漏洞预警 - 卫方智能网络安全资讯平台

Rapuncel 窃密木马借微软签名驱动关闭 145 款杀毒与 EDR 软件

2026年9月19日作者卫方智能

LastPass 与 Delphos Labs 披露 Rapuncel 信息窃取木马活动：攻击者用 SEO 优化的假 GitHub 仓库冒充 LastPass 等 40 家厂商，投递经微软签名的 Alinubx.sys 内核驱动终止 145 款安全产品，再窃取浏览器、钱包与通讯软件凭据。

2026年9月19日作者卫方智能

CISA 于 9 月 18 日将 CVE-2026-53266（内核 ebtables SNAT 越界写入，CVSS 8.8）与 CVE-2025-39964（af_alg 竞态，CVSS 7.8）加入已知被利用漏洞目录，两者均为本地提权缺陷，上游修复已合并但发行版落地普遍滞后。

2026年9月19日作者卫方智能

Check Point 披露 CVE-2026-91843，其 Security Management 与 Log Server 登录流程存在栈缓冲区溢出，未认证攻击者只需提交超长用户名字段即可触发，成功利用可获得 root 权限任意代码执行，厂商已通过 LivePatch 下发修复。

2026年9月19日作者卫方智能

日本 Helpfeel 公司确认 Gyazo 图片上传服务器遭漏洞利用并执行任意命令，攻击者随后访问数据库，约 2362 万条用户记录与 4.9 亿条图片元数据外泄，含私有图片链接标识，全站用户被强制重置口令。

2026年9月19日作者卫方智能

营销平台 Brevo 遭供应链攻击，攻击者用硬编码在源码中的长效 Cloudflare API 密钥部署恶意 Worker，在 CDN 边缘向 brevo.com 及超 10 万家客户站点注入 ClickFix 脚本，WordPress 管理员还会被静默装后门插件。

2026年9月18日作者卫方智能

NLnet Labs 披露 Unbound 递归解析器 DNSSEC 验证器中的严重堆缓冲区溢出 CVE-2026-81642，CVSS 9.1，攻击者控制恶意区域即可触发，可能导致远程代码执行。1.26.1 版本集中修复 9 个 CVE。

2026年9月18日作者卫方智能

Node.js 沙箱库 vm2 的 3.11.3 至 3.11.6 版本同时暴露三个严重漏洞：node:sqlite 与 crypto.setEngine 可逃逸沙箱执行原生代码，https.globalAgent 可泄露宿主机凭据，最高 CVSS 10.0，已在 3.11.7 修复。

2026年9月18日作者卫方智能

开源统一通信平台 Issabel Framework 存在硬编码 HS256 JWT 签名密钥，所有安装实例密钥相同，未认证攻击者可伪造令牌调用 Asterisk 执行系统命令。CVSS 9.8，Shadowserver 已观测到在野利用。

2026年9月18日作者卫方智能

思科修复 Cisco ISE 与 ISE-PIC 中 CVSS 10.0 的零日漏洞 CVE-2026-76460，未认证攻击者可绕过 API 身份认证并获得 root 权限。PSIRT 确认已遭在野利用，CISA 列入 KEV 并限 3 天内修补。

2026年9月17日作者卫方智能

Oracle 9月CSPU共修复673个漏洞，其中6个为CVSS 10.0满分且可未认证远程利用。Hyperion Financial Management 的满分漏洞已有公开利用代码，WebLogic、OAM、OID、Oracle Forms 均在列。

2026年9月16日作者卫方智能

F5 蜜罐在 8 月记录 807 次攻击会话、约 3.2 万次原始事件，攻击者利用 Vite 文件读取绕过漏洞 CVE-2026-39364 扫描公网暴露的开发服务器，批量窃取 .env、AWS 密钥、Azure 令牌与 Terraform state。

2026年9月16日作者卫方智能

Apache 9 月 14 日披露 Storm 两个严重漏洞：CVE-2026-82434 被评为 CVSS 4.0 满分 10.0，Nimbus 把拓扑配置原样下发，仅持只读权限者即可拿到可写的 ZooKeeper 凭据；CVE-2026-82435 认证前内存耗尽已有利用代码。