补丁管理 - 卫方智能网络安全资讯平台

4 款 WordPress 主题曝 CVSS 9.8 对象注入：未认证即可触发

2026年10月25日作者卫方智能

CVE-2026-112846、112847、112848、112851 与 Reprizo 的 CVE-2026-112857 均为 CVSS 9.8 反序列化漏洞，未认证即可触发 PHP 对象注入，CVE 记录未列修复版本，停用主题不足以消除风险。

2026年10月25日作者卫方智能

HPE 于 10 月 22 日发布 HPESBNW05162，修复 AOS-8 与 AOS-10 共 72 个漏洞，其中 8 枚 CVSS 10.0，58 个无需登录即可触达，涉及命令注入、SQL 注入、缓冲区溢出与认证绕过。

2026年10月24日作者卫方智能

Fortinet 于 10 月 21 日至 22 日为五条产品线发布安全加固版本，却把 CVE 编号与公告压到 11 月 10 日。补丁先上、说明后补的做法，让防守方只剩一张版本表和一个截止日期。

2026年10月23日作者卫方智能

Node.js 10 月 21 日修复 10 个漏洞，最严重的 CVE-2026-111497 是内置 Brotli 解码器越界写，官方称可致远程代码执行。修复版 22.23.4、24.22.1、26.12.1，20.x 及更早不再提供补丁。

2026年10月22日作者卫方智能

Tenda AC19 固件 16.03.10.07 的 httpd 管理服务存在栈溢出漏洞 CVE-2026-113744，CVSS 10.0，公开 PoC 已流出，厂商暂未给出修复版本。暴露在公网的管理界面可被直接触发，建议立即关闭远程管理。

2026年10月22日作者卫方智能

Apache 10 月 20 日修复 Tomcat 八个漏洞，三个定为 Important。CVE-2026-101296 在特定 SASL 配置下可跳过密码完成认证，CVE-2026-101356 会让 HTTP/2 请求在用户之间串号。修复版本 11.0.27、10.1.61、9.0.123。

2026年10月22日作者卫方智能

思科 10 月 21 日披露 Expressway 集群漏洞 CVE-2026-76466，CVSS 9.8。数据库服务信任可预测的持久 cookie，且集群 TLS 校验未真正验证客户端证书，未认证者拿到 cookie 即可 RPC 提权到 root。修复 X15.5.20，无替代缓解方案。

2026年10月22日作者卫方智能

PHP 官方 10 月 21 日紧急发布 8.5.12、8.4.27、8.3.36、8.2.35，修复代号 PHP2Shell 的 CVE-2026-109618 与 CVE-2026-109619。未认证攻击者一个 HTTP 请求即可在 mod_php 上执行任意代码，多国政府站点当日下线。

2026年10月21日作者卫方智能

F5 带外公告 K000163408 修掉 NGINX 数据面 11 个缺陷，其中三枚按 CVSS 4.0 评为 9.2：未认证攻击者一条畸形 HTTP 请求即可打崩 worker，ASLR 关闭或可绕过时可执行任意代码。

2026年10月20日作者卫方智能

WordPress 自动化插件 OttoKit（SureTriggers）1.1.40 及更早版本存在权限分配不当缺陷，CVSS 9.8，攻击者可在受影响站点上提权至管理员，进而植入后门或劫持流量。

2026年10月20日作者卫方智能

Plex Media Server 四枚漏洞组成的 Plex2Shell 链已可未认证 RCE。PoC 于 10 月 16 日公开，次日即被用于投放 XMRig 矿机与代理后门，仍有数万台暴露实例未升级。

2026年10月20日作者卫方智能

博通 WPS 实现的分片重组缺陷被公开：攻击者在 Wi-Fi 射程内无需口令即可在路由器上以 root 执行代码，无 CVE 编号、无补丁，老 eCos 芯片被判定为永久不修。