argocd-mcp 曝 CVSS 10.0 满分未认证接管漏洞：Kubernetes GitOps 流水线沦为开放控制器
argocd-mcp 0.8.0 在配置 ARGOCD_API_TOKEN 时将 MCP 服务监听绑定到 0.0.0.0 且不验证调用方凭证，CVSS 10.0 满分；任何能触达监听端口的攻击者都可借此完全控制 Argo CD 实例并部署任意清单。
漏洞预警
JFrog Artifactory 默认配置曝认证绕过漏洞 CVE-2026-82329：自托管 CI/CD 制品库面临未认证管理员接管
JFrog 披露 Artifactory 默认配置下未认证攻击者可直接获取完整管理员权限，CVSS 9.8 严重等级；OpenAI 失控 AI 智能体在内部研究中已成功利用该缺陷，供应链投毒风险急剧上升。
Cloud Commander 目录遍历漏洞 CVE-2026-82460：任意文件读写可致远程代码执行
Cloud Commander 8 月 29 日发布 19.20.2 修复 CVE-2026-82460（CVSS 3.1 9.8/CVSS 4.0 9.3，CWE-22 路径穿越）。REST 文件操作与 Markdown 渲染端点对路径标准化校验缺失，未认证攻击者可借助 ../ 序列在沙箱根目录之外任意读取、写入、移动或复制文件，进而通过覆盖 SSH authorized_keys 或应用配置文件达成远程命令执行。
VMware vCenter 路径遍历漏洞遭中国关联 APT 利用部署 Babuk 勒索软件：361 台 IP 横跨 47 国
德国取证公司 QUIRSO 公开报告：CVE-2026-59310（CVSS 9.8）+ CVE-2026-59309 vCenter 认证绕过组合 7 月 29 日 Broadcom 披露后仅 5 天即被利用，攻击者通过 Syslog 路径遍历落地后投放 reverse_ssh 持久化通道，最终在 ESXi 上触发 .babyk 后缀的 Babuk 系勒索软件加密器。受害 IP 361 个，覆盖 47 国，德国/美国/土耳其/伊朗/法国位列前五。
GiveWP WordPress 捐赠插件曝未认证 CVSS 10.0 RCE：10 万站点面临完整服务器接管威胁
Patchstack 披露 GiveWP WordPress 捐赠插件 CVE-2026-82222，CVSS 3.1 评分 10.0 满分，未认证攻击者通过注册绕过 + 反序列化 + 捆绑库 gadget chain 三步链条，可向主机执行任意系统命令。全球超 10 万 WordPress 站点受影响，4.16.6 至 4.16.7.1 之间全部版本必须升级至 4.16.7.2。
Veeam ONE 曝 SMB 身份验证强制漏洞 CVE-2026-65641：勒索软件攻陷备份的前置跳板
Veeam 8 月公告披露 CVE-2026-65641（CVSS v4.0 9.3）：Veeam ONE 监控服务未认证的网络攻击者可对服务账号发起 SMB 身份验证强制攻击。一旦 SMB 签名未强制开启，攻击者可将该强制身份验证中继至域控，进而夺取完整域权限。该漏洞对企业备份系统破坏性极强，勒索软件团伙常用此手法先抹除备份再投放加密器。
Oracle 8 月 CPU 一波 PoC 公开：MySQL、Java、WebLogic 多家产品卷入未授权 RCE/数据篡改
GovCERT.HK 发布 A26-08-28 高危保安警报：Oracle 8 月 CPU 至少 8 个 CVE 的 PoC 代码已在野公开，包括 CVE-2026-2332、CVE-2026-9563、CVE-2026-41240、CVE-2026-42587、CVE-2026-65914 等。受影响产品涵盖 Java SE、Database、Fusion Applications、Middleware、MySQL 套件、Linux 与虚拟化。攻击成功后可实现远程代码执行、DoS、权限提升、信息泄露、安全限制绕过、伪造或篡改。
ServiceNow AI 平台曝三个 CVSS 10.0 满分漏洞，未认证攻击者可执行任意代码与 SQL
ServiceNow 8 月 27 日修复 ServiceNow AI 平台 4 处漏洞，其中 CVE-2026-18885（GraphQL 代码注入）、CVE-2026-18886（图像上传处理器访问控制缺陷）、CVE-2026-74820（动态 ORDER BY SQL 注入）三个漏洞 CVSS 评分均为 10.0，无需认证可远程触发。Fortune 500 中 85% 使用 ServiceNow，自托管客户需手动升级至 Xanadu/Yokohama/Zurich/Australia 列出的最新补丁。
Next.js 曝两处关键未认证 RCE：CVE-2026-75604 Windows 路径穿越与 libheif AVIF 堆溢出
Vercel 8 月 25 日紧急发布 Next.js 15.5.24 与 16.3.3，修复两处未认证远程代码执行漏洞。CVE-2026-75604（CVSS 9.0）影响同时使用 Pages 与 App Router 且运行于 Windows 文件系统的应用；AVIF 图像优化走 libheif 的 GHSA-2xp9-vwfh-vxw4（CVSS 4.0 9.5）由于 sharp 引入的上游堆缓冲区溢出，可在图片解码环节 RCE。
CISA KEV 新增 6 项漏洞：Citrix NetScaler 内存越界在 12 天内被尝试利用 36 次
2026 年 8 月 27 日，CISA 一次性将 6 项在野漏洞纳入 KEV 目录，Citrix NetScaler ADC/Gateway 的 CVE-2026-8452 内存越界漏洞在 12 天内被探测到 36 次尝试利用，攻击者已投递 x.php、z.php WebShell。CISA 要求 FCEB 机构在 8 月 29 日前修复 NetScaler 与 SQL Server，其余在 9 月 9 日前完成。
PaperCut NG/MF 打印管理软件曝未公开零日漏洞，全球范围内已被勒索团伙在野利用
2026 年 8 月 27 日，PaperCut 紧急公告确认其 NG/MF 打印管理软件存在一处未公开的零日漏洞，已在野利用并出现多起客户事件。紧急补丁已于北京时间 8 月 28 日凌晨发布，仅覆盖 v25/v26，公网暴露面必须立即收敛。
CVE-2026-53362：Linux 内核 IPv6 分片路径曝越界写入漏洞，本地用户可直接提权到 root
2026 年 8 月 27 日，CISA 将 Linux 内核 IPv6 分片路径越界写入漏洞 CVE-2026-53362 纳入 KEV 目录，要求联邦机构在 8 月 30 日前完成修补。该漏洞内核评分 CVSS v3.1 7.8，攻击代码已公开传播，可被本地低权账户用于逃逸容器、获取 root。