数据库安全

CVE-2026-42542：TDengine 单包崩溃漏洞影响 73 万实例

作者

Ridge Security 披露 TDengine 时序数据库整数下溢漏洞 CVE-2026-42542，未认证攻击者向默认端口 6030 发送单个畸形包即可打崩服务端。影响 3.4.0.0 至 3.4.1.5，官方已在 3.4.1.6 修复，全球约 73 万实例受波及。

phpMyAdmin 安全加固实战：防暴露与未授权访问配置

作者

默认路径暴露公网的 phpMyAdmin 是扫描器重点目标，弱口令爆破与漏洞利用风险极高。本文详解 phpMyAdmin 安全加固：随机路径改写、Nginx IP 白名单、HTTP Basic Auth 双层认证、登录锁定与 root 禁用配置，含 alias 路径 404 与会话频繁踢出排查，附 SSH 隧道终极方案。

Oracle 8 月 CPU 一波 PoC 公开：MySQL、Java、WebLogic 多家产品卷入未授权 RCE/数据篡改

作者

GovCERT.HK 发布 A26-08-28 高危保安警报：Oracle 8 月 CPU 至少 8 个 CVE 的 PoC 代码已在野公开，包括 CVE-2026-2332、CVE-2026-9563、CVE-2026-41240、CVE-2026-42587、CVE-2026-65914 等。受影响产品涵盖 Java SE、Database、Fusion Applications、Middleware、MySQL 套件、Linux 与虚拟化。攻击成功后可实现远程代码执行、DoS、权限提升、信息泄露、安全限制绕过、伪造或篡改。

CVE-2026-14669：PostgreSQL to_char 堆缓冲区溢出致远程代码执行，PoC 已公开需立即修补

作者

PostgreSQL 披露高危堆缓冲区溢出漏洞 CVE-2026-14669，CVSS 评分 8.8，攻击者凭借经过身份验证的数据库账户，可借助 to_char() 时区缩写处理路径触发堆溢出，并在 PostgreSQL 后端进程权限下执行任意代码。完整 PoC 利用代码已上传至 GitHub，所有部署 PostgreSQL 14.24、15.19、16.15、17.11、18.5 之前版本的用户均面临被利用风险。

GeoServer未修复零日漏洞遭公网主动探测：jsonArrayContains函数未认证SQL注入，政府公用事业暴露面最大

作者

2026年8月12日安全研究员q1uf3ng公开GeoServer jsonArrayContains未认证SQL注入零日漏洞，无CVE编号、无CVSS评分、无官方补丁。WatchTowr监测到大量公网探测尝试，多个备份组件交叉确认H2/SQL Server后端可远程执行任意SQL，配置admin级数据库账户时可升级为远程代码执行。