命令注入 - 卫方智能网络安全资讯平台

CVE-2026-76471：思科 NX-API 未认证 RCE，同批 7 个漏洞需升级

2026年10月8日作者卫方智能

思科 10 月 7 日发布 NX-OS 安全加固公告，修复 7 个漏洞，其中 CVE-2026-76471 为 NX-API 未认证远程代码执行，CVSS 9.8，可致交换机以 root 权限被控或崩溃重启，无缓解措施。

2026年10月5日作者卫方智能

华硕修复两个路由器漏洞。CVE-2026-14157 评分 9.4，攻击者可通过构造的 VPN 客户端配置文件在路由器上执行任意命令；CVE-2026-13313 评分 8.9，可绕过安全检查开启 Telnet 并以 root 运行命令。

2026年10月5日作者卫方智能

Fortra 发布 BoKS 特权访问管理平台安全更新，共修复 8 个漏洞，其中 3 个为严重级。最严重的 CVE-2026-79901 评分 9.9，攻击者可复现可预测的 Active Directory 服务账号密码实现认证绕过。

2026年9月22日作者卫方智能

9 月 20 日公开的 CVE-2026-94106 显示，PHP 元数据解析库 getID3 在 1.9.26 之前写入音频标签时未对文件名做 shell 转义，攻击者只需构造含 Shell 元字符的文件名即可命令注入，CVSS 8.8，修复版 1.9.26。

2026年9月20日作者卫方智能

工作流编排平台 Orkes Conductor 曝 CVSS 9.8 未认证 RCE 漏洞 CVE-2026-58138，根因是 GraalVM 求值器未沙箱化。Fortinet 确认在野利用，9 月 2 日至 9 日拦截近 7000 次，官方修复版本 3.30.2。

2026年9月18日作者卫方智能

开源统一通信平台 Issabel Framework 存在硬编码 HS256 JWT 签名密钥，所有安装实例密钥相同，未认证攻击者可伪造令牌调用 Asterisk 执行系统命令。CVSS 9.8，Shadowserver 已观测到在野利用。

2026年9月14日作者卫方智能

cPanel 披露 ConfigServer Security & Firewall 命令注入漏洞 CVE-2026-65638，CVSS 4.0 评分 9.2，影响 CSF 14.00 至 16.29。启用 MESSENGER 服务并配置 reCAPTCHA 密钥时，未认证攻击者可远程执行命令。

2026年9月10日作者卫方智能

Adobe 九月安全更新修复 170 余个漏洞，ColdFusion 两处代码执行漏洞列为优先级 1，Campaign Classic 修复满分命令注入漏洞，Experience Manager 单品修复 107 个。

2026年9月4日作者卫方智能

命令注入可致服务器完全沦陷。本文从代码层、系统层、WAF层三个维度给出完整防御配置，包含PHP与Python安全编码规范、disable_functions加固及ModSecurity拦截规则，可直接复制部署。

2026年9月3日作者卫方智能

D-Link DNS-320L/327L/340L/345 固件 20260717 及更早版本存在 CVSS 9.9 操作系统命令注入漏洞，ISO Image Handler 组件可被未认证远程攻击者利用，利用代码已公开。

2026年9月1日作者卫方智能

Ubiquiti 发布安全公告 067，修复 UniFi Protect、UniFi OS 与 UniFi Talk 中三个 CVSS 10.0 漏洞，未授权攻击者可实现命令注入与认证绕过，超 10 万实例暴露公网。

2026年8月27日作者卫方智能

CISA 已于近期将一个影响 Gitea 自托管 Git 平台的远程代码执行漏洞正式列入 Known Exploited Vulnerabilities 目录，对应编号为 CVE-2026-60004，CVSS 评分高达 9.8 分（Critical）。该漏洞位于 Gitea 的 diffpatc