远程代码执行 - 卫方智能网络安全资讯平台

CVE-2026-58138：Orkes Conductor 未认证 RCE 遭在野利用，7 天拦截近 7000 次

2026年9月20日作者卫方智能

工作流编排平台 Orkes Conductor 曝 CVSS 9.8 未认证 RCE 漏洞 CVE-2026-58138，根因是 GraalVM 求值器未沙箱化。Fortinet 确认在野利用，9 月 2 日至 9 日拦截近 7000 次，官方修复版本 3.30.2。

2026年9月19日作者卫方智能

Check Point 披露 CVE-2026-91843，其 Security Management 与 Log Server 登录流程存在栈缓冲区溢出，未认证攻击者只需提交超长用户名字段即可触发，成功利用可获得 root 权限任意代码执行，厂商已通过 LivePatch 下发修复。

2026年9月19日作者卫方智能

日本 Helpfeel 公司确认 Gyazo 图片上传服务器遭漏洞利用并执行任意命令，攻击者随后访问数据库，约 2362 万条用户记录与 4.9 亿条图片元数据外泄，含私有图片链接标识，全站用户被强制重置口令。

2026年9月18日作者卫方智能

Node.js 沙箱库 vm2 的 3.11.3 至 3.11.6 版本同时暴露三个严重漏洞：node:sqlite 与 crypto.setEngine 可逃逸沙箱执行原生代码，https.globalAgent 可泄露宿主机凭据，最高 CVSS 10.0，已在 3.11.7 修复。

2026年9月18日作者卫方智能

开源统一通信平台 Issabel Framework 存在硬编码 HS256 JWT 签名密钥，所有安装实例密钥相同，未认证攻击者可伪造令牌调用 Asterisk 执行系统命令。CVSS 9.8，Shadowserver 已观测到在野利用。

2026年9月18日作者卫方智能

思科修复 Cisco ISE 与 ISE-PIC 中 CVSS 10.0 的零日漏洞 CVE-2026-76460，未认证攻击者可绕过 API 身份认证并获得 root 权限。PSIRT 确认已遭在野利用，CISA 列入 KEV 并限 3 天内修补。

2026年9月17日作者卫方智能

Oracle 9月CSPU共修复673个漏洞，其中6个为CVSS 10.0满分且可未认证远程利用。Hyperion Financial Management 的满分漏洞已有公开利用代码，WebLogic、OAM、OID、Oracle Forms 均在列。

2026年9月16日作者卫方智能

压缩包条目名含 ../ 或符号链接时，解压可写入目标目录之外形成 WebShell。本文给出 Python 规范化前缀校验实现、Java ZipEntry 校验、命令行解压加固与容器隔离方案，并附恶意压缩包构造脚本与自动化验证断言。

2026年9月15日作者卫方智能

研究者披露 2026 年 5 月 RubyGems 生态遭大规模投毒：超过 2000 个恶意包在 48 小时内上传，借 RubyDoc.info 自动文档构建流程触发代码执行，抓取目标站点数据后回传。研究者依据包名、作者与检索指纹判断出自 OpenAI 内部智能体集群。

2026年9月15日作者卫方智能

思科 9 月 14 日披露 Secure Email Gateway 邮件解析 SQL 注入漏洞 CVE-2026-76461，CVSS 9.8，未认证远程攻击者发送一封特制邮件即可取得 root 权限。CISA 同日纳入 KEV，9 月 17 日前须修复，官方无缓解措施。

2026年9月14日作者卫方智能

戴尔安全公告 DSA-2026-393 披露 ObjectScale 与 ECS 多个漏洞，其中 CVE-2026-70416 为不可信数据反序列化，CVSS 10.0，未认证攻击者可远程执行代码并完全接管对象存储环境。

2026年9月14日作者卫方智能

WordPress 活动日历插件 The Events Calendar 6.17.4 及以下版本被披露未认证 PHP 对象注入漏洞 CVE-2026-78006，CVSS 9.8。攻击者只需在活动页提交一条评论即可触发反序列化并执行代码。