漏洞预警 - 卫方智能网络安全资讯平台

CVE-2026-65414：苹果蓝牙越界写入 CVSS 9.8，iOS 27 与 macOS 一次修复 273 个漏洞

2026年9月16日作者卫方智能

苹果 9 月 14 日发布 iOS 27、macOS Golden Gate 27 等全线更新，去重后修复 273 个唯一 CVE，其中蓝牙越界写入 CVE-2026-65414 评分 9.8，远程攻击者可致应用崩溃或执行任意代码，官方暂未发现在野利用。

2026年9月15日作者卫方智能

思科 9 月 14 日披露 Secure Email Gateway 邮件解析 SQL 注入漏洞 CVE-2026-76461，CVSS 9.8，未认证远程攻击者发送一封特制邮件即可取得 root 权限。CISA 同日纳入 KEV，9 月 17 日前须修复，官方无缓解措施。

2026年9月14日作者卫方智能

cPanel 披露 ConfigServer Security & Firewall 命令注入漏洞 CVE-2026-65638，CVSS 4.0 评分 9.2，影响 CSF 14.00 至 16.29。启用 MESSENGER 服务并配置 reCAPTCHA 密钥时，未认证攻击者可远程执行命令。

2026年9月14日作者卫方智能

戴尔安全公告 DSA-2026-393 披露 ObjectScale 与 ECS 多个漏洞，其中 CVE-2026-70416 为不可信数据反序列化，CVSS 10.0，未认证攻击者可远程执行代码并完全接管对象存储环境。

2026年9月14日作者卫方智能

WordPress 活动日历插件 The Events Calendar 6.17.4 及以下版本被披露未认证 PHP 对象注入漏洞 CVE-2026-78006，CVSS 9.8。攻击者只需在活动页提交一条评论即可触发反序列化并执行代码。

2026年9月13日作者卫方智能

Everest Forms 3.6.0 及更早版本存在未认证 PHP 对象注入漏洞 CVE-2026-62103，CVSS 9.8。攻击者无需登录即可提交恶意序列化数据，配合站点内已有 POP 链可致代码执行。

2026年9月13日作者卫方智能

Plesk for Linux 备份额管理器被披露两个漏洞：CVE-2026-68487 路径遍历可写入任意 root 文件，CVE-2026-68488 符号链接竞态可本地提权，任意客户账户即可利用。

2026年9月13日作者卫方智能

Google Cloud Agent Development Kit for Python 被披露代码注入漏洞 CVE-2026-79696，CVSS 10.0。装有 pytest 的 2.0.0 至 2.6.0 版本可被未认证攻击者通过构造测试会话回放执行任意代码。

2026年9月13日作者卫方智能

HiddenLayer 披露 Mistral Vibe 六个授权层漏洞 CVE-2026-87983 至 87988，其中四个 CVSS 10.0，攻击者可为导致 AI 编程助手在不弹确认框的情况下执行任意命令。

2026年9月12日作者卫方智能

2026 年 9 月 11 日起，欧盟《网络弹性法案》报告义务生效。制造商须在知悉被主动利用漏洞后 24 小时内提交预警、72 小时内完整通报，并通过 ENISA 单一报告平台提交。

2026年9月12日作者卫方智能

研究员 Nightmare Eclipse 公开 Windows Defender 零日利用 ShieldCrash，可绕过微软 9 月对 CVE-2026-69414 的修复，在已打补丁的 Windows 上以 SYSTEM 权限读取任意文件。

2026年9月12日作者卫方智能

Gen Digital 披露，与中国存在关联的 UNC3569 利用搜狗输入法 Windows 版链接处理漏洞 CVE-2026-51990 实现点击即执行，植入 GRAYRABBIT 后门。腾讯已在 16.3.0.3498 修复入口。