每日安全情报报告 · 2026-10-14
由 AI 整理发布
本期聚焦近 24–48 小时（2026-10-12 ~ 10-14）新增高危漏洞与在野利用动态。🔥⚠️ 标记表示已确认在野利用（CISA KEV 或厂商确认）。风险级别：🔴 严重（CVSS ≥ 9.0 或已在野）｜🟠 高危（CVSS 7.0–8.9）｜🟡 中危。
一、最新高危漏洞（CVE 速览）
| CVE / 编号 | 漏洞类型 | 受影响组件 | CVSS | 风险 | 详情 / 链接 |
|---|---|---|---|---|---|
| CVE-2026-97229 | CI/CD 正则编译器整数溢出 → 未认证 RCE | GitLab CE/EE 自托管 19.2/19.3/19.4（修复：19.2.8 / 19.3.5 / 19.4.2） | 10.0 | 🔴 | NVD 详情 · GitLab 补丁说明 · Rapid7 分析 |
| CVE-2026-109109 | 栈缓冲区溢出（Settings Export CGI，strcpy） | Wavlink WL-WN530BE1-A 路由器 | 10.0 | 🔴 | CTIWatch 详情 · VulDB |
| CVE-2026-104935🔥⚠️ | 认证绕过（欺骗）+ RCE + 提权链 → 未认证 Root | Ivanti Connect Secure（< 25.1.3.0；含 22.8R2.4 已打全补丁设备） | 8.6 | 🔴 | NVD 详情 · The Hacker News · Volexity 报告 |
| CVE-2026-96951🔥⚠️ | Windows Shell 命令注入 → 绕过 Mark-of-the-Web（MOTW） | 所有受支持 Windows 客户端/服务器（10/11/Server 2012R2–2025） | 8.8 | 🔴 | NVD 详情 · MSRC 公告 · Zero Hunt 分析 |
| LG webOS 三连漏洞（暂无 CVE） | 本地网络预认证 Root 接管（PIN 绕过 + 提权 + pmlogd 命令注入） | LG 智能电视 webOS（实测 32LQ636BPSA / 27TQ600SW，webOS 7.5.7-25） | 未评分（高危） | 🟠 | The Hacker News · SSD Secure Disclosure · FreeBuf 早报 |
| AnyDesk Linux（暂无 CVE） | 32 位整数溢出 → 预认证堆溢出 RCE（Root，免连接确认） | AnyDesk Linux ≤ 8.0.2（修复 8.0.3 / 最新 8.1.0） | 未评分（严重） | 🟠 | The Hacker News · FreeBuf 中文 · CN-SEC 分析 |
| CVE-2026-100202 | Microsoft Message Queuing（MSMQ）RCE | Windows / Windows Server | 9.8 | 🔴 | RootPwn 汇总 |
| CVE-2026-70571 | Microsoft Exchange Server RCE | Exchange Server | 8.1 | 🟠 | RootPwn 汇总 |
| CVE-2026-70229 | Active Directory Domain Services（AD DS）RCE | Windows Server | 8.1 | 🟠 | RootPwn 汇总 |
🔥⚠️ 重点：今日在野利用 / KEV 新增
- Ivanti Connect Secure 三零日链（CVE-2026-104935）：攻击者 UTA0576 自10 月 3 日起在已打全补丁的 22.8R2.4 设备上链式利用"认证绕过 + RCE + 提权"取得未认证 Root。窃取 LDAP 域凭据、扫描 AD 密码、密码喷射；利用仅修改内存、还原配置并删日志，可绕过 Ivanti Integrity Checker Tool。10 月 13 日 Ivanti 修复前两个缺陷（CVE-2026-104935），提权环节仍无补丁。CISA 已于10 月 14 日将其加入 KEV，标注利用状态为"Active"、技术影响"Total"。详见 CISA KEV 目录。
- Windows Shell MOTW 绕过（CVE-2026-96951）：微软 10 月补丁日（10-13）修复的命令注入，可让精心构造的文件绕过"来自互联网"标记（MOTW），使 SmartScreen / Office 受保护视图 / 运行提示全部失效。微软标注"Exploitation Detected"，CISA KEV 加入日期 2026-10-13，联邦整改截止 2026-10-16（BOD 26-04，需取证排查）。投递方式仅为"用户双击邮件/IM 附件"，社工门槛极低。
🟡 持续在野 / KEV 追踪（前序重点，仍须处置）
- SonicWall SMA1000 CVE-2026-102255（CVSS 10.0 预认证 SSRF）—— 披露 2 天后即遭蜜罐探测与在野利用，400+ 暴露设备。
- Citrix NetScaler CVE-2026-88771 / 88772 / 88779 / 107406（KEV，CVSS 8.7–9.5 SAML 内存溢出）—— 整改窗口已过，已修复设备仍可能因补丁前失陷被突破。
- Zammad 双零日 CVE-2026-102489 / 102490（KEV 9.4/9.8，Agentic AI 攻陷 DIVD）—— 默认安装即受影响。
- Atlassian Data Center CVE-2026-21589（CVSS 9.3 未授权文件读取）—— 公开 PoC 后 2 小时即遭在野利用。
- FortiMail CVE-2026-104286（KEV 9.8 路径遍历 + NULL 字节）—— 已公布 IoC，仍活跃。
- CISA 10-08 新增遗留漏洞（整改截止 10-11 已过）：ProFTPD CVE-2015-3306（10.0）、ONLYOFFICE CVE-2021-3199（9.8）、Apache Struts CVE-2016-3081（8.1）、ISC BIND CVE-2015-5477（7.5）、Strapi CVE-2023-22894（4.9，可链式 RCE）—— 均由 Flax Typhoon 利用，详见 IntelFusions 综述。
二、最新漏洞 PoC（含使用步骤）
⚠️ 以下脚本仅限授权测试环境使用。🅟 标注 = 真实可利用 PoC；🔍 标注 = 检测 / 版本核查 / 失陷取证（非武器化利用）。
1. 🅟 AnyDesk Linux「AnyPwn」预认证 Root RCE（暂无 CVE）
- 来源：v12-security/pocs（anydesk 目录） · 公开时间 2026-10-08
- 说明：32 位整数溢出导致直连 TCP 7070 端口预认证堆溢出，无需连接确认即可取得 Root；厂商 8.0.3 静默修复且无 CVE。
- 使用步骤：
git clone https://github.com/v12-security/pocs.git cd pocs/anydesk # 阅读 README 了解 Go 工具链依赖与编译方式 # 对授权目标 Linux 主机的 7070 端口发起预认证利用 # 仅限授权测试环境使用；生产环境直接升级至 8.1.02. 🅟 Atlassian Data Center 未授权文件读取 CVE-2026-21589（已在野）
- 来源：tc4dy/CVE-2026-21589-PoC-Exploit · 0xBlackash/CVE-2026-21589
- 说明：Bamboo / Bitbucket / Confluence / Jira 等多款 Data Center 产品的路径遍历，未认证可读 Web 根目录内特定文件。
- 使用步骤：
git clone https://github.com/tc4dy/CVE-2026-21589-PoC-Exploit.git cd CVE-2026-21589-PoC-Exploit pip install -r requirements.txt # 通常依赖 requests python exploit.py -u https://<target>3. 🅟 Gotenberg PDF 转换服务 RCE CVE-2026-42589
- 来源：fineman999/POC_CVE-2026-42589 · 中文分析：CN-SEC
- 说明：一条 HTTP 请求即可通过 ExifTool 命令注入在 Gotenberg 8.29.1 达成 RCE；仓库提供 Docker 漏洞实验室 + nuclei 模板，仅用
sleep 6验证时序，无破坏性副作用。 - 使用步骤：
git clone https://github.com/fineman999/POC_CVE-2026-42589.git cd POC_CVE-2026-42589 docker compose up -d # 起漏洞版 8.29.1 curl -s http://127.0.0.1:3000/version # 期望输出 8.29.1 nuclei -duc -u http://127.0.0.1:3000 -t CVE-2026-42589.yaml # 修复：升级至 8.31.0；临时缓解——在 Gotenberg 前置 API 网关鉴权4. 🔍 GitLab CVE-2026-97229（暂无公开 PoC，以版本核查 + 升级为准）
- 来源：GitLab 补丁说明 · Rapid7
- 说明：CVSS 10.0 未认证 RCE，CI/CD 正则编译器整数溢出；Rapid7 已独立复现，但截至 10-13 无公开 PoC，尚无在野利用确认。
- 检测 / 处置步骤：
# 1. 查询当前版本 curl -s https://<gitlab-host>/api/v4/version # 2. 受影响范围：19.2 < 19.2.8；19.3 < 19.3.5；19.4 < 19.4.2 # 3. 立即升级至修复版本；GitLab.com / Dedicated 无需操作 # 4. 暂缓升级期：限制匿名访问公开项目、禁止未授权用户创建/写入公开项目5. 🔍 Ivanti Connect Secure CVE-2026-104935（失陷取证，无公开利用脚本）
- 来源：Volexity 报告 · RedEye 威胁情报
- 说明：链式为内存修改型利用，文件完整性校验无法检出，需网络 + 内存取证。
- IoC 核查步骤：
# 1. 检查 Web 访问日志中大量请求： # /dana-na/auth/url_default/welcome.cgi # 2. 检查是否存在异常 HTTP 头 X-DSCGI-PATH（其值与实际 URL 路径不匹配） # 3. 检查目录 /data/.icscap/ 是否被创建 # 4. 排查与攻击主机 108.165.147.64 的通信 # 5. 立即升级到修复版本（25.1.3.0 / 25.1.3.1 / 22.8R2.5）；提权漏洞补丁待发布 # 6. 轮换所有可能泄露的凭据（LDAP 域凭据、LAPS、BitLocker 恢复密钥）6. 🔍 Apple CoreGraphics 越界写入 CVE-2026-86950（检测脚本）
- 来源：decalage2/detect_CVE-2026-86950 · NVD 详情
- 说明：iOS 26.7.1 / iPadOS 26.7.1 / macOS Tahoe 26.7.1 / Sequoia 15.8.1 的 CoreGraphics 越界写入（解析图形数据），CVSS 8.8，KEV。
- 检测步骤：
git clone https://github.com/decalage2/detect_CVE-2026-86950.git cd detect_CVE-2026-86950 # 按 README 运行检测脚本，识别未修复的 iOS / macOS 设备并提示升级三、网络安全最新文章
| 标题 | 摘要 | 来源 / 链接 |
|---|---|---|
| 攻击者链式利用三个 Ivanti Connect Secure 零日取得 Root，仅修复两个 | Volexity 披露 UTA0576 在已打全补丁的 VPN 设备上实现未认证 Root，内存修改型利用可绕过完整性校验；CISA 已加入 KEV。 | The Hacker News |
| 研究人员公布 AnyDesk Linux 预认证 Root 利用「AnyPwn」 | 厂商以"崩溃修复"名义静默修补、未分配 CVE，导致资产扫描盲区；Linux 跳板机 / 运维工作站风险最高。 | The Hacker News · FreeBuf |
| GitLab 修复 CI/CD 正则编译器 CVSS 10.0 未认证 RCE（CVE-2026-97229） | Rapid7 独立复现：攻击者需先提交含构造正则的.gitlab-ci.yml，在允许自注册/公开项目的实例上即可触发；建议紧急升级。 | Rapid7 |
| Windows Shell 命令注入 CVE-2026-96951：已被利用的 MOTW 绕过 | 微软 10 月补丁日修复，可让恶意文件绕过"来自互联网"标记；CISA KEV 3 天整改窗口，联邦截止 10-16。 | Zero Hunt |
| LG 智能电视本地网络预认证 Root 接管 | SSD Secure Disclosure 披露 webOS 三连漏洞（PIN 绕过 + 提权 + pmlogd 注入），酒店 / 办公室共享网络风险高；暂无 CVE。 | The Hacker News |
| 微软 10 月补丁日：1415 漏洞、85 个严重，含 1 个在野 RCE | 除 Windows Shell 外，重点包括 MSMQ RCE（CVE-2026-100202，9.8）、Exchange RCE（CVE-2026-70571）、AD DS RCE（CVE-2026-70229）及多 Office Excel RCE。 | RootPwn |
| FreeBuf 早报：LG webOS 四漏洞、SonicWall 在野、ShinyHunters 第三名嫌疑人被捕 | 综合快讯：91,000+ LG 电视暴露公网；SonicWall SMA1000 满分 SSRF 披露两天即遭在野；加拿大勒索谈判代表落网。 | FreeBuf |
| 法国数百家超市制冷系统遭网络攻击（Danfoss 控制器） | 黑客远程强制除霜并将温度设为 50℃，导致生鲜 / 冷冻品大规模损毁，损失或达数百万欧元；法国 ANSSI 确认 Danfoss 软件存在漏洞。 | 新华社 / 环球网 · 中国网 |
| Microsoft 10 月云端漏洞包（5 个严重，峰值 10.0） | Partner Center 证书校验绕过（CVE-2026-96207，10.0）、Bookings 授权绕过、Azure App Service / Dataverse 未认证 RCE 等，均为托管服务。 | ThreatAft |
四、防御建议（按优先级）
- 立即处置在野 KEV：Ivanti Connect Secure（升级 + 内存/网络取证 + 凭据轮换）、Windows Shell CVE-2026-96951（10-16 前打补丁）、SonicWall / Citrix / Zammad / Atlassian / FortiMail 在野项。
- 紧急升级 GitLab 自托管实例至 19.4.2 / 19.3.5 / 19.2.8（CVSS 10.0，已可复现）。
- IoT / 终端加固：LG 电视升级固件并隔离 VLAN；AnyDesk Linux 升级至 8.1.0（勿依赖 CVE 扫描）；Danfoss 制冷控制器升级固件、限制公网管理端口。
- 遗留 KEV 清零：ProFTPD / ONLYOFFICE / Struts / BIND / Strapi 整改截止已过，未修复且暴露的实例应离线或退役。
- 邮件 / 附件防护：针对 CVE-2026-96951 MOTW 绕过，强化附件扫描、禁用未受信宏、部署 Attack Surface Reduction 规则并监控
explorer.exe异常子进程。
部分内容由 AI 辅助生成
