【热点安全风险】10月20日｜Windows Shell 注入漏洞遭在野利用，攻击者可绕过互联网文件标记 （CVE-2026-96951）

华顺信安威胁情报中心

2026年10月20日 07:30
湖南

去阅读

PART.01

风险汇总‍‍‍

风险一：Windows Shell 命令注入漏洞已遭在野利用，攻击者可绕过互联网文件标记（CVE-2026-96951）

微软在 10 月 13 日的月度安全更新中修复了一枚 Windows Shell 命令注入漏洞（CVE-2026-96951），并标记为已检测到利用，美国网络安全和基础设施安全局同日将其纳入已知被利用漏洞目录，联邦机构整改期限为 10 月 16 日。该漏洞源于 Windows Shell 对命令中特殊元素的处理不当，攻击者可经网络绕过一项安全保护机制：使经电子邮件或即时消息投递的文件绕过来自互联网的文件标记，规避该标记本应触发的打开保护。按厂商说明，攻击者无法强制用户查看其控制的内容，须诱使用户点击链接或打开附件。受影响范围覆盖 Windows 10 多个长期服务版本、Windows 11 的 23H2 至 26H2 各分支、Windows Server 2016 至 2025 与 2012 R2，并涉及网页版邮件服务，合计 31 个产品条目；官方评级为重要，基础评分 8.8。该漏洞的危害在于攻破信任判定的起点：文件标记一旦失效，受保护视图、宏拦截与下载告警都会一并失去依据，终端侧的多层防护将建立在错误的信任前提之上。

建议排查

1. 核对终端与服务器是否已安装 10 月安全更新
2. 检查已下载附件的来源标记是否被清除或缺失
3. 复核邮件与即时消息中投递的可疑附件记录

加固建议

1. 在邮件与消息网关侧拦截可执行及脚本类附件
2. 以应用控制策略限制非白名单程序与脚本执行
3. 对终端补齐补丁合规巡检并留存投递审计

参考来源

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-96951

风险二：IT运维软件厂商云备份服务应用身份遭冒用，备份与恢复能力全面停摆

IT 运维管理软件厂商 ConnectWise 于 10 月 16 日发布公告并表示，与其云备份服务关联的应用身份遭到未授权访问，随后于 10 月 19 日更新处置进展。按公告口径，厂商在 10 月 17 日 07:00 UTC 停用了七个该厂商的应用身份，撤销受影响应用连接所使用的证书并暂停云备份服务；共享凭据随即失效，但此前签发的访问令牌在过期或失效之前仍可能可用。公告说明，停用连接只能阻断新的认证，无法撤销此前已在租户内部完成的变更，经其他身份建立的凭据与权限须另行清理。目前云备份、云安全与云管理三项服务一并暂停，计划备份、归档访问与恢复功能均不可用，厂商尚未给出可确认的恢复时间；现有归档以加密方式隔离保存，未发现被访问的证据。此类服务以应用自身身份而非具体用户身份在客户环境中完成认证，授权范围往往覆盖邮件、文档、协同与目录数据，单一厂商侧的控制点失守，风险会沿已授予的信任关系向下游租户同步扩散。厂商同时说明其无法直接观察下游环境，建议合作伙伴逐个核查自有与受托管理的租户，并保持受影响应用停用至正式恢复指引发布。

建议排查

1. 核查自有及受托管理租户内受影响应用的身份与权限
2. 复查租户登录与审计记录中的异常应用身份认证
3. 确认此前签发的访问令牌是否已过期或失效

加固建议

1. 保持受影响应用停用直至厂商发布恢复指引
2. 对第三方集成应用实施最小权限并定期轮换凭据
3. 为关键业务另行保留独立于云备份服务的恢复通道

参考来源

https://www.connectwise.com/company/trust/advisories

风险三：远程支持设备曝消息来源校验缺陷并遭在野利用，攻击者可对设备执行文件操作（CVE-2026-102764）

美国网络安全和基础设施安全局已将 CVE-2026-102764 列入已知被利用漏洞目录，表明该漏洞已遭在野利用。该漏洞位于远程支持产品的内部组件，成因是组件未充分校验所接收消息的来源，在特定条件下可导致攻击者对设备执行文件操作；厂商评级为严重，CVSS 4.0 评分为 9.3、CVSS 3.1 评分为 9.8，漏洞类型为通过伪造绕过认证。远程支持类设备通常为便于外部运维人员接入而直接暴露在互联网上，自身又集中保管通往内网主机的接入通道，一旦文件操作能力被滥用，攻击者可写入或清除设备上的文件，进而干扰服务运行、破坏设备保存的接入凭据，为后续横向访问内网铺路。由于利用该漏洞无需预先通过身份认证，长期在公网开放管理入口、未做来源地址限制的实例风险最高；此类设备一旦失守，攻击者获得的不只是单台设备，而是经由既有运维通道向其托管环境延伸的落脚点。建议运行方先确认设备能否从互联网直接访问，再核查设备文件与配置是否存在非预期变更，并保留访问日志以备回溯。

建议排查

1. 确认远程支持设备是否可从互联网直接访问
2. 核查设备文件、配置与账户是否存在非预期变更
3. 检查设备访问日志中的异常来源与异常操作

加固建议

1. 将设备管理入口收敛至可信网络或经 VPN 接入
2. 按厂商公告升级至修复版本并更换设备接入凭据
3. 对设备文件完整性与管理操作开启实时监测告警

参考来源

https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field\_cve=CVE-2026-102764

风险四：证券存管机构投资者在线服务应用遭网络攻击，官方称核心结算与登记未受影响

罗马尼亚中央存管机构于 10 月 16 日发布新闻稿，确认其面向投资者的在线服务应用遭到一次网络攻击，在事件发生的同一天即被发现，并立即采取了调查与修复措施。按公告口径，该应用属于主系统之外的辅助组件，用于为有意使用机构在线服务的罗马尼亚自然人投资者创建用户账户；攻击未对存管机构负责的结算与登记等关键及重要服务与职能造成后果，相关业务在正常条件下运行，金融工具持有信息与已结算交易信息均未被访问、修改或篡改。公告同时说明，金融工具持有人仍可通过邮寄、前往机构第二办公点柜台等常规渠道获得此前经由该应用提供的服务，机构已向主管机关通报并与各方合作分析事件，系统监控已予加强，业务运行处于正常状态。证券存管机构处在资本市场登记与结算的中枢位置，其投资者门户虽被界定为辅助系统，却在账户开立环节集中处理自然人身份资料，一旦该环节被触及，攻击者获得的是可用于伪造可信通信的身份要素，后续钓鱼与冒名的成功率会显著上升。官方公告未披露受影响的数据类别、用户数量与入侵途径，也未给出应用恢复上线的时点，运行方与相关方宜按最不利情形先行处置。

建议排查

1. 核实与该机构相关的账户是否存在异地或异常登录
2. 排查是否有以该机构名义发来的可信度异常通知
3. 对复用同一口令的其他账户逐一更换密码

加固建议

1. 对涉及身份资料的门户启用多因素认证
2. 将辅助系统与核心结算登记系统在网络与权限上隔离
3. 对投资者门户的账户创建与查询接口启用行为审计

参考来源

https://www.depozitarulcentral.ro/AppFiles/Default/Comunicatdepresa\_DepozitarulCentralataccibernetic.pdf

风险五：地理信息平台门户曝未认证接口访问漏洞，攻击者可触达管理员功能（CVE-2026-69227）

地理信息平台的门户组件存在授权缺陷（CVE-2026-69227）：在特定条件下，未通过身份认证的访问者可以触达部分门户管理员接口，从而使用本应要求认证的管理功能。官方评分 9.8，攻击向量为网络可达、复杂度低、无需权限与用户交互，机密性、完整性与可用性影响均为高。门户在同类平台中承担统一入口的角色，负责地图服务的注册与发布、用户与内容管理、权限分配以及外部应用的单点接入；管理员接口一旦失守，攻击者不仅可以读取组织内部的地图与图层清单，还可能创建账户、调整权限或发布内容，把数据资产与对外服务同时置于风险之中。该类平台在政务、自然资源、城市管理与公共事业领域部署较多，门户往往直接面向互联网提供服务，管理端点与业务端点常处于同一域名之下，外部探测因此难以被边界设备区分。鉴于公告以特定条件为前提，运行方应优先复核门户的版本状态与对外暴露情况，核查管理员账户与角色是否存在非本人创建的记录，并对门户接口的异常调用进行追溯。

建议排查

1. 核对门户组件版本与厂商公告中的受影响范围
2. 复核管理员账户、角色与权限的变更记录
3. 检查门户接口日志中的未认证访问尝试

加固建议

1. 按厂商公告升级门户组件至修复版本
2. 将门户管理入口与对外服务在网络上分离
3. 对管理员接口启用多因素认证并限制来源地址

参考来源

https://nvd.nist.gov/vuln/detail/CVE-2026-69227

风险六：容器编排持续交付工具授权校验缺失，低权限用户可越界创建资源（CVE-2026-77459）

Kubernetes 持续交付工具 Argo CD 存在授权校验缺失问题（CVE-2026-77459，评分 9.9）：在 2.10.0 至 3.3.15、3.4.10、3.5.4 与 3.6.0-rc2 之前的版本中，该工具创建删除后钩子资源时，没有像常规同步那样应用项目级的目标集群与资源授权检查，被省略的检查包括集群级与命名空间级的允许和拒绝清单。能够向应用所对应代码仓库写入内容的用户，可以提交一个指向被禁止命名空间、集群、资源组或资源名称的删除钩子；当该应用被删除时，控制器会以其目标集群凭据创建该资源。可达影响受控制器自身集群权限限制，但可能包括集群级资源、被禁止的命名空间、长期驻留的钩子对象以及钩子任务派生的次级对象；其余预同步、同步、后同步与失败钩子仍走正常的项目校验。该缺陷把代码仓库的写权限直接换算成集群内的资源创建能力，在多团队共用一套交付平台的场景下尤其值得警惕，建议按团队边界复核仓库权限并把交付控制器的最小权限原则落到实处。

建议排查

1. 核对持续交付工具版本是否低于修复版本
2. 梳理可向应用仓库提交内容的用户与令牌清单
3. 检查集群中是否存在来源不明的删除钩子资源

加固建议

1. 升级至 3.3.15、3.4.10、3.5.4 或 3.6.0-rc2
2. 收紧代码仓库写权限并启用提交签名校验
3. 按最小权限原则收敛交付控制器的集群权限

参考来源

https://nvd.nist.gov/vuln/detail/CVE-2026-77459

PART.02

总体处置建议‍‍‍

总结

上述风险集中反映四个层面的问题。一是终端侧信任判定的起点被攻破：Windows Shell 的命令注入缺陷让来自互联网的文件标记失去作用，受保护视图、宏拦截与下载告警随之失去依据，而该漏洞已被实际利用，覆盖面横跨全部 Windows 终端与服务端版本。二是第三方集成与供应商侧凭据正在成为新的失守点：运维软件厂商的云备份应用身份遭冒用，而停用连接这一处置动作本身又让备份与恢复能力同时停摆，影响面从单一厂商沿已授予的信任关系向下游租户蔓延；证券存管机构的投资者在线服务应用被入侵，虽核心结算与登记未受波及，但入口侧的身份资料风险已经形成。三是暴露在互联网上的运维与平台入口持续被盯上：远程支持设备的消息来源校验缺陷已遭在野利用，攻击者可对设备执行文件操作并借既有运维通道向内网延伸；地理信息平台门户在特定条件下可被未认证访问管理员接口。四是软件交付链条上的信任边界被重新划分：持续交付工具的授权校验缺失，使代码仓库的写权限可以直接换算为集群内的资源创建能力。综合来看，补丁覆盖、收敛管理面暴露、把第三方集成的授权与凭据纳入日常治理，是当前投入产出比最高的三项工作。

整体风险处置建议

1. 优先完成已遭在野利用漏洞的补丁覆盖
2. 逐层核查第三方集成应用的身份、权限与凭据
3. 复核交付链路与镜像仓库的令牌权限边界
4. 为关键业务保留独立于同一供应商的恢复通道
5. 对管理接口启用多因素认证并保留完整审计

合规说明

以上内容基于公开信息整理，仅用于网络安全防护与管理决策参考，具体影响范围与修复方式请以厂商官方公告为准。