零日漏洞 - 卫方智能网络安全资讯平台

微软 10 月修复逾 1400 个漏洞创纪录：Windows Shell 零日已在野利用

2026年10月14日作者卫方智能

微软 10 月补丁日一次修复逾 1400 个漏洞，约 78 个为严重级，创下月度纪录。其中 CVE-2026-96951 可绕过 Mark of the Web 保护，已是本月唯一在野利用的零日，CISA 同日纳入 KEV。

2026年10月14日作者卫方智能

Ivanti 确认 Connect Secure VPN 网关存在零日漏洞 CVE-2026-104935 并已被在野利用。Volexity 披露攻击者串联三个零日，在一台完全打补丁的 22.8R2.4 设备上取得未认证 root 权限，CISA 已将漏洞列入 KEV。

2026年10月9日作者卫方智能

Pwn2Own Ireland 2026 于 10 月 6 日至 9 日举行，首次设立的 AI 基础设施赛项两天内全线失守：LiteLLM 两度被攻破，OpenAI Codex、NVIDIA Dynamo、Chroma 与 Oracle 自治 AI 数据库相继沦陷，两日累计 77 个唯一零日。

2026年10月2日作者卫方智能

荷兰漏洞披露研究所 DIVD 遭入侵，攻击者利用 Zammad 工单系统的两个零日漏洞 CVE-2026-102489 与 CVE-2026-102490，数秒内完成从会话劫持到 root 提权。DIVD 根据攻击脚本中的自我注释判定，这是一次智能体式 AI 驱动的攻击。

2026年10月2日作者卫方智能

Fortinet 10 月 1 日披露 FortiMail 管理界面路径遍历与 NULL 字节中和缺陷 CVE-2026-104286，未认证攻击者可通过构造 HTTP 请求写入任意文件并执行代码，CVSS 9.8，已在野利用并进入 CISA KEV。

2026年10月1日作者卫方智能

VUSec 与圣安娜高等研究学院披露 Spectre-v2 新变种 Branch Target Reuse，绕过现有缓解措施，在已全量修补的 Intel Linux 系统上 3 至 5 分钟取出 root 口令哈希。

2026年9月30日作者卫方智能

苹果紧急推送 iOS 26.7.1、macOS 26.7.1 与 15.8.1，修复 CoreGraphics 越界写入漏洞 CVE-2026-86950。苹果确认该漏洞可能已被用于极高复杂度定向攻击，CISA 已将其列入 KEV 目录，建议存量旧版设备立即升级。

2026年9月29日作者卫方智能

D-Link DIR-895L 固件 A1_102b07 的 L2TP 控制通道解析存在越界写漏洞 CVE-2026-100740，CVSS 9.9，公开 PoC 已发布且厂商暂无补丁，建议隔离设备、关闭 L2TP 或更换型号。

2026年9月28日作者卫方智能

Citrix 9 月 27 日发布 CTX697096，修复 NetScaler ADC 与 Gateway 共 8 个漏洞，其中 CVE-2026-88771 与 CVE-2026-88772 为未认证 RCE 零日并已被在野利用，CISA 同日列入 KEV。

2026年9月26日作者卫方智能

企业文件传输厂商 Kiteworks 向全球客户发出预防性停机预警，建议本周六关停系统九小时。公司称收到联邦情报机构可信威胁情报，指向未知零日漏洞，Shodan 上至少 1000 个实例暴露公网。

2026年9月24日作者卫方智能

9 月 22 日，勒索团伙 ShinyHunters 宣称利用 Oracle PeopleSoft 未修复零日攻入 FBI 招聘系统，窃取 2 至 3TB 现任、前任与应聘人员数据并篡改 FBIjobs.gov 首页，要求 FBI 一周内撤回对其手法的公开描述。FBI 已确认调查。

2026年9月23日作者卫方智能

F5 于 9 月 22 日发布 BIG-IP APM 堆溢出漏洞 CVE-2026-94127：当虚拟服务器同时配置访问策略与 OAuth 配置文件时，未认证流量即可触发远程代码执行，CVSS 9.8，厂商确认在野利用，CISA 同日列入 KEV。