 重复参数检测规则、ModSecurity urlDecodeUni 规则、PHP/Servlet/Django 三套参数规范化实现，并附 curl 验证用例与访

2026年9月17日作者卫方智能

CISA 发布多份 ICS 通告：Digital Watchdog VMAX 系列 DVR/NVR 存在 6 个漏洞，两个 CVSS 9.6，含硬编码凭证与 root 级命令执行；Wärtsilä FOS-Onboard 船舶系统存在硬编码加密密钥。

2026年9月17日作者卫方智能

谷歌在 9 月 Pixel 更新公告中披露 CVE-2026-58704：蜂窝调制解调器权限绕过逻辑错误可提权（CVSS 8.0），存在有限定向利用迹象。9月16日 CISA 将其列入 KEV，要求联邦机构 9月19日前修复。

2026年9月17日作者卫方智能

研究员 Gal Weizman 公开 BragJack 攻击：一个恶意浏览器扩展即可劫持 Chrome Gemini、Edge Copilot、Opera Neon、Perplexity Comet 与 Claude in Chrome 的内置 AI 智能体。

2026年9月17日作者卫方智能

Acronis 备份插件存在 CWE-276 不安全默认权限缺陷，本地低权限用户可提权至 root（CVSS 7.8），厂商确认已在 cPanel & WHM 环境遭有限定向利用。共享主机上单账户被拿下可能连带同机其他客户。

2026年9月17日作者卫方智能

Oracle 9月CSPU共修复673个漏洞，其中6个为CVSS 10.0满分且可未认证远程利用。Hyperion Financial Management 的满分漏洞已有公开利用代码，WebLogic、OAM、OID、Oracle Forms 均在列。