2026 高危漏洞盘点：CVSS 10.0 的那个，反而不用你动手
AI白菜
AI白菜
小白菜安全
2026年11月11日 20:43
浙江
去阅读
一、边界与安全设备：最刺眼的不是分数，是厂商名单
SOCRadar 整理的年度 Top 10 RCE 榜单里，10 条有 5 条来自网关、邮件安全设备或访问代理，9 条进了 KEV。把今年的编号铺开，Citrix、Cisco、F5、Check Point、Fortinet、Ivanti、Palo Alto、Splunk 几乎排了个遍——防守方自己花钱买回来的设备，成了最稳定的入口。
| 编号 | 产品 | 风险 | 状态 / 修复 |
|---|---|---|---|
| CVE-2026-10520 / 10523 | Ivanti Sentry | OS 注入拿 root RCE（10.0）／认证绕过建管理员（9.9） | 10520 入 KEV（6/11）；10523 未入 KEV、在野未确认。修至 10.5.2 / 10.6.2 / 10.7.1 |
| CVE-2026-20127 / 20182 / 20245 | Cisco Catalyst SD-WAN | 两个认证绕过（10.0）、CLI 注入提权 | 均入 KEV；另有 XenShell 链 20122 / 20128 / 20133，Talos 观察到至少 10 个威胁集群用它投 webshell |
| CVE-2026-20253 | Splunk Enterprise | PostgreSQL sidecar 缺认证 → 任意文件写，9.8 | KEV 6/18；修 10.2.4 / 10.0.7，9.4 及更早不受影响 |
| CVE-2026-76461 | Cisco Secure Email Gateway | SQL 注入 → root RCE，9.8 | KEV 9/14；修 15.5.5-014 / 16.0.4-302 / 16.5.0-780 |
| CVE-2026-88771 / 88772 | Citrix NetScaler ADC / Gateway | 输入验证缺陷 + DTLS 内存溢出 → RCE，9.5（v4） | KEV 9/27；修 14.1-73.37 / 13.1-64.23 |
| CVE-2026-85102 / 93616 | Check Point | VPN 证书校验 → 预认证 RCE（9.8）／路径遍历（9.8） | KEV 9/22；93616 打的是 Security Management 服务器，不是 Gateway |
| CVE-2026-94127 | F5 BIG-IP APM | 堆溢出 RCE，9.8 | KEV 9/22；仅 APM 用作 OAuth 授权服务器时受影响 |
| CVE-2026-104286 / 25089 | FortiMail / FortiSandbox | 任意文件写（9.8）／OS 命令注入（9.1） | KEV 10/1、7/16；FortiMail 修 8.0.2 / 7.6.7 / 7.4.9 / 7.2.10 |
| CVE-2026-0300 | Palo Alto PAN-OS | Captive Portal 溢出 → root RCE，9.3（v4） | KEV 5/6，有限在野；需启用认证门户，修 12.1.7 / 11.2.12 等 |
Splunk 那条最值得单独看一眼：披露后 8 天进 KEV，公开 PoC 出现后 6 天。一个负责收日志、看告警的平台自己变成突破口，后面的检测能力基本就废了。Cisco SD-WAN 则是另一种麻烦——控制器被拿下，分支流量往哪走由别人说了算，而且 Talos 追踪到的利用链里，一个被普遍当成「CVE-2026-20127 的 PoC」其实打的是另外三个编号，工单如果只按一个编号排，很容易漏。
二、微软生态与虚拟化底座：8 月 18 日那次四连击
CISA 在 2026 年 8 月 18 日一次性把四个漏洞塞进 KEV，横跨微软、Broadcom、苹果三家，CVSS 全在 9.1 以上，联邦机构的整改截止日是 8 月 21 日（这个期限只约束 FCEB 联邦机构，但 KEV 收录本身就意味着「已经在打」）。
| 编号 | 产品 | 风险 | 修复 |
|---|---|---|---|
| CVE-2026-33824 | Windows IKE Extension | 双重释放，未认证特制报文 → RCE，9.8 | 8 月累积更新，覆盖 Win10/11、Server 2016–2025 |
| CVE-2026-55040 | 本地 SharePoint Server | 弱认证绕过，9.1 | 16.0.5561.1001 / 10417.20175 / 19725.20434 |
| CVE-2026-59310 | Broadcom VMware vCenter | 路径遍历 → 任意代码执行，9.8 | 8.0 U3k / 9.0.2.0100 / 9.1.0.0300 |
| CVE-2026-65400 | Apple macOS 屏幕共享 | 认证不当，9.8 | Sonoma 14.8.9 / Sequoia 15.7.9 / Tahoe 26.6.1 等 |
SharePoint 是今年最典型的一条长线。 CISA 7 月 14 日发加固告警，到 8 月 18 日更新时，名单已经扩到 6 个在野 CVE：32201、45659、56164、58644、50522、55040。攻击手法是偷 IIS machine key 配合反序列化做 RCE 和持久化，只影响本地 SharePoint Server（SE / 2019 / 2016），不含 Microsoft 365 里的 SharePoint Online。Rapid7 8 月 11 日放出 55040 的技术分析与 PoC，几小时后就出现利用尝试；媒体报道 vCenter 那条也在披露后 5 天内被疑似 APT 组织打进数十个国家的数百台服务器。
补几条同样需要进资产表的：
lCVE-2026-63520（SharePoint RCE，8.1）：未入 KEV、未见在野，别混进上面那 6 个。
lCVE-2026-96934（Windows DHCP Server UAF → RCE，9.8）：10 月补丁日；9 月那个是 CVE-2026-72979，两个编号别写串。
lCVE-2026-69836（Microsoft Entra ID 反序列化，10.0）：今年拿到 10.0 的不止它一个（Ivanti Sentry、n8n、Cisco SD-WAN 的认证绕过都是），但只有它是云侧问题——未入 KEV，按厂商公开口径已由微软缓解、无需客户操作。标题说的就是它。
lChrome 三个在野 0day：CVE-2026-3910（3/13）、CVE-2026-11645（6/9）、CVE-2026-125350（11/10，XML 释放后重用，修至 157.0.8103.50 及更新）。三条都是 8.8，不是 10.0。
lCVE-2026-42897（Exchange OWA 存储型 XSS，8.1）：5/15 入 KEV，是 XSS 不是 RCE。
三、开源组件与 AI 基础设施：两条线在这里撞上了
VulnCheck 那份上半年报告里有个判断很准：研究人员偏爱给开源软件开发 PoC，攻击者则是机会主义者。今年这两拨人在 AI 基础设施上撞到了一起——Langflow、n8n、LiteLLM、Starlette 这些组件既常暴露在外网，手里又攥着模型 API Key 和内网凭据。
| 编号 | 项目 | 风险 | 状态 / 修复 |
|---|---|---|---|
| CVE-2026-42945 | NGINX OSS 0.6.27–1.30.0 / Plus R32–R36 | rewrite 模块堆溢出，9.2（v4）/ 8.1 | 有公开 PoC、未入 KEV；修 1.30.1 / 1.31.0 / R36 P4 / R32 P6 |
| CVE-2026-31431 | Linux Kernel 4.14+「Copy Fail」 | 本地提权，7.8 | 入 KEV；VulnCheck 统计 132 个公开利用，为年内最高；修 6.18.22 / 6.19.12 / 7.0 及发行版 backport |
| CVE-2026-24061 | GNU Inetutils telnetd 1.9.3–2.7 | 认证绕过，9.8 | 入 KEV，49 个公开利用；无正式发行版号，走发行版 backport |
| CVE-2026-41940 | cPanel / WHM | 认证绕过，9.3 / 9.8 | 入 KEV、勒索软件已知利用，26+ 公开 PoC |
| CVE-2026-33017 | Langflow ≤ 1.8.2 | 未授权代码注入 RCE | 修 ≥ 1.9.0（GHSA-vwmf-pq79-vjvx） |
| CVE-2026-21858 | n8n 1.65.0–1.120.x「Ni8mare」 | 未认证文件读取，10.0 | 修 1.121.0；未入 KEV，但已有大规模扫描与僵尸网络利用 |
| CVE-2026-42271 | LiteLLM 1.74.2–< 1.83.7 | 命令注入，8.7 / 8.8 | 修 1.83.7-stable |
| CVE-2026-48710 | Starlette < 1.0.1 | Host 头校验缺失，6.5 | 修 1.0.1 |
| CVE-2026-60004 | Gitea 1.17–< 1.27.1 | 代码注入 RCE，9.8 | 修 1.27.1 |
| CVE-2026-87902 | WordPress < 7.1.2 | 本地文件包含 | 修 7.1.2；修复当天就有站点被攻击 |
| CVE-2026-34486 | Tomcat 11.0.20 / 10.1.53 / 9.0.116 | EncryptInterceptor 加密缺失，7.5 | 修 11.0.21 / 10.1.54 / 9.0.117；由 CVE-2026-29146 的补丁引入 |
| CVE-2026-26980 | Ghost 3.24.0–6.19.0 | SQL 注入 | 修 6.19.1 |
供应链也不再是「年度大事件」，而是常规武器。 三个值得记住的案例：
lCVE-2025-15556：Notepad++ 更新通道被劫持，攻击贯穿 2025 年大半，到 2026 年 2 月才由维护者披露，修至 8.8.9，Rapid7 归因于 Lotus Blossom。
lCVE-2026-33634：从漏洞扫描器 Trivy 的上游开始，扩散到 LiteLLM 和 Checkmarx KICS——光 LiteLLM 一天就有 340 万次下载，归因 TeamPCP。
l还有 axios npm 事件（下游编号 CVE-2026-34381）和 TanStack 那次自我传播的「mini Shai-Hulud」蠕虫，牵连 40 多个包。
Tomcat 那条要特别留一句：它不是新洞，是补丁引入的回归。打了早先的 CVE-2026-29146 补丁反而更危险——今年「打完补丁就结案」的做法，被这个案例直接否掉了。
四、这半年传得最广的几个错，建议对着改一下工单
公众号和群里转得快的往往是二手整理稿，编号一错，排查方向就跟着偏。以下都是拿 CVE/NVD、CISA KEV 和厂商公告逐条对过的：
1.8 月 18 日 CISA 那条通告是四个厂商、四个漏洞，只有一个是 SharePoint，不是「SharePoint 攻击链专项通告」。SharePoint 的 6 个在野编号出自 7 月 14 日的加固告警，8 月更新。
2.Tomcat CVE-2026-34486 不是集群 RCE。Apache 官方口径是 EncryptInterceptor 加密缺失，7.5 分，只是可与旧洞链式利用。
3.n8n「Ni8mare」不是 RCE，是未认证文件读取——虽然 CVSS 给到 10.0。危害依然大，但检测思路完全不同。
4.NGINX CVE-2026-42945 的「埋藏 16 年、无认证一键 RCE」来自二手报道。F5 与 NVD 主述是 worker 进程崩溃 / 堆溢出，RCE 需要额外条件（如 ASLR 被关闭或绕过）。该升还得升，但别按「全网一键沦陷」上报。
5.Exchange CVE-2026-42897 是 OWA 存储型 XSS，不是 RCE。
6.Entra ID 的 10.0 分是云侧问题，未入 KEV；DHCP Server 的 9 月 72979 与 10 月 96934 是两个独立编号。另外 Check Point 93616 影响的是 Security Management 服务器，不是 Gateway。
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论