WordPress 核心漏洞链 WP2Shell 遭在野利用：REST API 路由混淆叠加 SQL 注入可致 RCE
FortiGuard 发布爆发警报：WordPress 核心 CVE-2026-63030 与 CVE-2026-60137 漏洞链遭在野利用，未认证攻击者可绕过 REST API 限制并注入 SQL 最终执行任意代码，6.8.0 至 7.0.1 版本受影响。
远程代码执行
CVE-2026-20212：思科 Nexus 9000 交换机未认证远程代码执行漏洞预警，CVSS 9.8
思科披露 Nexus 9000 系列交换机高危漏洞 CVE-2026-20212，CVSS 9.8，未认证远程攻击者可通过特定 TCP 端口以 root 权限执行任意代码，搭载 Silicon One 芯片的多个型号受影响。
CVE-2026-79748：MCP 服务器管理平台 MCPHub 配置注入 RCE 漏洞，CVSS 9.9
MCP 服务器编排平台 MCPHub 0.12.15 之前版本存在严重配置注入漏洞 CVE-2026-79748，攻击者可注入恶意配置导致远程代码执行，AI 基础设施供应链风险上升。
CVE-2026-78689：NGINX njs XML 模块越界写入漏洞预警，CVSS 最高 9.2
F5 披露 NGINX JavaScript（njs）XML 模块越界写入漏洞 CVE-2026-78689，未认证远程攻击者可致 worker 崩溃或内存增长，官方 nginx-saml 参考实现受影响。
Yamcs 任务控制框架曝 YAML 注入致 RCE 漏洞 CVE-2026-55559：航天与关键基础设施任务控制系统面临未授权远程接管
Yamcs 5.12.8/5.13.2 之前版本将 templateArgs 直接拼入 YAML 配置且未转义，攻击者可注入任意 YAML 触发解析与远程代码执行；公开 PoC 已出现，CVSS 9.8 严重等级。
IBM Langflow OSS 曝三枚严重 RCE 漏洞 CVE-2026-19286/19295/18729：AI 工作流编排平台无需认证即可执行任意代码
Langflow 1.0.0 至 1.11.1 A2A 公共端点代码执行防护失效，CVSS 9.8；未认证攻击者只需向暴露的智能体流发送请求即可在服务器上执行任意系统命令，AI/ML 流水线面临远程接管风险。
Cloud Commander 目录遍历漏洞 CVE-2026-82460：任意文件读写可致远程代码执行
Cloud Commander 8 月 29 日发布 19.20.2 修复 CVE-2026-82460（CVSS 3.1 9.8/CVSS 4.0 9.3，CWE-22 路径穿越）。REST 文件操作与 Markdown 渲染端点对路径标准化校验缺失，未认证攻击者可借助 ../ 序列在沙箱根目录之外任意读取、写入、移动或复制文件，进而通过覆盖 SSH authorized_keys 或应用配置文件达成远程命令执行。
VMware vCenter 路径遍历漏洞遭中国关联 APT 利用部署 Babuk 勒索软件：361 台 IP 横跨 47 国
德国取证公司 QUIRSO 公开报告：CVE-2026-59310（CVSS 9.8）+ CVE-2026-59309 vCenter 认证绕过组合 7 月 29 日 Broadcom 披露后仅 5 天即被利用，攻击者通过 Syslog 路径遍历落地后投放 reverse_ssh 持久化通道，最终在 ESXi 上触发 .babyk 后缀的 Babuk 系勒索软件加密器。受害 IP 361 个，覆盖 47 国，德国/美国/土耳其/伊朗/法国位列前五。
GiveWP WordPress 捐赠插件曝未认证 CVSS 10.0 RCE：10 万站点面临完整服务器接管威胁
Patchstack 披露 GiveWP WordPress 捐赠插件 CVE-2026-82222，CVSS 3.1 评分 10.0 满分，未认证攻击者通过注册绕过 + 反序列化 + 捆绑库 gadget chain 三步链条，可向主机执行任意系统命令。全球超 10 万 WordPress 站点受影响，4.16.6 至 4.16.7.1 之间全部版本必须升级至 4.16.7.2。
ServiceNow AI 平台曝三个 CVSS 10.0 满分漏洞，未认证攻击者可执行任意代码与 SQL
ServiceNow 8 月 27 日修复 ServiceNow AI 平台 4 处漏洞，其中 CVE-2026-18885（GraphQL 代码注入）、CVE-2026-18886（图像上传处理器访问控制缺陷）、CVE-2026-74820（动态 ORDER BY SQL 注入）三个漏洞 CVSS 评分均为 10.0，无需认证可远程触发。Fortune 500 中 85% 使用 ServiceNow，自托管客户需手动升级至 Xanadu/Yokohama/Zurich/Australia 列出的最新补丁。
Next.js 曝两处关键未认证 RCE：CVE-2026-75604 Windows 路径穿越与 libheif AVIF 堆溢出
Vercel 8 月 25 日紧急发布 Next.js 15.5.24 与 16.3.3，修复两处未认证远程代码执行漏洞。CVE-2026-75604（CVSS 9.0）影响同时使用 Pages 与 App Router 且运行于 Windows 文件系统的应用；AVIF 图像优化走 libheif 的 GHSA-2xp9-vwfh-vxw4（CVSS 4.0 9.5）由于 sharp 引入的上游堆缓冲区溢出，可在图片解码环节 RCE。
CISA KEV 新增 6 项漏洞：Citrix NetScaler 内存越界在 12 天内被尝试利用 36 次
2026 年 8 月 27 日，CISA 一次性将 6 项在野漏洞纳入 KEV 目录，Citrix NetScaler ADC/Gateway 的 CVE-2026-8452 内存越界漏洞在 12 天内被探测到 36 次尝试利用，攻击者已投递 x.php、z.php WebShell。CISA 要求 FCEB 机构在 8 月 29 日前修复 NetScaler 与 SQL Server，其余在 9 月 9 日前完成。