漏洞预警 - 卫方智能网络安全资讯平台

CVE-2026-93643：Zimbra 邮件平台未认证 RCE 漏洞预警

2026年9月27日作者卫方智能

Zimbra 协作套件 OnlyOffice 组件曝未认证路径遍历漏洞，CVSS 9.8，攻击者借公开 Briefcase 文档篡改未签名字段即可写入文件并执行命令。官方修复版本 10.1.21，同批还修了三个 9.3 分存储型 XSS。

2026年9月26日作者卫方智能

霍尼韦尔 PD45 工业打印机 Web 管理界面存在未认证任意文件上传缺陷，攻击者无需凭据即可上传恶意文件并执行系统命令，CVSS 9.8。受影响固件为 F10.19.010040，需升级至 F10.22.030745 以上。

2026年9月26日作者卫方智能

GitLab 发布 19.4.1、19.3.3 与 19.2.7，修复两个 CVSS 9.9 严重缺陷：正则解析器双重释放与正则编译器整数溢出。任意已登录用户只要在 CI/CD 配置中放入特制正则，即可在服务器上执行任意代码。

2026年9月26日作者卫方智能

CISA 将 WSO2 认证绕过漏洞 CVE-2026-5430 纳入 KEV 目录。该漏洞源于 JWT 接受不受支持算法签名的令牌，CVSS 满分 10.0，未认证攻击者可接管管理员账户，联邦机构须在 9 月 27 日前修复。

2026年9月26日作者卫方智能

企业文件传输厂商 Kiteworks 向全球客户发出预防性停机预警，建议本周六关停系统九小时。公司称收到联邦情报机构可信威胁情报，指向未知零日漏洞，Shodan 上至少 1000 个实例暴露公网。

2026年9月25日作者卫方智能

Arista 披露 VeloCloud Orchestrator 本地部署版存在输入校验缺陷 CVE-2026-93952，CVSS 10.0，已被在野利用并进入 CISA KEV，联邦机构修复期限 9 月 25 日。攻击者无需任何编排器凭据。

2026年9月25日作者卫方智能

加拿大网络安全中心 9 月 24 日更新通告，确认 5 月已修补的 Roundcube 预认证 SQL 注入 CVE-2026-48842 正被在野利用。Shadowserver 追踪到 52.3 万个公网实例，cPanel 默认预装该组件。

2026年9月25日作者卫方智能

cPanel 于 9 月 22 日紧急修复 CVE-2026-87899：只要持有任意一个 cPanel 账户，即可通过 CalDAV/CardDAV 功能提权至 root 并接管整台服务器。共享主机上一个普通租户就能横向吃掉同机所有站点。

2026年9月25日作者卫方智能

SolarWinds 于 9 月 22 日发布 Observability Self-Hosted 2026.2.3，修复 CVE-2026-28324（CVSS 9.8）与 CVE-2026-28325（CVSS 8.8）两处未认证远程代码执行漏洞，非默认配置部署受影响，官方称暂无在野利用证据。

2026年9月24日作者卫方智能

DepthFirst 披露 Linux 内核 AF_UNIX 套接字垃圾回收器释放后使用漏洞 CVE-2026-80521，CVSS 7.8。攻击者可在容器内用默认放行调用绕过命名空间、cgroup 与 seccomp 取得宿主 root，利用代码已公开，Ubuntu 三大 LTS 尚无补丁。

2026年9月24日作者卫方智能

Lantronix 带外管理设备披露一批漏洞，其中 CVE-2026-80155 获 CVSS 双版本满分 10.0：会话 Cookie 路径截断叠加路径遍历即可绕过全部会话校验，未认证读取配置并任意写文件，直至远程代码执行。SLB882 等旧型号暂无修复固件。

2026年9月24日作者卫方智能

WordPress 9 月 22 日发布 7.1.2，仅修复一处未认证路径遍历漏洞 CVE-2026-87902，CVSS 9.2。页面模板解析可被诱导包含主题目录之外的任意可读 PHP 文件，配合 register_argc_argv 与 PEAR 可升级为远程代码执行。