漏洞预警 - 卫方智能网络安全资讯平台

CVE-2026-93616：Check Point 管理服务器目录遍历，未认证上传执行脚本

2026年9月23日作者卫方智能

Check Point 更新公告（AV26-902 Update 2）通报管理服务器与日志服务器产品线的目录遍历漏洞 CVE-2026-93616，未认证攻击者可上传并执行任意脚本，CVSS 9.8，CISA 已列入 KEV，联邦机构 9 月 25 日前须完成处置。

2026年9月23日作者卫方智能

F5 于 9 月 22 日发布 BIG-IP APM 堆溢出漏洞 CVE-2026-94127：当虚拟服务器同时配置访问策略与 OAuth 配置文件时，未认证流量即可触发远程代码执行，CVSS 9.8，厂商确认在野利用，CISA 同日列入 KEV。

2026年9月22日作者卫方智能

微软披露 Azure AI Foundry 关键功能缺失认证漏洞 CVE-2026-85889，CVSS 10.0，未认证攻击者可经网络提权；同批修复 M365 Copilot 命令注入与 Azure 数据库越权等缺陷，评分 9.6 至 9.9，均已在服务端缓解。

2026年9月22日作者卫方智能

开源分析平台 OpenPanel 的 @openpanel/js-runtime 存在 CVSS 9.9 沙箱逃逸漏洞：项目写权限用户可用计算属性绕过校验、在共享 Worker 进程中执行任意代码并触及数据库凭据，官方暂无补丁且 PoC 已公开。

2026年9月22日作者卫方智能

9 月 20 日公开的 CVE-2026-94106 显示，PHP 元数据解析库 getID3 在 1.9.26 之前写入音频标签时未对文件名做 shell 转义，攻击者只需构造含 Shell 元字符的文件名即可命令注入，CVSS 8.8，修复版 1.9.26。

2026年9月21日作者卫方智能

SolarWinds 9 月 17 日修补 Access Rights Manager 的硬编码静态密钥缺陷，攻击者可用固化密钥伪造认证令牌实现未认证远程代码执行，CVSS 8.8，修复版 2026.2.1，同期 Web Help Desk 与 Serv-U 共修复 18 个漏洞。

2026年9月21日作者卫方智能

IBM 于 9 月 16 日披露 Guardium Data Protection 12.2 的 20 余个漏洞，其中 4 个 CVSS 9.9、5 个 CVSS 9.8，涉及 LoadBalancerServlet 缺失认证与未认证反序列化 RCE，官方补丁已发布。

2026年9月20日作者卫方智能

日美澳德七家机构于 9 月 18 日联合发布公告，指认朝鲜背景的 WaterPlum 通过假招聘长期针对全球开发者，2025 年 12 月至 2026 年 7 月感染超 3 万台设备，从 7000 多个加密钱包窃取约 1071 万美元。

2026年9月20日作者卫方智能

Docker 披露 Docker Sandboxes 在 macOS 上的严重漏洞 CVE-2026-77179，CVSS 9.4：沙箱内恶意代码可借 virtio-fs 主机服务端的符号链接跟随缺陷逃逸出共享目录，以主机账户权限读写任意文件，修复版本为 0.42.0。

2026年9月20日作者卫方智能

AIR Security 披露 Plugin4Shell：Claude Code、Codex、Copilot 与 Gemini CLI 的插件 SHA 锁定可被同名分支绕过，构成零点击 RCE。Anthropic 与 OpenAI 已修复，微软未发布补丁，Google 弃用 Gemini CLI。

2026年9月20日作者卫方智能

WordPress 于 9 月 17 日发布 7.1.1，修复被 pwn.ai 命名为 Click2Shell 的核心漏洞：构造链接可让已登录管理员的浏览器自动安装指定主题，并链式导致远程代码执行。单独评分 CVSS 7.1，完整攻击链 9.6。

2026年9月20日作者卫方智能

工作流编排平台 Orkes Conductor 曝 CVSS 9.8 未认证 RCE 漏洞 CVE-2026-58138，根因是 GraalVM 求值器未沙箱化。Fortinet 确认在野利用，9 月 2 日至 9 日拦截近 7000 次，官方修复版本 3.30.2。