漏洞预警 - 卫方智能网络安全资讯平台

CVE-2026-16812：Arista VeloCloud Orchestrator CVSS 10.0命令注入漏洞遭野外利用

2026年8月1日作者卫方智能

Arista VeloCloud Orchestrator本地部署版本曝出未认证操作系统命令注入漏洞CVE-2026-16812，CVSS评分高达10.0满分，攻击者可完全控制SD-WAN管理平面及所有边缘设备，CISA已将其列入KEV目录。

2026年7月31日作者卫方智能

Oracle 7月关键补丁更新包含18个Fusion Middleware关键漏洞，其中4个CVSS满分10.0，涉及WebLogic、HTTP Server、Coherence和Access Manager。

2026年7月31日作者卫方智能

Arctic Wolf确认Qilin勒索软件团伙正在利用Palo Alto PAN-OS认证绕过漏洞CVE-2026-0257入侵企业网络，从VPN会话到勒索加密仅需数小时。

2026年7月31日作者卫方智能

Oracle Coherence内存数据网格存在CVSS满分漏洞，未认证攻击者通过TCP即可完全接管集群，影响企业Java应用核心基础设施。

2026年7月31日作者卫方智能

Oracle 7月关键补丁更新修复WebLogic Server核心组件严重漏洞，攻击者无需认证即可通过T3/IIOP协议实现服务器完全接管，CVSS评分9.8。

2026年7月30日作者卫方智能

Microsoft Defender扫描引擎存在TOCTOU竞态条件漏洞RoguePlanet。攻击者利用符号链接劫持可将SYSTEM级操作重定向至任意路径，获取NT AUTHORITY\SYSTEM权限。PoC已公开29天。

2026年7月30日作者卫方智能

Microsoft SharePoint CVE-2026-50522反序列化漏洞已在野外被积极利用。攻击者通过单个请求窃取IIS机器密钥，可伪造认证令牌维持持久访问。补丁 alone 不足，需轮换密钥。

2026年7月30日作者卫方智能

Nebula Security披露Linux内核rtmutex子系统中潜伏15年的栈UAF漏洞GhostLock。本地普通用户可提权至root，容器环境可完成逃逸。利用成功率97%，PoC已公开。

2026年7月30日作者卫方智能

Adobe ColdFusion的RDS FILEIO处理程序存在路径遍历漏洞CVE-2026-48282，攻击者可在2小时内完成武器化利用。未经认证即可写入任意文件实现RCE，CISA已纳入KEV目录。

2026年7月28日作者卫方智能

全球最大AI模型平台Hugging Face于7月16日披露遭受自主AI代理驱动的网络入侵。攻击者通过恶意数据集触发代码执行，AI代理以机器速度完成横向移动和凭证窃取，标志着AI自主攻击从理论走向现实。

2026年7月28日作者卫方智能

Group-IB披露新型macOS信息窃取器ClickLock Stealer，利用ClickFix社会工程学诱骗用户在终端执行恶意命令。该恶意软件通过反复杀死应用程序逼迫用户输入密码，已波及33国至少100名受害者。

2026年7月28日作者卫方智能

安全研究员Nightmare Eclipse在微软7月补丁日次日公开LegacyHive Windows零日漏洞。该漏洞影响Windows User Profile Service，可导致本地权限提升至SYSTEM。目前无CVE、无官方补丁，公开PoC已存在。