【热点安全风险】10月30日｜Linux 内核缺陷可与 PHP 漏洞串联，攻击者植入网页后门后以 root 执行命令（CVE-2026-46300）

华顺信安威胁情报中心

2026年10月30日 07:30
湖南

去阅读

PART.01

风险汇总‍‍‍

风险一：Linux 内核缺陷可与 PHP 漏洞串联，攻击者植入网页后门后以 root 执行命令（CVE-2026-46300）

Linux 内核是服务器、容器宿主与网络设备的底座。美国 CISA 的已知被利用目录在 CVE-2026-46300 条目中写明：该缺陷可与 PHP 的两枚漏洞 CVE-2026-109618、109619 串联，用于向网站植入网页后门并以 root 执行命令。缺陷出在 net/core/skbuff.c 的缓冲区合并函数：合并分页分片时丢掉外部共享标记，IPsec 入向处理据此误判缓冲区独占，跳过复制直接原地解密，把攻击者可控的明文写进页缓存承载的共享分片；改写的是全局页缓存，覆盖共享库缓存代码即转入代码执行，容器内同样成立。意义在完整路径：入口是对外提供服务的网站，出口是最高权限与能长期驻留的后门文件，两端都已进入已知被利用目录——PHP 两枚 10 月 26 日入目录、截止 10 月 29 日，内核这枚 10 月 28 日入目录、截止 10 月 31 日，两处都要求取证排查。断链只需补一端：内核升到 5.10.257、5.15.208、6.1.174、6.6.141、6.12.91、6.18.33、7.0.10 或 7.1，3.9 起版本均受影响。内核缺陷只能随发行版更新落地。

建议排查

1. 核对内核版本是否含对应稳定分支的补丁。
2. 检索非特权用户创建命名空间并加载 IPsec 的记录。
3. 检查网站目录有无后门文件，并复核共享库完整性。

加固建议

1. 升级至已修复的内核版本，容器宿主与云主机一并覆盖。
2. 收紧非特权用户命名空间，限制其装载 IPsec 安全关联。
3. 对关键主机启用文件完整性监控，覆盖系统库与网页目录。

参考来源

https://www.cve.org/CVERecord?id=CVE-2026-46300

风险二：GitLab 修复 10.0 分漏洞，未认证攻击者已发起利用尝试，可在服务器执行任意代码（CVE-2026-97229）

GitLab 是自建代码托管与持续集成平台，社区版与企业版在政企内网广泛部署。CVE-2026-97229 出在正则表达式校验环节：配置中的正则交给其捆绑的 Ruby 正则引擎 Onigmo 编译，校验不足使特制表达式触发整数溢出，未认证用户即可在服务器执行任意代码，评分在 3.1 版为 10.0。受影响版本为 19.2 起 19.2.8 之前、19.3 起 19.3.5 之前、19.4 起 19.4.2 之前，修复版本为 19.2.8、19.3.5、19.4.2。根因在捆绑的正则引擎而非 GitLab 自身代码，官方只在自家安装包与镜像中打补丁，自行编译或用自建镜像的实例仅升级 GitLab 无效，须同时把 Ruby 升到 3.3.13、3.4.12、4.0.9 及以上。Alpine Linux 项目 10 月 28 日公告，10 月 20 日至 21 日有新注册账号提交特制配置尝试利用，工作进程崩溃八次、四次推进到后续步骤失败；虽未发现代码执行证据，项目方仍按失陷处置重建实例并重置口令，10 月 26 日复测确认原实例仍可利用。

建议排查

1. 核对实例版本是否落在 19.2、19.3、19.4 区间。
2. 确认正则引擎来源，自建镜像核对 Ruby 版本。
3. 按官方检测规则检索工作进程崩溃、超大非 ASCII 路径等告警。

加固建议

1. 升级至 19.2.8、19.3.5、19.4.2，自建镜像同步升级 Ruby。
2. 流水线配置的解析与执行同业务代码隔离，限制其可触达的凭据。
3. 关闭公开注册，新账号提交的首次流水线纳入人工审核。

参考来源

https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-4-2-released/

风险三：Fore Coffee 客户数据平台遭未授权访问，约 570 万账户信息受影响

Fore Coffee 是印尼咖啡连锁品牌，运营方 PT Fore Kopi Indonesia Tbk 在印尼与新加坡经营四百余家门店，其移动应用集中存放会员账号与消费记录。10 月 28 日，该公司公告确认用于管理客户数据的平台遭未授权访问。发现异常后 24 小时内，公司切断未授权访问、加固系统、修复缺陷并将平台升级至最新版本。初步调查显示，受影响范围最多约 570 万个客户账户，涉及字段因客户而异，可能包括姓名、邮箱地址、电话号码、出生日期、性别、应用内登记的地址、经哈希处理的 PIN 与购买记录。公司声明不收集与存储身份证号及照片，支付卡信息存放于独立平台，本次未受影响。处置方面，公司已向印尼通信与数字部报告，聘请外部安全顾问开展取证，直接通知受影响客户，要求更换 PIN 或为其设置 PIN，并对新设备登录启用双因素认证；目前未发现被访问的信息已被滥用，调查仍在进行。哈希后的 PIN 与手机号、出生日期同时外泄，为撞库与冒充客服的社工攻击提供了组合条件；PIN 被部分用户与其他系统口令复用，风险会外溢至支付与门禁。

建议排查

1. 核对自有应用是否存在同类客户数据平台的无授权访问迹象。
2. 检查 PIN、口令类字段是否仅以哈希形式存储并加盐。
3. 复核客服渠道中索要 PIN、验证码的异常来电与信息。

加固建议

1. 会员数据平台按字段最小化采集，非必要身份信息不予留存。
2. 对异常批量查询与导出设置阈值告警，并保留操作审计。
3. 账号敏感操作强制二次验证，逐步以通行密钥替代纯 PIN。

参考来源

https://fore.coffee/id/pernyataan-privasi/

风险四：瞻博网络（Juniper）会话智能路由修复 18 个漏洞，未认证攻击者可夺取管理员权限（CVE-2026-103409）

瞻博网络（Juniper）的 Session Smart Router 是面向 SD-WAN 的分支会话路由产品，Session Smart Conductor 负责集中编排并向整批路由器下发配置。10 月 28 日的公告 JSA112183 一次修复 18 个内部测试发现的漏洞，严重级为 Critical，评分 3.7 至 9.8：CVE-2026-103409 评 9.8，未认证端点被访问即可取得管理员权限；CVE-2026-103406 同为 9.8，未认证攻击者可在 Conductor 的密钥管理环节执行任意命令；另有六个 8.8 分问题，含以 root 覆盖任意文件、DHCP 栈溢出致相邻网络攻击者执行代码。受影响为 7.0.5、7.1.7、7.2.3 之前的全部版本，修复版本即这三个分支及后续。CVE-2026-103409 仅当设备未纳管至 Mist 或 Conductor 时可触发，新到货、待上线与临时接入办公网的设备正处于该状态。官方称未发现恶意利用，且无覆盖全部问题的缓解措施。Conductor 管理整批站点，失守意味着配置与凭据被批量改写。

建议排查

1. 核对路由器与管理端的版本、部署位置及纳管状态。
2. 标出未纳管的待上线设备。
3. 复核管理接口暴露范围、配置变更与登录记录。

加固建议

1. 升级至 7.0.5、7.1.7、7.2.3 或更新版本，先处理管理端。
2. 待上线设备隔离在专用网段，禁止接入办公网。
3. 管理面仅允许运维网段访问，按角色收敛账号权限。

参考来源

https://supportportal.juniper.net/JSA112183

风险五：奥多比（Adobe）Campaign Classic 修复 8 个严重漏洞，低权限账号即可执行任意代码（CVE-2026-104351）

Adobe Campaign Classic 是奥多比（Adobe）的跨渠道营销自动化平台，活动、客户画像与投放规则存于同一套系统，v7 以自建服务器形态部署。10 月 27 日的公告 APSB26-162 定为优先级 2 更新，修复 8 个严重漏洞，评分 9.1 至 9.9。四个 9.9 分问题分属代码注入（CVE-2026-104351）、操作系统命令注入（CVE-2026-104353）、授权不正确（CVE-2026-105780）与 SQL 注入（CVE-2026-105489），前三者可致任意代码执行，由低权限账号发起且无需交互；CVE-2026-105781 为无需权限即可触发的 SQL 注入，评分 9.8，可绕过安全特性；CVE-2026-104350 为反射型跨站脚本，评分 9.3，需受害者访问特制链接。受影响为 7.4.4 build 9402 及更早，修复版本为 build 9403。官方称未发现上述问题被在野利用。四枚 SQL 注入集中在同一平台且评分均在 9 分以上，说明参数化查询与权限边界未落实；平台直连客户数据库，被注入后可导出全量资料、改写投放内容。

建议排查

1. 核对版本与 build 号，确认是否低于 9403。
2. 检查数据库账户与操作员权限，清理越权的高权账号。
3. 复核投放模板、工作流与外部调用的变更记录。

加固建议

1. 升级至 7.4.4 build 9403 或更新版本，覆盖容灾实例。
2. 数据库访问改用最小权限账户，禁止业务账号建表。
3. 平台管理入口限制来源地址，操作员全面启用多因素认证。

参考来源

https://www.adobe.com/trust/security/products/campaign/apsb26-162.html

风险六：Wasmtime 的 Cranelift 后端在 ARM 平台跳错地址，恶意模块可逃出沙箱（CVE-2026-115893）

Wasmtime 是用 Rust 编写的 WebAssembly 运行时，常被用作插件沙箱、边缘计算与多租户函数的隔离层，宿主把不受信任的模块交给它执行。CVE-2026-115893 出在其 Cranelift 编译后端：在 aarch64（ARM 64 位）平台上，当一个模块在单条 br\_table 指令中给出超过约 26 万个跳转目标时，编译器会生成错误的跳转目标，该分支可跳到偏移由模块作者控制的任意代码位置，实现沙箱逃逸，评分在 3.1 版为 9.9。自 2020 年支持 aarch64 起的所有版本均受影响，修复版本为 36.0.19、48.0.7 与 49.0.4。利用前提是攻击者能向宿主提交模块，插件市场、用户自定义函数、在线判题与边缘函数都符合，宿主按默认配置运行即可被击穿。沙箱逃逸不同于普通内存破坏：逃出来的是宿主进程空间与其凭据，同机其他租户的数据随之暴露。官方未提及在野利用，但受影响面覆盖多数 ARM 服务器与边缘节点，修复需按版本分支分别升级。

建议排查

1. 盘点使用 Wasmtime 的插件沙箱、边缘函数与多租户服务。
2. 确认部署架构是否为 aarch64 并使用 Cranelift 后端。
3. 核对版本是否低于 36.0.19、48.0.7、49.0.4。

加固建议

1. 升级至 36.0.19、48.0.7 或 49.0.4，按分支分别处理。
2. 无法升级时限制可提交模块的来源、大小与跳转目标规模。
3. 沙箱进程按最小权限运行，隔离宿主凭据与内网可达性。

参考来源

https://github.com/advisories/GHSA-mghf-wjfp-p5xm

PART.02

总体处置建议‍‍‍

总结

本期两条已确认在野利用的线索指向同一条路径：网站运行时先被打穿，内核缺陷再把进程抬到最高权限，最后留下一个能长期驻留的网页后门。判断依据来自官方目录，两端都给了处置截止日，一个在 10 月 29 日，一个在 10 月 31 日。断链只需补上任意一端，难点却在资产可见性：这类运行时语言常作为组件藏在建站面板、一体机与设备固件里，台账上往往写着没有。另一类风险来自隔离层自身，WebAssembly 沙箱被当作安全边界使用，编译器后端的跳转错误直接把这条边界抹平，凡开放模块提交入口的平台都要重估这个假设。尚未被利用的几项集中在设备与业务平台，攻击面横跨整站与客户数据，一旦补齐利用链，代价不低于在野问题。数据侧的教训仍在字段组合：身份信息与消费记录同时外泄，比单一口令泄露更容易被用于精准冒充。修复顺序宜按能否被远程直接触达来排，而不是按分值高低。

整体风险处置建议

1. 把已知被利用目录内的条目单列，按截止时间倒排。
2. 自建平台须核对运行时组件，不能只升主程序。
3. 待上线与待纳管的网络设备单列管理，禁止临时入网。
4. 业务平台的数据库账号按最小权限拆分，客户数据分级管控。
5. 把沙箱与隔离层纳入边界评估，限制模块来源与进程权限。

合规说明

以上内容基于公开信息整理，仅用于网络安全防护与管理决策参考，具体影响范围与修复方式请以厂商官方公告为准。