在野利用

CVE-2026-87902：WordPress 未认证路径遍历致本地文件包含，7.1.2 紧急修复

作者

WordPress 9 月 22 日发布 7.1.2，仅修复一处未认证路径遍历漏洞 CVE-2026-87902，CVSS 9.2。页面模板解析可被诱导包含主题目录之外的任意可读 PHP 文件，配合 register_argc_argv 与 PEAR 可升级为远程代码执行。

CVE-2026-93616：Check Point 管理服务器目录遍历，未认证上传执行脚本

作者

Check Point 更新公告（AV26-902 Update 2）通报管理服务器与日志服务器产品线的目录遍历漏洞 CVE-2026-93616，未认证攻击者可上传并执行任意脚本，CVSS 9.8，CISA 已列入 KEV，联邦机构 9 月 25 日前须完成处置。

MikroTrick：MikroTik RouterOS 未认证接管链在野利用，12 万台 SSH 暴露设备待排查

作者

Bishop Fox 复现了 MikroTik RouterOS 的 MikroTrick 接管链：CVE-2026-67279 借 SSH 重协商绕过认证状态，CVE-2026-86060 用「-2」用户名注入身份实现提权，未认证即可取得管理员权限，修复版 6.49.21/7.23.4/7.24.2。

CISA 新增两个在野利用 Linux 内核漏洞：CVE-2026-53266 与 CVE-2025-39964

作者

CISA 于 9 月 18 日将 CVE-2026-53266（内核 ebtables SNAT 越界写入，CVSS 8.8）与 CVE-2025-39964（af_alg 竞态，CVSS 7.8）加入已知被利用漏洞目录，两者均为本地提权缺陷，上游修复已合并但发行版落地普遍滞后。

CVE-2026-89026：Issabel PBX 硬编码 JWT 密钥致未认证命令执行，已观测在野利用

作者

开源统一通信平台 Issabel Framework 存在硬编码 HS256 JWT 签名密钥，所有安装实例密钥相同，未认证攻击者可伪造令牌调用 Asterisk 执行系统命令。CVSS 9.8，Shadowserver 已观测到在野利用。

CVE-2026-76461：思科 Secure Email Gateway 邮件解析 SQL 注入遭在野利用，可 root 执行命令

作者

思科 9 月 14 日披露 Secure Email Gateway 邮件解析 SQL 注入漏洞 CVE-2026-76461，CVSS 9.8，未认证远程攻击者发送一封特制邮件即可取得 root 权限。CISA 同日纳入 KEV，9 月 17 日前须修复，官方无缓解措施。