远程代码执行 - 卫方智能网络安全资讯平台

CVE-2026-93577：GitLab CI/CD 正则触发远程代码执行漏洞预警

2026年9月26日作者卫方智能

GitLab 发布 19.4.1、19.3.3 与 19.2.7，修复两个 CVSS 9.9 严重缺陷：正则解析器双重释放与正则编译器整数溢出。任意已登录用户只要在 CI/CD 配置中放入特制正则，即可在服务器上执行任意代码。

2026年9月26日作者卫方智能

CISA 将 WSO2 认证绕过漏洞 CVE-2026-5430 纳入 KEV 目录。该漏洞源于 JWT 接受不受支持算法签名的令牌，CVSS 满分 10.0，未认证攻击者可接管管理员账户，联邦机构须在 9 月 27 日前修复。

2026年9月25日作者卫方智能

SolarWinds 于 9 月 22 日发布 Observability Self-Hosted 2026.2.3，修复 CVE-2026-28324（CVSS 9.8）与 CVE-2026-28325（CVSS 8.8）两处未认证远程代码执行漏洞，非默认配置部署受影响，官方称暂无在野利用证据。

2026年9月24日作者卫方智能

Lantronix 带外管理设备披露一批漏洞，其中 CVE-2026-80155 获 CVSS 双版本满分 10.0：会话 Cookie 路径截断叠加路径遍历即可绕过全部会话校验，未认证读取配置并任意写文件，直至远程代码执行。SLB882 等旧型号暂无修复固件。

2026年9月24日作者卫方智能

WordPress 9 月 22 日发布 7.1.2，仅修复一处未认证路径遍历漏洞 CVE-2026-87902，CVSS 9.2。页面模板解析可被诱导包含主题目录之外的任意可读 PHP 文件，配合 register_argc_argv 与 PEAR 可升级为远程代码执行。

2026年9月23日作者卫方智能

Check Point 更新公告（AV26-902 Update 2）通报管理服务器与日志服务器产品线的目录遍历漏洞 CVE-2026-93616，未认证攻击者可上传并执行任意脚本，CVSS 9.8，CISA 已列入 KEV，联邦机构 9 月 25 日前须完成处置。

2026年9月23日作者卫方智能

F5 于 9 月 22 日发布 BIG-IP APM 堆溢出漏洞 CVE-2026-94127：当虚拟服务器同时配置访问策略与 OAuth 配置文件时，未认证流量即可触发远程代码执行，CVSS 9.8，厂商确认在野利用，CISA 同日列入 KEV。

2026年9月22日作者卫方智能

开源分析平台 OpenPanel 的 @openpanel/js-runtime 存在 CVSS 9.9 沙箱逃逸漏洞：项目写权限用户可用计算属性绕过校验、在共享 Worker 进程中执行任意代码并触及数据库凭据，官方暂无补丁且 PoC 已公开。

2026年9月22日作者卫方智能

9 月 20 日公开的 CVE-2026-94106 显示，PHP 元数据解析库 getID3 在 1.9.26 之前写入音频标签时未对文件名做 shell 转义，攻击者只需构造含 Shell 元字符的文件名即可命令注入，CVSS 8.8，修复版 1.9.26。

2026年9月21日作者卫方智能

SolarWinds 9 月 17 日修补 Access Rights Manager 的硬编码静态密钥缺陷，攻击者可用固化密钥伪造认证令牌实现未认证远程代码执行，CVSS 8.8，修复版 2026.2.1，同期 Web Help Desk 与 Serv-U 共修复 18 个漏洞。

2026年9月21日作者卫方智能

IBM 于 9 月 16 日披露 Guardium Data Protection 12.2 的 20 余个漏洞，其中 4 个 CVSS 9.9、5 个 CVSS 9.8，涉及 LoadBalancerServlet 缺失认证与未认证反序列化 RCE，官方补丁已发布。

2026年9月20日作者卫方智能

WordPress 于 9 月 17 日发布 7.1.1，修复被 pwn.ai 命名为 Click2Shell 的核心漏洞：构造链接可让已登录管理员的浏览器自动安装指定主题，并链式导致远程代码执行。单独评分 CVSS 7.1，完整攻击链 9.6。