Control-M CVE-2026-10539：未经身份验证的远程命令注入漏洞（CVSS 评分 9.5）

sec随谈
sec随谈

sec随谈

2026年7月8日 09:35
北京

在小说阅读器读本章

去阅读

摘要

BMC 披露了一个存在于 Control-M/Server 中的严重漏洞，编号为 CVE-2026-10539。这一 Control-M 命令注入漏洞在 CVSSv4 标准下的评分为 9.5，可让未经身份验证的攻击者远程在服务器上执行命令。

为何重要

Control-M 在混合企业环境中承担任务调度及文件传输功能。一旦服务器遭到攻破，敏感的工作流程以及相连的云存储都将面临暴露风险。这个 Control-M 命令注入漏洞完全无需登录即可利用，因此对外暴露的实例面临被完全接管的实际风险。攻击者还可能借此转向利用与之关联的其他服务，如 Amazon S3、Azure 以及 SharePoint Online。

攻击原理

该漏洞的根本原因在于输入处理不当。Control-M/Server 中的某个通信命令未能正确过滤或清理用户提供的输入内容。在特定条件下，这一缺陷会导致未经身份验证的远程命令注入。BMC 将该问题归类为 CWE-305，即身份验证绕过缺陷。目前尚未公开任何可用的利用细节，本文中同样未涉及此类内容。

利用现状

BMC 尚未报告发现任何野外主动利用行为，同样也没有公开的概念验证（PoC）代码出现。不过，鉴于该漏洞的严重程度极高，仍需尽快采取应对措施。

受影响版本

该漏洞影响运行于 UNIX 和 Microsoft Windows 平台的 Control-M/Server。存在漏洞的版本范围为 9.0.20.x 至 9.0.21.200（包含在内）。更早的、已停止支持的版本也可能受此漏洞影响。9.0.21.300 及更高版本已修复该问题。

修复与缓解措施

管理员应尽快升级至 9.0.21.300 或更高版本，该版本已彻底移除了这一未经身份验证的远程命令注入路径。BMC 在其官方 Control-M 安全公告中提供了完整的修复步骤。在完成补丁更新之前，建议限制对 Control-M/Server 通信端口的网络访问，同时密切监控服务器上是否出现异常命令活动，并对近期的任务日志进行审查。

参考链接：

https://bmcapps.my.site.com/casemgmt/sc\_KnowledgeArticle?sfdcid=kA3cx000000GFZNCA4&type=Solution