【热点安全风险】10月9日｜Cisco Catalyst SD-WAN Manager 认证绕过遭在野利用 ，攻击者可取得管理员权限（CVE-2026-76504）

华顺信安威胁情报中心

2026年10月9日 07:30
湖南

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

PART.01

风险汇总‍‍‍

风险一：Cisco Catalyst SD-WAN Manager 认证绕过遭在野利用，攻击者可取得管理员权限（CVE-2026-76504）

Cisco 于 9 月 30 日发布公告，修复 Catalyst SD-WAN Manager（vManage）API 会话认证绕过漏洞，CVSS 3.1 为 9.8。漏洞源于 HTTP 请求中 URI 编码处理不当，攻击者只需发送经过编码构造的请求即可绕过针对特定 API 端点的认证规则，未认证的远程攻击者可借此以管理员身份访问系统 API。厂商已确认该漏洞遭实际利用，并将其列入已知被利用漏洞目录。Catalyst SD-WAN Manager 是企业广域网的控制中枢，集中下发全网设备的策略与安全配置，一旦被未授权接管，攻击者可篡改路由与安全策略、向分支机构设备下发恶意配置，影响范围覆盖整张广域网。受影响分支为 20.9、20.12、20.15、20.18、26.1 与 26.2，对应修复版本为 20.9.10.1、20.12.8.2、20.15.6.1、20.18.4.1、26.1.2.1 与 26.2.1，官方未提供可完全替代升级的缓解措施。

建议排查

1. 清点 Catalyst SD-WAN Manager 的部署方式（本地或云托管）与在用软件版本。
2. 检查 service-proxy-access.log 与 vmanage-server.log 中是否存在针对 j\_security\_check 的编码形式请求。
3. 核查日志中是否存在以 viptela-reserved 开头的系统账号被异常调用、或来自未知地址的管理请求。

加固建议

1. 将平台升级至 20.9.10.1、20.12.8.2、20.15.6.1、20.18.4.1、26.1.2.1 或 26.2.1。
2. 禁止管理平台直接暴露于互联网，仅允许已知受信主机访问其管理与 API 端口。
3. 在控制组件前部署过滤设备并长期留存访问日志，便于事后追溯与告警。

参考来源

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sdwan-webauth-xr8beuuU

风险二：Fortinet FortiMail 路径穿越遭在野利用，未认证攻击者可写入任意文件（CVE-2026-104286）

Fortinet 于 10 月 1 日发布公告，修复 FortiMail 邮件安全网关的路径穿越漏洞，CVSS 3.1 为 9.8。漏洞根因是对文件名受限于受限目录的限制不当，未认证的攻击者可通过构造 HTTP 或 HTTPS 请求，在底层系统上写入任意文件，实施过程无需任何凭据。官方已确认该漏洞遭在野利用，并将其列入已知被利用漏洞目录。FortiMail 通常部署在企业邮件入口，承担垃圾邮件过滤、附件沙箱、邮件加密与归档等职责，被写入任意文件后可进一步覆盖配置文件、植入可执行内容，进而演变为代码执行与邮件数据窃取。由于邮件网关是内外通信的必经节点，设备一旦失守，攻击者可读取全部进出邮件正文与附件、劫持邮件会话，甚至在钓鱼与商务邮件欺诈中冒用企业域名，对内对外均造成直接损失。受影响版本为 FortiMail 8.0.0 至 8.0.1、7.6.0 至 7.6.6、7.4.0 至 7.4.8 与 7.2.0 至 7.2.9，建议按厂商公告升级至修复版本，并收敛设备的互联网暴露面。

建议排查

1. 核对在用 FortiMail 的版本是否落在 8.0.0-8.0.1、7.6.0-7.6.6、7.4.0-7.4.8、7.2.0-7.2.9 区间。
2. 检查设备事件日志中是否存在异常的 HTTP/HTTPS 请求与文件写入记录。
3. 检索设备系统目录下新增与被修改的可疑文件。

加固建议

1. 将设备升级至厂商公告中的修复版本，升级前完成配置备份。
2. 将管理界面与邮件服务端口的访问来源限制为必要地址，不向互联网开放管理面。
3. 开启配置文件与关键目录的完整性校验，对系统目录变更设置告警。

参考来源

https://nvd.nist.gov/vuln/detail/CVE-2026-104286

风险三：Zammad 客服系统两枚漏洞形成在野利用链，攻击者可从未认证直达 root（CVE-2026-102489/102490）

Zammad 开源客服工单系统被披露两枚严重漏洞，可组合形成从未认证访问到 root 权限的完整攻击链。CVE-2026-102489 为会话固定漏洞（CVSS 3.1 为 9.8），远程未认证攻击者可劫持高权限用户的会话，并以 zammad 服务账号身份执行任意代码；CVE-2026-102490 为默认权限配置不当导致的本地提权（CVSS 3.1 为 9.8），本地用户可借文件与目录的权限缺陷将权限提升至 root。两枚漏洞均已遭在野利用，并一同被列入已知被利用漏洞目录。Zammad 广泛用于企业自建客服与工单系统，主机失守后攻击者可读取工单内容、邮件集成凭据、数据库口令与 API 令牌，并以此为跳板横向进入其他业务系统。CVE-2026-102489 直接影响 6.3.0 至 6.5.4 版本，已在 7.2.0 中加固；CVE-2026-102490 的官方修复版本尚未发布，需先收敛暴露面并做好取证准备。

建议排查

1. 清点在用 Zammad 实例的版本、是否自建部署以及是否可从互联网访问。
2. 审查应用与系统日志中是否存在异常会话创建、会话复用与 root 权限提升尝试。
3. 检查工单主机上应用可访问的配置文件、密钥与令牌是否已存在暴露风险。

加固建议

1. 将受影响实例升级至 7.2.0 或更高版本；6.5 及更早版本已停止支持，需规划迁移。
2. 暂无法升级的实例先下线或限制为内网访问，并限制管理接口可访问来源。
3. 升级前后轮换数据库口令、邮件集成凭据与 API 令牌，并保留日志以备取证。

参考来源

https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field\_cve=CVE-2026-102489

风险四：Splunk Enterprise 接口缺失认证，未认证攻击者可执行系统命令（CVE-2026-76268）

Splunk 于 10 月 7 日发布安全公告，修复 Splunk Enterprise 中一枚命令执行漏洞，CVSS 3.1 为 9.8。漏洞根因是关键功能缺失身份认证：部署在搜索头集群成员上的 Patroni REST API 在关键配置操作上不要求认证，具备网络可达性的未认证用户即可借该接口执行攻击者控制的系统命令，权限与 Splunk 进程一致。Splunk 是集中日志与安全运营平台，承载告警研判、检测规则与审计数据，平台失守意味着攻击者可压制告警、篡改检测规则并窃取所依赖的日志内容，且平台自带凭据与数据源接入权限，横向影响面很广。受影响版本为 Splunk Enterprise 10.4.0 至 10.4.2 与 10.2.0 至 10.2.6，10.0.x 与 9.4.x 不受影响，修复版本为 10.4.3 与 10.2.7。官方公告暂未提及该漏洞遭在野利用，但同类接口在历史上已有被实际利用的先例，仍应按最高优先级处置。

建议排查

1. 确认在用 Splunk Enterprise 的版本及搜索头集群成员的部署范围。
2. 检查 Patroni REST API 相关端口的网络可达来源是否已收敛至受信网段。
3. 核查 Splunk 进程是否派生出异常的子系统进程与对外网络连接。

加固建议

1. 将平台升级至 10.4.3 或 10.2.7，并为此预留变更窗口。
2. 暂无法升级时，若未使用相关数据管道，可在 server.conf 中禁用 PostgreSQL sidecar。
3. 对搜索头集群成员实施网络隔离，限制可访问其接口的来源主机。

参考来源

https://advisory.splunk.com/advisories/SVD-2026-1001

风险五：日本零售商 MrMax 服务器遭入侵，最多 173 万名客户信息面临外泄

MrMax Holdings 于 10 月 6 日发布公告，确认其 App 与网络商店所用服务器遭未授权访问，最多 1,735,154 名客户的个人信息可能外泄。官方披露的涉事信息包括客户 ID、姓名、电子邮箱与电话号码；地址、出生日期、信用卡信息、密码与购买历史未受影响。公司表示在察觉异常后即采取措施阻断访问并展开调查，已就此事向日本个人信息保护委员会报告。MrMax 在日本经营大量线下门店与线上业务，本次涉及规模接近其会员总量，属于单次事件中客户覆盖面较广的一类。对个人而言，姓名、邮箱与电话的组合已足以支撑精准钓鱼与短信诈骗；对企业而言，后续冒用品牌名义的欺诈邮件往往比泄露本身影响更久。日本同期已有多家企业报告服务器遭未授权访问的同类事件，覆盖零售、钟表与互联网服务等行业，呈现外部攻击者批量探测业务系统、而非定向攻击单点的特征。

建议排查

1. 核实本单位是否有员工以企业邮箱注册该平台，评估相关信息暴露面。
2. 关注以零售、快递、积分兑换名义发来的异常邮件、短信与来电。
3. 检查内部是否存在与该平台使用相同邮箱与口令的账号。

加固建议

1. 对使用该平台邮箱的账号统一更换口令，避免跨系统复用。
2. 对外来邮件启用发件人域名校验与链接沙箱检测。
3. 将外部会员与积分类平台账号独立管理，减少与业务账号的关联。

参考来源

https://www.mrmaxhd.co.jp/release/upload/20261006\_release.pdf

风险六：日本调查平台 infoQ 遭未授权访问，超 94 万条会员信息与积分被窃

GMO 研究与人工智能公司于 10 月 5 日发布公告，确认其运营的问卷调查网站 infoQ 遭外部未授权访问，会员个人信息被带出，最多 948,498 条记录受影响。官方披露的泄露信息包括姓名、假名注音、性别、出生日期、邮箱、地址、电话、加密后的密码、会员 ID 及其他注册信息，公司未持有信用卡与个人编号信息。除数据外泄外，攻击者还将部分会员的积分兑换为购物礼品码，涉及 611 名会员、合计约 286.95 万日元，公司已承诺全额补偿，并已于 10 月 5 日向日本个人信息保护委员会报告。官方说明入侵原因为外部人员利用了网站所用软件的漏洞，公司已停止服务并切断外部访问。调查平台沉淀的会员资料维度完整、真实度高，被窃取后极易用于精准诈骗与撞库；积分能够被成功兑换，说明攻击者已具备完整的业务操作能力，而非仅读取数据。

建议排查

1. 排查员工是否在该平台注册过账号，尤其是使用企业邮箱与相同口令的情况。
2. 检查积分、优惠券类账户是否存在非本人操作的兑换记录。
3. 关注以问卷奖励、积分兑换名义发来的钓鱼邮件与短信。

加固建议

1. 对使用相同口令的平台账号立即更换口令并启用二次验证。
2. 为积分兑换等高权限操作增加人工确认或额度限制。
3. 外部表单与问卷类平台实行账号隔离，不使用企业主邮箱注册。

参考来源

https://gmo-research.ai/pressroom/notice/notice-20261005

PART.02

总体处置建议‍‍‍

总结

本期六条风险中，两条为数据泄露事件、四条为可被远程利用的漏洞。日本零售商 MrMax 与调查平台 infoQ 相继确认服务器遭未授权访问，合计逾 260 万名客户的个人信息外泄，同期当地已有多家企业报告同类事件，说明外部攻击者正批量探测业务系统而非定向攻击单点。漏洞侧，Cisco SD-WAN 管理平台与 FortiMail 邮件网关的漏洞均已遭在野利用，直指管理员与系统级权限；Zammad 客服系统被利用后可直达 root；Splunk 日志平台则因接口缺失认证面临未认证命令执行风险。整体看，业务系统与网络边界同时承压，未认证可达与高权限后果仍是处置排序的首要依据。

整体风险处置建议

1. 以「未认证可达 + 已遭在野利用」为最高优先级，先处置广域网管理平台、邮件网关与对外业务系统。
2. 对管理平台与日志平台执行网络隔离，禁止管理与 API 端口直接暴露于互联网，边界设备统一收敛管理面访问。
3. 建立边界设备与平台组件的版本台账，把 SD-WAN 管理平台、邮件网关与各类业务平台纳入统一管理。
4. 清理以企业邮箱注册的外部平台账号，排查口令复用与长期未更换的凭据，并为其启用二次验证。
5. 针对数据外泄后的下游欺诈建立预警流程，把冒充品牌、伪造收款账户与积分兑换类钓鱼纳入员工告警。

合规说明

以上内容基于公开信息整理，仅用于网络安全防护与管理决策参考，具体影响范围与修复方式请以厂商官方公告为准。