ZONE.CI 全球网

摄星科技关键漏洞目录新增6个漏洞，涵盖ISCBIND拒绝服务、ApacheStruts2任意代码执行、Strapi信息泄露与服务端模板注入、ONLYOFFICE路径遍历及ProFTPD命令执行等，多个漏洞已被CISAKEV收录且存在公开PoC，建议相关用户尽快升级修复。

首届全球具身智能应用创新挑战赛-漏洞挖掘挑战赛正在报名，旨在推动具身智能产业安全能力建设，赛事面向全球企业、高校等，开展受控漏洞挖掘、复现验证与专家评审，报名截止至10月10日18:00。

NVIDIADCGMExporter存在高危漏洞CVE-2026-47483，CVSS评分8.2，可致资源耗尽型DoS及信息泄露。超2000台GPU服务器暴露公网，涉及12000余个GPU，硬件价值约1亿美元。攻击者可借pprof端点耗尽资源致监控崩溃。建议升级至4.8.2+，禁用pprof，限制网络访问。

思科发布NX-OS系统五个严重漏洞公告，影响Nexus3000和9000系列交换机，可致root权限代码执行或拒绝服务。漏洞涉及NX-API、NGOAM和MPLSOAM功能，思科建议升级版本、禁用非必要功能或启用临时防护，同时发布CiscoLicense加固更新。

Citrix发布NetScalerADC和Gateway中内存溢出漏洞CVE-2026-107406的严重公告，CVSSv4.0评分9.5，配置SAML的设备可能面临远程代码执行或拒绝服务风险。受影响版本涉及特定SAML角色配置，Citrix建议客户尽快升级至已修复版本，并检查SAML配置确认是否受影响。

本期信息安全漏洞周报汇总了国家信息安全漏洞共享平台（CNVD）及国家信息安全漏洞库（CNNVD）发布的最新安全公告，经团队分析筛查后收录了被认定为风险的安全漏洞信息。报告建议相关用户和组织及时关注官方补丁和修复方案，采取相应安全措施以保障信息系统安全稳定运行。

Telegram桌面版曝高危漏洞CVE-2026-107181，CVSS评分8.1，影响早于7.2.9版本。攻击者可通过恶意tg://链接触发IPC记录注入，无需密码即可接管账号并窃取本地会话数据。建议立即升级至7.2.9及以上版本，勿点击可疑链接，并审查活跃会话。目前未见在野利用证据。

本文由弥天安全实验室发布，成功复现了Atlassian多款产品（包括Jira、Confluence、Bitbucket等）中的任意文件读取漏洞CVE-2026-21589。漏洞源于atlassian-plugins-webresource组件对URL中::转义处理不当，攻击者无需认证即可构造恶意请求绕过路径检查，读取webroot内任意文件，在部署Crowd环境下可进一步获取明文凭据并接管系统。文章列出了受影响版本范围、复现POC及修复建议，建议用户尽快升级补丁并部署安全设备进行防护。

本文分析Atlassian多产品CVE-2026-21589未授权任意文件读取漏洞，影响Jira、Confluence等DataCenter产品全部历史版本，CVSS评分9.3。漏洞源于组件库路径处理缺陷，攻击者可利用…::绕过校验实现目录穿越，读取敏感配置，进而可接管Crowd并实现RCE。建议升级至修复版本或采取WAF拦截等临时缓解措施。

CNNVD发布2026年9月信息安全漏洞月报，新增漏洞13849个，环比增18.06%，整体修复率83.11%。授权问题类漏洞占比最大，超危漏洞1619个。重大漏洞为CitrixNetScalerADC输入验证错误漏洞，可致未认证攻击者执行任意命令，厂商已发布补丁。建议相关用户尽快升级修复，并关注高危漏洞态势。

Atlassian多款产品存在CVE-2026-21589任意文件读取漏洞，源于atlassian-plugins-webresource组件将URL中::视为/转义，攻击者可未授权构造…::绕过校验读取Tomcat根目录任意文件，若部署Crowd可获取明文凭证并新建管理员实现接管。影响Bitbucket、Confluence、Crowd、Jira等众多版本，文章提供复现测试及免责声明。

VMwarevmxnet3虚拟网络适配器存在严重整数溢出漏洞CVE-2026-59346，CVSS评分9.3，可导致客户机至宿主机代码执行。已公开POC仅能引发宿主机崩溃，博通已在26H1U1版本修复，无临时缓解措施。建议用户尽快升级，并限制客户机管理员权限。

WordPress发布7.1.3安全更新，修复存储型XSS、二阶SQL注入、参数伪造及拒绝服务等七个漏洞，涉及评论审核、Imgur嵌入及WXR导出功能。官方未提供CVE编号与CVSS评分，建议用户立即更新至最新版本，旧分支已同步修复补丁。

Atlassian数据中心产品存在CVE-2026-21589严重任意文件访问漏洞，CVSS评分9.3，影响Bitbucket、Confluence、Jira等多款产品。该漏洞为路径遍历缺陷，双冒号可被识别为路径分隔符，攻击者可读取Web根目录下敏感文件。漏洞技术细节公开两小时内即遭在野利用，攻击来源为日本和美国。Atlassian已发布修复版本，建议用户将实例从公网下线或配置WAF规则拦截恶意请求。

本文披露TelegramDesktop7.2.8及更早版本存在的IPC注入漏洞CVE-2026-107181。攻击链利用记录分隔符未转义与interpret:方案缺少授权校验两个低危缺陷组合，通过诱导用户点击链接，可远程读取任意本地文件并最终接管账号。官方已在7.2.9版本修复，建议用户及时升级，并采取关闭自动下载、限制入群、设置本地密码等缓解措施。

本文介绍Atlassian系统任意文件读取漏洞CVE-2026-21589的复现方法，影响Bitbucket、Confluence、Crowd、Jira等多款DataCenter产品，给出了具体受影响版本范围及利用POC示例，可读取WEB-INF等敏感文件，建议相关用户尽快升级修复。

CitrixNetScalerADC与Gateway曝出严重内存溢出漏洞CVE-2026-107406，CVSS评分高达9.5，特定SAML配置下可致远程代码执行或拒绝服务。受影响版本范围明确，官方已发布修复版本。建议管理员自查SAML配置，尽快升级至安全版本，并加强访问控制以降低暴露面。

该文档披露AtlassianJira等产品存在CVE-2026-21589任意文件读取漏洞，攻击者无需登录即可通过资源下载功能绕过路径检查，读取Web应用根目录内已知文件，导致敏感信息泄露。影响Jira、Confluence、Bitbucket等多个DataCenter产品。建议升级至修复版本，或通过安全组限制访问、启用临时拦截规则等缓解措施。

文档介绍AI加持下具身智能设备漏洞挖掘新范式，聚焦四足机器人、人形机器人等，系统梳理四层攻击面，披露3家厂商20+漏洞含10+高危，包括固件后门、密钥硬编码等供应链级问题，提出AI辅助挖洞方法论与MCP工具链，强调AI为效率倍增器，并给出分级修复建议与四层防护框架。

NVIDIADCGMExporter存在高危漏洞CVE-2026-47483，可被未授权远程攻击利用导致资源耗尽与监控崩溃，影响AI工作负载。公网超2000台主机暴露，涉及近300家机构，泄露超12000个GPU标识符。官方已发布4.8.2修复版本，建议禁用pprof参数、绑定私有地址并排查公网暴露端口。