安全热点周报：Cisco Unified CM 漏洞补丁发布数周后遭攻击者利用

奇安信 CERT

2026年6月26日 17:33
北京

在小说阅读器读本章

去阅读

PART01

漏洞情报

1.Gogs远程代码执行漏洞安全风险通告

6月25日，奇安信CERT监测到官方修复Gogs 远程代码执行漏洞(CVE-2026-52813)，该漏洞源于创建组织时对组织名称（username 字段）未进行充分的路径遍历字符过滤，直接接受包含 ../ 等序列的字符串。攻击者可利用该漏洞，通过创建包含路径遍历序列的组织名称，将 Git 仓库写入服务器文件系统的任意位置。更进一步，攻击者可通过精心构造嵌套的 Git 仓库结构，覆盖其他仓库的 Git 钩子（hooks）配置文件，在钩子脚本中写入恶意命令，最终在触发钩子时实现远程代码执行。奇安信鹰图资产测绘平台数据显示，该漏洞关联的全球风险资产总数为47922个，关联IP总数为9046个。目前该漏洞PoC和技术细节已公开。鉴于该漏洞影响范围较大，建议客户尽快做好自查及防护。

2.Microsoft Exchange Server服务器端请求伪造漏洞安全风险通告

6月25日，奇安信CERT监测到官方修复Microsoft Exchange Server 服务器端请求伪造漏洞(CVE-2026-45504)，该漏洞源于 Exchange Server 在处理用户输入时缺乏充分的输入验证，允许已通过身份验证的低权限用户向 Exchange Server 发送特制的 HTTP 请求，诱使服务器向任意目标系统发起请求。攻击者可利用该漏洞实现权限提升，读取 Exchange 服务器上的任意文件，进而可能完全控制邮件服务器或访问敏感数据。目前该漏洞PoC和技术细节已公开。鉴于该漏洞影响范围较大，建议客户尽快做好自查及防护。

3.Squid堆缓冲区越界读取漏洞安全风险通告

6月24日，奇安信CERT监测到官方修复Squid 堆缓冲区越界读取漏洞(CVE-2026-47729)，该漏洞源于1997年为兼容 NetWare FTP 服务器而添加的空白符跳过逻辑，在处理 FTP 协议目录列表响应时存在 strchr 函数对空终止符（'\0'）的错误处理。当解析特定格式的 FTP 响应时，程序未能正确处理字符串的终止符，导致循环读取超出预分配的内存缓冲区边界。攻击者可利用该漏洞，通过控制一台可被 Squid 访问的 FTP 服务器，构造不含文件名的恶意 FTP 目录列表响应，触发堆缓冲区越界读取，从而泄露 Squid 进程堆内存中的敏感数据，包括其他用户的明文 HTTP 请求、Authorization 认证头、会话令牌、Cookie 及 API 密钥等。奇安信鹰图资产测绘平台数据显示，该漏洞关联的国内风险资产总数为694510个，关联IP总数为335458个。目前该漏洞PoC和技术细节已公开。鉴于该漏洞影响范围较大，建议客户尽快做好自查及防护。

4.Joomla Content Editor未授权远程代码执行漏洞安全风险通告

6月24日，奇安信CERT监测到Joomla Content Editor未授权远程代码执行漏洞(CVE-2026-48907)在野利用，该漏洞源于JCE对profiles.import任务的访问控制不当，允许未认证攻击者通过index.php?option=com\_jce&task=profiles.import端点创建新的编辑器配置文件。该配置文件可将文件上传插件（如 Image Manager 或 File Browser）的许可扩展设置为允许 PHP 等可执行文件，并指向可写目录（如 images、media、tmp）。攻击者可利用该漏洞，在未认证的情况下向该端点发送恶意请求，上传任意 PHP 文件（包括 WebShell），随后通过 HTTP 直接访问上传文件执行任意代码，获取服务器完全控制权。目前该漏洞PoC和技术细节已公开。鉴于该漏洞已发现在野利用，建议客户尽快做好自查及防护。

5.FreeBSD KTLS本地权限提升漏洞安全风险通告

6月22日，奇安信CERT监测到官方修复FreeBSD KTLS 本地权限提升漏洞(CVE-2026-45257)，该漏洞源于 KTLS 接收路径在解密数据时，错误地假设接收数据的 mbuf 缓冲区是匿名且可安全修改的。然而，当数据通过 sendfile(2) 系统调用传输时，mbuf 可能直接引用文件 -backed 的内存页。攻击者通过构造特定的本地网络请求，在数据解密过程中直接覆盖文件在页缓存中的内容。攻击者可以利用该漏洞，将任意数据写入其有读权限的任何文件（包括设置了不可变标志 schg 的文件），通过覆盖 setuid 二进制文件（如 /usr/bin/su）实现本地权限提升，从而获取系统最高控制权。该漏洞被描述为 FreeBSD 版的“Dirty Pipe”漏洞。奇安信鹰图资产测绘平台数据显示，该漏洞关联的国内风险资产总数为6585个，关联IP总数为1412个。目前该漏洞PoC和技术细节已公开。鉴于该漏洞影响范围较大，建议客户尽快做好自查及防护。

PART02

新增在野利用

1.Cisco Unified Communications Manager 远程代码执行漏洞(CVE-2026-20230)

6月23日，思科发出警告，影响 Catalyst SD-WAN Manager 的一个高危安全漏洞已被积极利用。

思科于6月3日发布了针对 CVE-2026-20230 漏洞的安全更新，并警告称，利用该漏洞可能会使攻击者获得设备上的 root 权限。思科统一通信管理器（Unified CM）和思科统一通信管理器会话管理版（Unified CM SME）中的一个漏洞可能允许未经身份验证的远程攻击者通过受影响的设备进行服务器端请求伪造（SSRF）攻击。此漏洞是由于特定 HTTP 请求的输入验证不当造成的。攻击者可以通过向受影响的设备发送精心构造的 HTTP 请求来利用此漏洞。成功利用此漏洞后，攻击者可以将文件写入底层操作系统，这些文件随后可用于提升权限至 root 用户。

该漏洞是由 SSD Secure 向思科披露的，但 SSD Secure 当时并未透露任何技术细节。目前威胁情报公司 Defused 发出警告，称该漏洞目前正被积极用于攻击中。Defused 在 X 上发出警告称，周末期间，我们发现有人利用了 CVE-2026-20230 - Cisco Unified CM (CUCM) WebDialer SSRF → root 文件写入 (CVSS 8.6) 漏洞。此前没有记录过此类漏洞利用，也未列入 CISA KEV 中。这些攻击源自单个 IP 地址，并使用正确构造的 file:// 有效载荷在设备上创建文件。

虽然该漏洞可被利用来发起攻击，从而投放 webshell 并获得 root 权限，但 Defused 观察到的 PoC 似乎旨在通过尝试向易受攻击的设备写入名为“/tmp/cve-2026-20230-test.txt”的文本文件来识别这些设备。漏洞利用程序披露后，SSD Secure 发布了一份关于该漏洞的技术说明，解释了该漏洞的工作原理，并分享了一个概念验证漏洞利用程序。研究人员发现，未经身份验证的攻击者可以滥用 Webdialer 组件对用户提供的 URL 的处理方式，强制应用程序使用 file:// URI 向操作系统写入任意文件。通过控制文件路径和写入磁盘的内容，攻击者可以利用该漏洞实现远程代码执行，并最终获得易受攻击设备的 root 权限。SSD Secure指出，攻击者需要先获取目标系统的主机名才能执行文件写入攻击。然而，研究人员演示了如何在攻击发生前从设备中获取该信息。

虽然目前的利用似乎属于侦察性质，但既然该漏洞已被完全披露，很可能会看到更多威胁行为者将这些服务器作为攻击目标。

建议受影响客户升级其 SD-WAN 软件，以确保已应用2026年5月14日发布的针对 CVE-2026-20182 的修复程序。

参考链接：

https://www.bleepingcomputer.com/news/security/cisco-unified-cm-sme-flaw-cve-2026-20230-now-exploited-in-attacks/

2.Splunk Enterprise 未授权文件操作漏洞(CVE-2026-20253)

6月19日，CISA 确认威胁行为者目前正在积极利用 CVE-2026-20253 漏洞进行攻击，并命令有关机构尽快修补其 Splunk 实例。

该安全漏洞编号为 CVE-2026-20253，影响 Splunk Enterprise（版本 10.2.0 至 10.2.3 和 10.0.0 至 10.0.6），允许没有权限的远程攻击者通过 PostgreSQL sidecar 服务端点在易受攻击的设备上创建或截断任意文件。

Splunk 安全团队在上周发布的安全公告中表示，该漏洞的存在是因为 PostgreSQL sidecar 服务端点缺乏身份验证控制，允许任何可通过网络访问的用户在没有凭据的情况下调用文件操作。在 Splunk 发布安全补丁几天后，WatchTowr 发布了一篇技术文章， 分享了概念验证漏洞利用代码，并警告说该漏洞可能被利用进行远程代码执行攻击。6月18日，Splunk 更新了其安全建议，敦促客户尽快修补其系统，因为有证据表明该漏洞已被实际利用。

Splunk 产品安全事件响应团队（PSIRT）发现该漏洞已被有限利用。Splunk 强烈建议客户升级到已修复该漏洞的软件版本以修复此漏洞。互联网安全监督组织 Shadowserver 追踪了超过1400个暴露在互联网上的 Splunk 实例，其中大部分位于北美（952个）和欧洲（223个）。然而，目前尚无信息表明其中有多少实例容易受到针对 CVE-2026-20253 漏洞的持续攻击。

网络安全机构表示，这类漏洞是恶意网络攻击者常用的攻击途径，对联邦机构构成重大风险。各利益相关方有责任评估每项资产的互联网暴露情况，并确保遵守BOD 26-04补丁指南。

Splunk 还分享了针对无法立即修补易受攻击系统的管理员的缓解措施，建议禁用 PostgreSQL sidecar 服务以消除攻击面。需要注意禁用 PostgreSQL 会破坏受影响实例上的 Edge Processor、OpAmp 或 SPL2 数据管道。

参考链接：

https://www.bleepingcomputer.com/news/security/cisa-splunk-enterprise-flaw-actively-exploited-patch-by-sunday/

PART03

安全事件

1.伊朗主要银行遭网络入侵瘫痪，卡系统、ATM终端、App等全部中断

6月23日The Telegraph消息，伊朗出口发展银行、国民银行、出口银行和商业银行遭受网络攻击，被迫暂停银行卡相关服务。这4家伊朗主要银行均与伊斯兰革命卫队存在关联。伊朗央行旗下银行技术服务商ISC表示，暂停服务是为了防止进一步的未授权访问，网络安全团队正在努力恢复正常运营。该公司相关人士表示，与银行卡系统相关的ATM服务、销售点终端以及移动应用程序均受到影响。虽然目前尚未有人承认对此次攻击负责，但情报消息人士和专家认为，以色列可能是幕后实施者，以色列军方黑客组织“掠食麻雀”存在高度嫌疑。此次攻击发生数天前，美国总统特朗普宣布，通过谈判，美伊达成了和平协议，双方约定将被冻结资金返还伊朗。

原文链接：

https://www.secrss.com/articles/91624

2.印度代工巨头超630GB数据泄露：涉特斯拉、苹果，后者已启动调查

6月22日路透社消息，印度代工巨头塔塔电子发生数据泄露事件，勒索组织World Leaks声称窃取了超20万个文件，总规模630GB，里边含有苹果、特斯拉的工厂组件设计及规格文件等。三家涉事公司均未正面回应，塔塔电子、苹果据悉已开展调查，有消息人士称塔塔电子向部分参与iPhone组装的内部员工通报了此次事件。此次事件凸显了跨国企业面对日益复杂的网络攻击和勒索攻击时所面临的脆弱性，供应商已成为数据泄露高发环节。

原文链接：

https://www.secrss.com/articles/91591

3.一家AI市场分析公司被黑后，九家网络安全公司发生数据泄露

6月22日TechCrunch消息，加拿大AI市场分析公司Klue披露，近期遭受了一次网络攻击，导致客户数据发生泄露。Klue未透露其数百家客户中有多少受到影响，但已有9家网络安全公司公开确认数据遭到窃取，包括Gong、Jamf、HackerOne、Insurity、OneTrust、Recorded Future、Snyk、Sprout Social和Tanium等。Klue透露，攻击者通过一个“已遭泄露的旧凭证”访问了公司的系统，窃取了客户数据集成的凭证，从而能在客户的云环境窃取数据，例如Salesforce数据库中的数据。根据多家受影响公司的说法，被窃取的数据大部分包括业务联系信息，例如姓名、电子邮件地址、电话号码、职位，以及其客户的一些账号信息。网络犯罪组织Icarus声称对这起数据泄露事件负责，并威胁索要赎金。

原文链接：

https://www.secrss.com/articles/91565

4.多地用户手机收到虚假警告！巴西国家应急警报平台疑遭入侵后下线

6月20日CNN消息，巴西全国多个州及圣保罗、里约热内卢等核心城市的民众，今日上午先后收到一条神秘的极端警告类型手机通知，内容为“Defesa Civil:misantropi4”，大意为“民防：厌世主义”。巴西政府后续表示，该事件疑为黑客所谓，该国民防部门的全国警报平台可能遭到未授权人员远程触发，该系统已被紧急下线。多个地方政府已就此声明不属实，目前不存在与自然灾害相关的风险情况。

原文链接：

https://www.secrss.com/articles/91520

PART04

政策法规

1.美国国防部发布后量子密码战略，应对量子计算“生存威胁”

6月23日，美国国防部首席信息官克尔斯滕·戴维斯发布《美国国防部后量子密码战略》，旨在应对未来量子计算能力带来的新兴威胁，保障美军通信、数据以及指挥控制系统的安全。该战略提出一个总体愿景，即所有美国国防部国家安全系统和所有非国家安全系统都采用可互操作、敏捷、安全和后量子密码系统，并指出了五大工作方向。该战略设定了强制时间表和要求：所有美国国防部系统最迟须于2030年12月31日支持后量子密码；所有美国国防部系统最迟须于2031年12月31日使用后量子密码；美国国家安全系统必须支持“商业国家安全算法套件2.0”。

原文链接：

https://www.secrss.com/articles/91644

2.特朗普签署总统行政令，启动后量子密码强制迁移

6月22日，美国总统特朗普签署第14409 号行政命令《保护国家免遭高级密码攻击》，从政策引导、机制建设、路径规划、责任矩阵和采购保障等五个维度做出全面战略部署，责成联邦政府及承包商加快后量子密码迁移，以提升美国的网络安全防御能力。该命令确定了后量子密码迁移的双线协调机制：一是战略统筹，由管理和预算办公室主任与国家网络总监牵头，联合总统国家安全事务助理及管理和预算办公室电子政务办公室主任，负责国家后量子密码迁移政策与战略的顶层协调和监督，确保其与更广泛网络安全目标保持一致；二是技术支撑，由商务部长通过国家标准与技术研究所主任，并协同国家安全局局长和国土安全部长，持续向各机构提供后量子密码技术指导，包括最佳实践和风险管理策略。

原文链接：

https://www.secrss.com/articles/91549

3.国家金监总局发布《关于银行业保险业人工智能安全开发应用的指导意见》

6月18日，国家金融监管总局发布《关于银行业保险业人工智能安全开发应用的指导意见》。该文件从治理架构、开发应用、数据治理、算力建设、风险管理、能力提升、保障与监督等方面提出了32项指导性意见。该文件要求，完善人工智能风险治理框架，提升人工智能安全开发应用能力。要求金融机构将人工智能风险纳入全面风险管理体系，实施风险分类分级管理和高风险应用准入管理，在高风险应用关键环节要建立人工监督和干预机制，加强外包和供应链风险管理。持续增强人工智能模型稳健性，提高透明度，促进可解释性，确保人工智能应用符合法律法规及社会价值观要求，加强网络安全、数据安全与个人信息保护，加强运营韧性和业务连续性管理。

原文链接：

https://www.secrss.com/articles/91470

4.国家网信办等三部门联合公布《网络数据安全风险评估办法》

6月18日，国家网信办、工业和信息化部、公安部联合公布《网络数据安全风险评估办法》。该文件规定，国家网信部门会同国务院电信、公安等有关部门建立网络数据安全风险评估专项工作机制，指导、监督风险评估工作，有关主管部门根据工作需要对本行业、本领域处理重要数据的网络数据处理者开展风险评估情况进行检查。该文件明确，处理重要数据的网络数据处理者应当每年度开展风险评估，同时重要数据安全状态发生重大变化可能对数据安全造成不利影响的，应当及时对发生变化及其影响的部分开展风险评估。网络数据处理者可以根据自身能力、条件情况，选择自行或者委托第三方评估机构开展风险评估。

原文链接：

https://www.secrss.com/articles/91449

5.国家网信办《促进分布式数字身份互通互认应用规定》公开征求意见

6月18日，国家互联网信息办公室会同有关部门起草了《促进分布式数字身份互通互认应用规定（征求意见稿）》，现向社会公开征求意见。该文件提出，推动分布式数字身份与金融、交通、海关、税务等行业现有身份体系间互通互认。该文件要求，分布式数字身份链各参与方应采用国家网信部门统一建设的公共服务。分布式数字身份应用服务机构需在取得权威身份认证机构同意后，按照统一标准规范接入分布式数字身份链，并向国家网信部门备案。相关主体可自愿通过分布式数字身份链注册分布式数字身份，经权威身份认证机构核验后，签发分布式数字身份标识符和实名身份凭证。

原文链接：

https://www.secrss.com/articles/91469

6.国家网信办印发《实施网络安全标识的产品目录（第一批）》及相关实施规则

6月18日，国家互联网信息办公室、工业和信息化部、公安部印发了《实施网络安全标识的产品目录（第一批）》及相关实施规则。其中，第一批实施网络安全标识的产品目录包括消费类网联摄像头，并发布了《消费类网联摄像头网络安全标识实施规则》。消费类网联摄像头是指消费者个人或组织购买、使用，为个人或组织提供音视频信息采集和处理服务、具有互联网联网功能的独立摄像头，不适用于公共安全领域的摄像头。该文件明确，消费类网联摄像头的网络安全标识对应的网络安全能力由低到高依次为基础级、增强级、领先级三个级别，相应的标识等级分别用一星、二星、三星表示。

原文链接：

https://www.secrss.com/articles/91468

7.《网络安全标准实践指南—网络安全标识 消费类网联摄像头安全要求》发布

6月18日，全国网络安全标准化技术委员会发布了《网络安全标准实践指南—网络安全标识 消费类网联摄像头安全要求》。该文件规定了消费类网联摄像头的安全技术要求和安全保障要求，规定了基础级、增强级、领先级三个等级的安全能力具体要求。

原文链接：

https://www.secrss.com/articles/91456

往期精彩推荐

【已复现】Gogs 远程代码执行漏洞(CVE-2026-52813)安全风险通告

【已复现】Microsoft Exchange Server 服务器端请求伪造漏洞(CVE-2026-45504)安全风险通告

【已复现】Squid 堆缓冲区越界读取漏洞(CVE-2026-47729)安全风险通告

本期周报内容由安全内参&虎符智库&奇安信CERT联合出品！