【安全速报】9月30日高危漏洞紧急预警

探知安全
探知安全

探知安全

2026年9月30日 10:34
江西

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

【安全速报】9月30日高危漏洞紧急预警

2026年09月30日  |  探知安全

今日焦点

48 小时极限剧本本周再度上演：Citrix NetScaler 双零日在确认全球在野利用后于 9 月 27 日紧急公告并进入 KEV，联邦修复截止就是今天（9 月 30 日）——全球 5 万余台暴露设备正被以 root 权限植入隐藏 Web Shell；Apple 同步修复 CoreGraphics 零日（9 月 29 日进 KEV），官方措辞\"针对特定个人的极端复杂攻击\"；WordPress 核心模板解析漏洞 CVE-2026-87902 在 9 月 22 日补丁发布的当天 11:49 就迎来首次利用，pearcmd.php 被当作 Web Shell 投放器。建议优先排查：公网 NetScaler ADC/Gateway、WordPress 站点主题目录与 /tmp 目录、未升级的 iPhone/Mac 设备。

漏洞详情

严重CVE-2026-88771 / 88772CVSS 9.5（官方 v4.0）

Citrix NetScaler 双零日在野利用：预认证直接打 root，5 万台暴露设备危在旦夕（CVSS 9.5×2·CISA KEV 9/27·联邦截止 9/30·零日在野利用）

Citrix NetScaler ADC 与 NetScaler Gateway 存在两个已被在野利用的零日漏洞：CVE-2026-88771（输入校验不当，CWE-20）允许未经认证的攻击者在默认配置下远程执行任意命令，无需启用任何附加功能；CVE-2026-88772（内存溢出，CWE-119）可导致 RCE 或拒绝服务，利用前提是启用 DTLS——而 NetScaler 的 VPN 虚拟服务器默认就开着 DTLS。Citrix 官方评分均为 CVSS v4.0 9.5（不同数据库 v3.1 口径在 8.1~9.8 之间有差异）。时间线堪称极限：9 月 24 日 GreyNoise 蜜罐捕获首次利用（源 IP 149.104.78[.]141），9 月 26 日大批管理员接到 IT 供应商/CERT\"立即关机\"的电话、watchTowr 确认传闻可信，9 月 27 日 Citrix 发布 CTX697096 通告（共修 8 个漏洞）、CISA 同日收入 KEV 并给出 3 天截止。

watchTowr 技术分析显示 CVE-2026-88771 的根源在处理崩溃/错误信息的 Perl 脚本 ns\_monuploadd\_err.pl：攻击者仅需向预认证端点 /nf/auth/doAuthentication.do 发送特制 POST，注入的命令最终以 root 权限执行。GreyNoise 观测到的攻击手法相当老练：给 /bin/sh 设置 SUID/SGID 拿 root shell、安装通过 Cookie 值通信的密码保护 Web Shell、把隐藏文件 .ctxs.receiver 配置为无 .php 后缀的 PHP 文件、用伪装成 CSS 请求的路由别名藏匿访问入口。Unit 42 统计截至 9 月 27 日全球有 50,277 台 NetScaler 暴露在公网。注意：8 月为修复 CVE-2026-19490 升级到 14.1-73.32 / 13.1-63.21 的设备仍在受影响范围内，必须再次升级。

影响范围

NetScaler ADC 与 NetScaler Gateway 14.1（< 14.1-73.37）、13.1（< 13.1-64.23）、ADC 14.1-FIPS（< 14.1-73.37 FIPS）、ADC 13.1-FIPS/NDcPP（< 13.1-37.279）；Secure Private Access Hybrid 部署中使用的 NetScaler 实例同样受影响；已停止支持的 12.1/13.0 版本无补丁

修复建议：升级至 14.1-73.37+ / 13.1-64.23+（13.1 升级前先跑 show ns variable，有已配置变量则用 13.1-64.24 规避循环重启问题）/ 对应 FIPS 版本；同批修复的 CVE-2026-88778（TCP ISN 可预测）需检查 Enhanced ISN Generation 是否已启用。补丁会破坏取证现场——CISA 要求先做取证排查：留存内存转储与至少一个月日志、生成技术支持包，重点核对 GreyNoise 观测的 .ctxs.receiver 文件与 Cookie 型 Web Shell 痕迹；确认失陷的设备应隔离、重建固件并轮换全部凭据与证书。

严重CVE-2026-87902CVSS 8.1（NVD 口径）

WordPress 核心模板解析漏洞：补丁发布当天即遭利用，pearcmd.php 变身 Web Shell 投放器（CISA KEV 9/25·影响回溯至 4.7.0·免认证在野利用）

WordPress 核心存在远程文件包含漏洞 CVE-2026-87902（NVD CVSS 3.1 8.1，CWE-98；KEV 表内计 8.6，部分媒体引 9.2，本文取 NVD 口径）：未经认证的攻击者可让 get\_page\_template() 函数把页面模板解析到主题目录之外的任意可读 .php 文件并将其 include——本地包含 PHP 文件即等于代码执行。该漏洞影响回溯到 4.7.0（约十年），利用需满足两个前提：当前主题存在以 page- 开头的顶级目录（Neve、Hestia、Sydney 及旧版 Twenty Twelve/Twenty Fourteen 等常见主题均命中），且服务器上存在 Web 进程可读的 .php 文件——攻击者选中的是 PHP 默认安装自带的 /usr/local/lib/php/pearcmd.php。

实战利用在 9 月 22 日补丁发布当天 11:49（UTC）即开始：攻击链为 include pearcmd.php → 借其向 /tmp 与 /var/tmp 写入 PHP 文件 → 再次 include 触发执行，最终从 raw.githubusercontent[.]com/MrG3P5/web-shell 拉取 Web Shell 上传器。Previdian 蜜罐 9 月 23 日起记录到 68 次利用尝试（源 IP 含 104.194.9[.]227、43.250.53[.x]），落地文件名包括 wp-pear-rce-flag.php、poc87902.php、luci\.php、zeta\.php。CISA 于 9 月 25 日收入 KEV（联邦截止 9 月 28 日）。关闭自动更新的站点——往往恰是受变更管控的业务关键站点——是当前主要暴露面。

影响范围

WordPress Core < 7.1.2（4.7.0 起全部受影响版本）；修复版 7.1.2（9 月 22 日发布）及向旧主干回移的 7.0.6 / 6.9.9 / 6.8.10；利用前提：主题含 page-\* 顶级目录 + 服务器存在可读 pearcmd.php 等可利用 .php

修复建议：全部公网站点立即升级 7.1.2（或对应旧主干回移版）；盘点主题目录中以 page- 开头的顶级目录并优先处理；在 /tmp、/var/tmp 与上传目录中排查上述 IoC 文件名；日志中检索对 pearcmd.php 的异常包含请求；托管环境允许的话将 register\_argc\_argv 设为 Off 并禁用无用 PEAR 组件；确认失陷的站点按完整流程重建并轮换数据库与管理员凭据。

高危CVE-2026-86950CVSS 8.8

Apple CoreGraphics 零日在野利用：\"针对特定个人的极端复杂攻击\"，iPhone/Mac 全线急修（CVSS 8.8·CISA KEV 9/29·定向间谍攻击）

Apple CoreGraphics 图形渲染组件存在越界写入漏洞 CVE-2026-86950（NVD CVSS 3.1 8.8，CWE-787），由 Meta 产品安全团队报告：处理恶意构造的文件时内存边界被突破，可导致任意代码执行。Apple 官方通告罕见使用了重话——\"已获报告称该漏洞在针对特定个人的极端复杂攻击中被利用（iOS 27 之前的版本）\"，这是 Apple 通常留给国家级间谍软件的措辞；今年 2 月的 CVE-2026-20700 之后，这是 Apple 今年修复的第二个在野零日。CISA 于 9 月 29 日将其收入 KEV，联邦修复截止 10 月 2 日。

CoreGraphics 是 iOS/iPadOS/macOS 共用的底层 2D 渲染框架，负责图像、PDF 与文字绘制的解析——一封邮件附件、一条消息里的图片、网页中的图形都可能在后台触发解析，恶意文件\"看一眼\"即中招。攻击目标据报为外交官、记者、异见人士等高价值人群，属于高度定向攻击而非大规模传播，但 iPhone 11 及之后的全线设备都在修复范围内。9 月 28 日发布的系统更新已覆盖所有支持分支，无需等待。

影响范围

iOS / iPadOS < 26.7.1（iPhone 11 及之后、多代 iPad Pro/Air/mini/标准版）；macOS Tahoe < 26.7.1、macOS Sequoia < 15.8.1；watchOS < 27.0.1、visionOS 27 < 27.0.1

修复建议：所有 Apple 设备立即检查系统更新并安装 iOS/iPadOS 26.7.1、macOS Tahoe 26.7.1 或 Sequoia 15.8.1、watchOS/visionOS 27.0.1；企业 MDM 管理的设备群核对修复版本覆盖情况，优先处理经常处理不可信文件的高风险岗位；高价值个人（涉外、媒体、法务等）建议开启自动更新并避免打开来源不明的文件。

高危CVE-2026-100819CVSS 9.6

Firefox XPCOM 沙箱逃逸：边界条件出错，浏览器沙箱防线被打穿（CVSS 9.6·Mozilla CNA 确认·暂无在野利用报告）

Mozilla Firefox 的 XPCOM 组件存在因边界条件错误导致的沙箱逃逸漏洞 CVE-2026-100819（CWE-119；Mozilla 官方未给分，第三方漏洞库按 CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H 计 9.6，本文如实标注口径），已随 Firefox 157 与多个 ESR 分支的月度安全更新修复（MFSA2026-97 ~ 100）。沙箱逃逸单独利用价值有限——攻击者通常先用渲染进程漏洞执行代码、再借沙箱逃逸拿到宿主系统权限完成整条攻击链，因此 Firefox 用户应同时确认浏览器已升至最新版、不留任何已修复的渲染类漏洞存量。

需要说明的是：该漏洞暂无在野利用报告、未进入 CISA KEV，Mozilla 通告中也未标注\"已被利用\"字样。但 Firefox ESR 115 与 140 两个长支持分支同时受影响，且大量企业环境的 Firefox 更新由策略接管、长期滞后——沙箱逃逸类漏洞一旦与存量渲染漏洞组合，浏览器就会从\"沙箱里的访客\"变成\"系统里的住客\"。修复只需一次升级。

影响范围

Firefox < 157、Firefox ESR < 153.4、Firefox ESR < 140.17、Firefox ESR < 115.42（全部平台）

修复建议：升级 Firefox 157+ 或对应 ESR 153.4 / 140.17 / 115.42；企业环境检查策略是否锁死了浏览器自动更新，核对版本号后统一推送；对于必须停留在旧 ESR 分支的桌面，至少确保该分支已含 9 月修复。

严重CVE-2026-102793 / 102794CVSS 9.1×2

自如 ZHOME 智能设备双命令注入：PoC 已公开，厂商联系后未回应（CVSS 9.1×2·NVD 9/30 收录·PoC 公开）

自如旗下 ZHOME 智能设备（型号 A0101，固件 1.0.1.0）被 NVD 于 9 月 30 日同批收录两条命令注入漏洞，评分均为 CVSS 9.1：CVE-2026-102794 出现在 /api/ZRnetwork/ping 接口的 url 参数，CVE-2026-102793 出现在 /api/ZRFirmware/set\_time\_zone 接口的 hostname/zonename 参数——两处均未对用户输入做任何过滤，远程攻击者注入的命令直接在设备上执行。NVD 描述明确指出漏洞细节与 PoC 已公开，可被任何人使用，且\"厂商在披露前已被提前联系但未做任何回应\"——目前没有可用补丁。

智能门锁/智能家居网关类设备长期在线、固件升级机制薄弱，命令注入一旦被批量武器化，影响的不只是设备本身：与设备同网段的摄像头、NAS、家庭内网都将成为跳板的目标。在国内智能家居保有量巨大的背景下，这类\"厂商沉默 + PoC 满天飞\"的组合是最值得警惕的暴露面，建议用户先行通过网络隔离降低风险。

影响范围

Ziroom ZHOME A0101 固件 1.0.1.0（/api/ZRnetwork/ping 与 /api/ZRFirmware/set\_time\_zone 接口）；厂商尚未发布修复固件

修复建议：暂无官方补丁的情况下，将相关设备从公网/不可信网段隔离，仅允许可信管理网络访问其 API；关注厂商后续固件通告，升级一到即打；已部署此类设备的场所排查设备异常重启、未知进程与外联流量；采购侧暂缓新增同型号设备，直到厂商给出响应。

高危无CVE编号厂商定级 Critical

Kiteworks 无编号零日惊魂：联邦情报预警，全球客户停机 9 小时，停机期间真挖出一个关键漏洞（MFT 文件传输平台·厂商预防性处置）

本周最特别的\"漏洞\"没有 CVE 编号：9 月 25 日，安全文件传输平台 Kiteworks（前身 Accellion，2021 年曾遭 Clop 团伙零日入侵、数百家机构数据被窃）基于来自联邦情报当局的\"可信威胁情报\"向全球客户发出预警，要求在 9 月 26 日的 9 小时窗口内主动下线全部系统（含自建/托管于 AWS、Azure 的部署）以防范疑似零日攻击。停机期间，Kiteworks 真的在 Advanced Forms 组件（仅约 50 家、不足 1% 客户使用）中发现一个此前未知的关键漏洞，并在窗口内完成修复；持续监控未发现任何被利用迹象，9 月 27 日解除预警恢复服务。官方确认所有已知漏洞已在 9.5.1 版本修复。

事件本身零失陷，但信号意义极强：MFT（托管文件传输）平台单点沦陷即可批量收割数千家机构的数据，是 Clop 等团伙十年来的最爱（Accellion、GoAnywhere、MOVEit 三波战役累计超 2100 家机构中招）；而\"无 CVE 的零日\"对所有基于特征匹配的自动化防御完全不可见。研究者统计至少上千套 Kiteworks 系统暴露在公网——你的资产清单里是否还有它的名字？

影响范围

Kiteworks Private Content Network 全部部署形态（自建/AWS/Azure，含不暴露公网的实例）——Advanced Forms 组件关键漏洞已在 9.5.1 修复，约 50 家客户受该组件影响；其他子公司产品（ownCloud、DRACOON 等）不受影响

修复建议：全部 Kiteworks 实例升级至 9.5.1+；排查环境中是否启用 Advanced Forms 并评估其必要性；即便厂商通报\"无失陷迹象\"，仍建议自查停机前后的访问日志与 Web Shell 痕迹；把 MFT/文件传输平台列入重点资产清单定期巡检——这类平台的历史规律是：出事就是大批量。

紧急提醒

本期最高优先级是 Citrix NetScaler 双零日（CVE-2026-88771/88772）：从 9 月 24 日首次捕获攻击、26 日各国 CERT 打电话劝关机、27 日公告并进 KEV，到 30 日联邦截止——整个响应窗口只有 6 天，而全球 5 万余台暴露设备里，攻击者已经在用 root 权限部署隐藏 Web Shell。特别注意：先取证、后打补丁——CISA 与荷兰 NCSC 均警告升级会破坏内存与日志证据，直接升级可能亲手抹掉失陷痕迹；正确的顺序是留存内存转储与日志 → 排查 IoC → 升级 → 重建/轮换凭据。另外追踪上期 PeopleSoft 事件：ShinyHunters 本周声称还通过另一个未披露的 PeopleSoft 零日入侵了 FBIJobs.gov 并窃取 2~3 TB 数据（官方未证实）——存量未打补丁的边界设备与企业级 Web 应用仍是接下来数周的主战场。建议排查顺序：公网 NetScaler → WordPress 站点（87902）→ iPhone/Mac 设备群 → Firefox 浏览器 → 自如 ZHOME 等智能家居设备 → Kiteworks/MFT 平台。

处置建议

① NetScaler 管理员立即盘点全部 ADC/Gateway 与 Secure Private Access Hybrid 实例；补丁前先取证：记录系统时间与 NTP 配置、留存本地/集中日志、生成 VPX 快照与技术支持包、按厂商指引采集内存转储；排查 .ctxs.receiver 隐藏文件、Cookie 型 Web Shell 与对外连接 149.104.78[.]141 等痕迹，然后升级至 14.1-73.37+ / 13.1-64.23+（13.1 有配置变量用 64.24）/ 对应 FIPS 版本，检查 Enhanced ISN Generation；EOL 的 12.1/13.0 直接迁移受支持版本；确认失陷的设备隔离重建并轮换全部凭据与证书

② WordPress 站长将全部公网站点升至 7.1.2（旧主干用 7.0.6 / 6.9.9 / 6.8.10）；盘点主题中 page-\* 开头的顶级目录；在 /tmp、/var/tmp、上传目录排查 wp-pear-rce-flag.php、poc87902.php、luci\.php、zeta\.php 等文件；日志检索 pearcmd.php 异常包含与源 IP 104.194.9[.]227 / 43.250.53[.x]；条件允许将 register\_argc\_argv 设为 Off

③ Apple 用户今天完成系统更新：iOS/iPadOS 26.7.1、macOS Tahoe 26.7.1 或 Sequoia 15.8.1、watchOS/visionOS 27.0.1；企业 MDM 核对设备群修复版本覆盖率；高风险人群（涉外、媒体、法务）优先并开启自动更新

④ Firefox 用户升级至 157+ 或 ESR 153.4 / 140.17 / 115.42；企业桌面检查浏览器更新是否被策略锁死，统一核对版本号后推送

⑤ 使用自如 ZHOME 等智能家居设备的用户：将 A0101 从公网与不可信网段隔离、仅可信管理网络可达；因 PoC 已公开且厂商未回应，保持对厂商固件通告的关注，升级一到即打；同时排查设备异常重启与外联流量

⑥ Kiteworks/MFT 负责人将平台升级至 9.5.1+，排查 Advanced Forms 启用情况并自查停机前后的访问日志；把全部文件传输平台（Kiteworks、MOVEit、GoAnywhere 类）列入重点资产清单定期巡检——最后自检一遍：所有\"确认在野利用但还没打补丁\"的条目，本周内逐个销账

觉得有用？点击右下角在看，让更多人看到