开源安全 - 卫方智能网络安全资讯平台

CVE-2026-109518：Debian/Ubuntu 的 APT 可被中间人换包，以 root 执行

2026年11月5日作者卫方智能

Debian、Ubuntu 与 APT 开发者 11 月 4 日同步披露 CVE-2026-109518：能改下载流量的攻击者可把已校验的包换成自己的，最终以 root 跑代码。Debian 12 与 Ubuntu 22.04 起重试默认开启，等于默认暴露。

2026年11月5日作者卫方智能

Xen 项目 11 月 3 日发布 XSA-523，修掉 CVE-2026-102703 与 CVE-2026-102704：恶意 guest 可读写同宿主机上任意虚机内存，包括 dom0。4.6 起全部受影响，无缓解措施，XCP-ng 与 Qubes 已发补丁但都要求重启。

2026年11月4日作者卫方智能

11 月 1 日，多个自建 BTCPay Server 实例的热钱包被转走比特币与莱特币。官方调查确认攻击针对 2.4.1 及更早版本，用的是与 2.4.2 所修漏洞不同的利用方法。仅升级不足以清除攻击者已有权限，官方要求换服务器、换钱包、换种子。

2026年11月3日作者卫方智能

Prefab UI 的生成式 UI 沙箱被标榜为隔离不可信代码，实际却以无限制权限启动 Deno。CVSS 3.1 评分 10.0，攻击者可让沙箱内的 Python 读写服务器任意文件并持久化执行代码。

2026年11月1日作者卫方智能

独立研究者扫描 Gitee 全部 725 万个公开仓库，逐一调用厂商接口验证，确认 26,400 个云与 AI 凭证当前仍然有效，其中阿里云 AccessKey 9,473 组、DeepSeek 3,170 个、OpenAI 1,348 个。

2026年11月1日作者卫方智能

ClickHouse 于 10 月 30 日披露并修复 CVE-2026-116366，CVSS 9.5。未认证且网络可达的攻击者在特定条件下可执行任意代码。Cloud 与 BYOC 已由厂商修复，自建集群需自行升级。

2026年11月1日作者卫方智能

Canonical 披露 LXD 与 MicroCloud 的证书校验缺陷，CVSS 4.0 满分 10.0。攻击者只需拿到任一受信任客户端的公开证书，即可伪造证书链冒充任意客户端，未认证接管整个集群及其下所有虚拟机与容器。

2026年10月31日作者卫方智能

Linux 内核 IPv4 TCP 栈曝出释放后使用漏洞 CVE-2026-98432，CVSS 9.8。未认证攻击者向开启 MPTCP 监听的服务器发包即可远程 root；Anthropic 用一个未发布的 Claude 模型，53 分钟就把 PoC 跑成了 root shell。

2026年10月30日作者卫方智能

巴西电商平台 Convertr 自托管 Plausible 的分析脚本被植入刷卡木马，所有商户结账页都加载同一份文件，一次修改覆盖全平台；窃取卡号、CVV 与 CPF，直到 10 月 27 日才清除。

2026年10月28日作者卫方智能

Rust 的 zip 库 9.0.4 及更早版本在流式解压时不核对中央目录与本地文件头的文件名差异，构造包可让检查组件看到无害路径、解压器写入攻击者指定路径。CVSS 4.0 评分 10.0，9.0.5 已修复。

2026年10月27日作者卫方智能

Bytecode Alliance 为 Wasmtime 的 Cranelift 编译器发布两则 9.9 分公告，攻击者构造的 Wasm 模块可在编译期越出沙箱执行宿主代码；修复版本 36.0.19/48.0.7/49.0.4/50.0.0，暂无在野利用。

2026年10月25日作者卫方智能

Electrum 发布高危公告 GHSA-6jp4-8v48-cc5v：恶意服务器吞掉已广播交易并伪造收款地址，诱导用户 RBF 提费后把钱付给攻击者，已在野发生并致一名用户损失，4.8.3 修复。