致力于第一时间为企业级用户提供权威漏洞情报和有效解决方案。

漏洞概述
漏洞名称	Next.js 服务器端请求伪造漏洞
漏洞编号	QVD-2026-26372，CVE-2026-44578
公开时间	2026-05-13	影响量级	百万级
奇安信评级	高危	CVSS 3.1分数	8.6
威胁类型	信息泄露	利用可能性	高
POC状态	已公开	在野利用状态	未发现
EXP状态	已公开	技术细节状态	已公开
危害描述：攻击者可以利用该漏洞，通过构造特制的 WebSocket 升级请求绕过网络边界防护，实现内网探测、敏感信息窃取以及云环境元数据服务访问等恶意行为。

近日，奇安信CERT监测到官方修复Next.js 服务器端请求伪造漏洞(CVE-2026-44578)，该漏洞源于 WebSocket Upgrade 请求处理路径未应用与普通 HTTP 请求一致的安全检查策略，导致服务器会代理未经充分验证的外部目标请求。攻击者可以利用该漏洞，通过构造特制的 WebSocket 升级请求，迫使 Next.js 服务器向任意内部或外部地址发起请求，从而绕过网络边界防护，实现内网探测、敏感信息窃取以及云环境元数据服务访问等恶意行为。目前该漏洞PoC和技术细节已公开。鉴于该漏洞影响范围较大，建议客户尽快做好自查及防护。

阅读原文

跳转微信打开

致力于第一时间为企业级用户提供权威漏洞情报和有效解决方案。

漏洞概述
漏洞名称	PostgreSQL pgcrypto 堆缓冲区溢出漏洞
漏洞编号	QVD-2026-8310，CVE-2026-2005
公开时间	2026-02-12	影响量级	百万级
奇安信评级	高危	CVSS 3.1分数	8.8
威胁类型	代码执行	利用可能性	高
POC状态	已公开	在野利用状态	未发现
EXP状态	已公开	技术细节状态	已公开
危害描述：攻击者通过构造恶意 PGP 密文，触发堆溢出，可实现信息泄露、任意内存读写，进而提升至超级权限，在数据库进程内执行任意操作系统命令，获取数据库服务权限，窃取密钥、凭证并横向渗透内网。

近日，奇安信CERT监测到官方修复PostgreSQL pgcrypto 堆缓冲区溢出漏洞(CVE-2026-2005)，该漏洞源于 pgp_pub_decrypt_bytea() 函数解析 OpenPGP 公钥加密会话密钥包时，未对会话密钥长度做边界校验。攻击者通过构造恶意 PGP 密文，触发堆溢出，可实现信息泄露、任意内存读写，进而提升至超级权限，在数据库进程内执行任意操作系统命令，获取数据库服务权限，窃取密钥、凭证并横向渗透内网。目前该漏洞PoC和技术细节已公开。鉴于该漏洞影响范围较大，建议客户尽快做好自查及防护。

阅读原文

跳转微信打开

致力于第一时间为企业级用户提供权威漏洞情报和有效解决方案。

● 点击↑蓝字关注我们，获取更多安全风险通告

漏洞概述
漏洞名称	Windows Cloud Files Mini Filter Driver 本地权限提升漏洞
漏洞编号	QVD-2020-69025,CVE-2020-17103
公开时间	2020-12-09	影响量级	千万级
奇安信评级	高危	CVSS 3.1分数	7.8
威胁类型	权限提升	利用可能性	高
POC状态	已公开	在野利用状态	未发现
EXP状态	已公开	技术细节状态	已公开
危害描述：攻击者可利用该漏洞，通过精心构造的竞态条件攻击，向 .DEFAULT 用户配置单元写入任意注册表键值，将普通用户权限提升至 SYSTEM 系统最高权限，从而完全控制目标主机。

阅读原文

跳转微信打开

致力于第一时间为企业级用户提供权威漏洞情报和有效解决方案。

● 点击↑蓝字关注我们，获取更多安全风险通告

漏洞概述
漏洞名称	Windows 内核权限提升漏洞
漏洞编号	QVD-2026-25963,CVE-2026-40369
公开时间	2026-05-12	影响量级	千万级
奇安信评级	高危	CVSS 3.1分数	7.8
威胁类型	权限提升	利用可能性	高
POC状态	已公开	在野利用状态	未发现
EXP状态	已公开	技术细节状态	已公开
危害描述：低权限本地攻击者可利用此漏洞，构造恶意参数调用 NtQuerySystemInformation，绕过 ProbeForWrite 校验，实现任意内核地址增量写入，成功利用后可直接获取系统最高权限，也可触发内核空指针解引用导致系统蓝屏崩溃。

阅读原文

跳转微信打开

Linux Kernel CVE-2026-46333 | Next.js CVE-2026-44578 | PraisonAI CVE-2026-44338

2026-05-17 | 威胁等级: High | 来源: SecurityOnline.info · Qualys · thehackernews

一、Linux Kernel ptrace 退出竞争条件信息泄露漏洞 (CVE-2026-46333)

本地信息泄露PoC已公开Linux Kernel

受影响产品：受影响 Linux 内核版本（主要 2017 年后发行版，包括 CloudLinux、AlmaLinux 等默认配置，使用 OpenSSH ssh-keysign 等 setuid 组件的系统）。上游修复于内核 commit 31e62c2e。

影响：本地未授权（unprivileged）用户通过 ptrace 访问检查中的退出窗口竞争条件（race in __ptrace_may_access()），可窃取特权进程文件描述符，读取 root-only 文件如 SSH 主机私钥（/etc/ssh/ssh_host_*_key）和 /etc/shadow。无需直接提权即可获取敏感凭证。PoC 已公开。

热度原因：5月14-15日 Qualys 披露并附带公开 PoC，安全社区和 Linux 发行版快速响应；影响广泛服务器/容器环境，易被本地攻击者（含恶意容器逃逸后）利用窃取凭证，CISA/社区高度关注，成为近期 Linux 内核安全焦点。

修复建议：立即升级到包含修复的内核版本（7.0.8、6.18.31、6.12.89 等稳定分支）。临时缓解：设置 kernel.yama.ptrace_scope=2 或更高；限制用户命名空间；监控 ptrace 相关系统调用；避免不必要 setuid 二进制暴露。更新后重启系统。

二、Next.js WebSocket Upgrade SSRF 漏洞 (CVE-2026-44578)

CVSS 8.6HighNext.js

受影响产品：Next.js 自托管版本 13.4.13 至 15.5.15 和 16.0.0 至 16.2.4（使用内置 Node.js server）；Vercel 托管版不受影响。

影响：未认证攻击者通过精心构造的 WebSocket 升级请求触发 SSRF，可让服务器代理请求到任意内部/外部目标（含云元数据服务、内部 API），导致数据泄露。CVSS 约 8.6（High）。

热度原因：5月11-13日前后披露，PoC 快速流传；约 79,000 暴露实例被扫描发现。自托管 Next.js 流行，攻击面广，开发者社区关注度高。

修复建议：升级到 15.5.16 或 16.2.5。临时缓解：在反向代理层阻挡 WebSocket 升级请求；避免直接暴露自托管服务器到公网；监控异常内部请求。

三、PraisonAI 认证绕过漏洞 (CVE-2026-44338)

CVSS 7.3快速利用AI Framework

受影响产品：PraisonAI Python 包 2.5.6 至 4.6.33（使用 legacy Flask API server）。

影响：默认认证禁用，导致未认证用户可访问 /agents 和 /chat 等受保护端点，触发 AI 工作流执行。CVSS 7.3（High）。

热度原因：5月11日前后披露，披露后 4 小时内即被扫描/尝试利用，体现"快速利用"趋势。开源 AI 框架流行，易被攻击者针对。

修复建议：立即升级到 4.6.34 或更高。临时缓解：启用认证（设置 AUTH_ENABLED=True 和 token）；限制 API 服务器网络访问；监控未授权访问日志。

四、总体修复建议

最高优先（立即处理）：

① Linux Kernel ptrace 信息泄露（CVE-2026-46333，PoC 已公开）——立即升级内核；设置 ptrace_scope 限制；监控异常 ptrace 调用。

② Next.js SSRF（CVE-2026-44578，CVSS 8.6）——升级到 15.5.16/16.2.5；限制 WebSocket 升级请求。

③ PraisonAI 认证绕过（CVE-2026-44338）——立即升级到 4.6.34；启用 API 认证；检查未授权访问日志。

高优先级（48小时内处理）：

① 审计 SSH 主机密钥（/etc/ssh/ssh_host_*_key）和 /etc/shadow 文件权限，确认内核更新前未被窃取。

② 扫描暴露的自托管 Next.js 实例（约 79,000 个），优先修补面向公网的节点。

优先关注本地/容器环境（Linux 内核）和暴露 Web/AI 服务；启用自动更新、内核补丁与日志监控；使用 EDR/WAF 检测异常；定期扫描暴露面。信息基于最新公开来源，漏洞动态变化，建议查阅 NVD、Qualys、厂商公告或 securityonline.info 获取最新补丁和 IoC。

跳转微信打开

NGINX CVE-2026-42945 | VMware Fusion CVE-2026-41702 | Netlogon CVE-2026-41089 | Exchange CVE-2026-42897

2026-05-16 | 威胁等级: High | 来源: SecurityOnline.info · NVD · thehackernews

一、NGINX ngx_http_rewrite_module 堆缓冲区溢出漏洞 (CVE-2026-42945)

CVSS 9.2CriticalNGINX Rift

受影响产品：NGINX Open Source 0.6.27 至 1.30.0、NGINX Plus R32 至 R36 及相关产品（Ingress Controller、App Protect）。几乎所有使用 rewrite/if/set 指令结合未命名 PCRE 捕获（如 $1、$2）和含"?"替换字符串的配置。

影响：未授权远程攻击者通过精心构造的 HTTP 请求触发堆缓冲区溢出，可导致 worker 进程崩溃（DoS）或在 ASLR 禁用时实现远程代码执行（RCE）。存在公开 PoC，影响全球约 1/3 网站基础设施。

热度原因：NGINX 是最广泛部署的 Web 服务器之一，此漏洞潜伏近 18 年（自 2008 年起），AI 辅助发现 + 公开 PoC 迅速推高关注度。Patch Tuesday 期间相关讨论叠加，互联网暴露实例多，易被大规模利用。

修复建议：立即升级到 NGINX 1.30.1（稳定版）或 1.31.0（主线版）。临时缓解：修改配置使用命名捕获（如 named 替代 $1/$2）或移除易触发 rewrite 组合；监控日志中的异常请求；启用 ASLR 并限制暴露。

二、VMware Fusion TOCTOU 本地权限提升漏洞 (CVE-2026-41702)

本地LPE高可靠VMware Fusion

受影响产品：VMware Fusion 25H2 及之前版本（运行于 macOS）。

影响：本地非管理员用户通过 SETUID 二进制中的时间-of-check to time-of-use（TOCTOU）竞争条件，可提升权限至 root。无需额外交互，高可靠。

热度原因：VMware 虚拟化产品广泛用于开发/测试环境，root 权限提升风险高；近期 Linux/虚拟化权限提升漏洞链讨论多，此漏洞在 5 月中旬披露，安全站点重点推送，吸引 Mac 管理员关注。

修复建议：升级到 VMware Fusion 26H1（或最新版本）。Broadcom 推荐立即应用 VMSA-2026-0003 补丁。临时措施：限制本地用户访问 Fusion 主机，监控 SETUID 二进制活动。

三、Microsoft Windows Netlogon 栈缓冲区溢出漏洞 (CVE-2026-41089)

CVSS 9.8CriticalWindows Server

受影响产品：Windows Server 2012 及更高版本（域控制器相关组件）。

影响：未授权远程攻击者通过低复杂度攻击实现域控制器 SYSTEM 权限（Critical RCE/EoP）。无需凭证或用户交互。

热度原因：Patch Tuesday（5月12/13日）披露的 30+ Critical 漏洞之一，Netlogon 是高价值目标（类似历史 ZeroLogon），企业域环境广泛，安全社区和 Patch 分析广泛讨论，热度持续至本周。

修复建议：立即应用 Microsoft May 2026 安全更新（KB 等）。优先修补域控制器；监控 Netlogon 流量异常；启用相关缓解措施直至全覆盖。

四、Microsoft Exchange Server OWA Spoofing 漏洞 (CVE-2026-42897)

已在野利用CVSS 高Exchange Server

受影响产品：Exchange Server 2016、2019、Subscription Edition（On-Premises）；Exchange Online 不受影响。

影响：攻击者通过恶意邮件诱导用户浏览器交互，可在 OWA 中执行 JavaScript（spoofing/潜在 RCE 链）。已野外利用。

热度原因：已确认野外利用 + CISA/Exchange Team 警报，5月15日前后安全站点重点报道，企业邮件系统高危，易被钓鱼结合。

修复建议：启用 Exchange Emergency Mitigation Service (EEMS) 或运行 On-Premises Mitigation Tool（注意可能影响部分功能如日历打印）。等待完整补丁并检查日志异常；用户端警惕可疑邮件。

五、其他值得关注的漏洞

Linux Kernel ptrace 相关本地权限提升（近期 PoC 发布）：允许非特权用户 root 文件访问，Linux 服务器广泛影响。

Cisco SD-WAN 认证绕过（CVE-2026-20182，CVSS 10，已利用）：网络设备管理员接管风险高，建议立即修补。

六、总体修复建议

最高优先（立即处理）：

① NGINX rewrite module RCE（CVE-2026-42945，CVSS 9.2）——立即升级到 NGINX 1.30.1/1.31.0+。

② Exchange OWA Spoofing（CVE-2026-42897，已野外利用）——立即启用 EEMS 或运行缓解工具。

③ Cisco SD-WAN 认证绕过（CVE-2026-20182，CVSS 10）——立即应用厂商补丁；限制网络设备管理接口暴露。

高优先级（48小时内处理）：

① VMware Fusion TOCTOU LPE（CVE-2026-41702）——升级到 Fusion 26H1；监控 SETUID 二进制。

② Windows Netlogon 栈溢出（CVE-2026-41089，CVSS 9.8）——立即应用 MS May 更新；优先修补域控制器。

③ Linux Kernel ptrace LPE——更新内核；限制非特权用户访问。

优先处理互联网暴露的 Web/边缘服务（NGINX）和关键基础设施（Windows/Exchange/VMware）。使用漏洞扫描工具验证，关注 CISA KEV 和厂商公告。信息实时变化，建议查阅官方 MSRC、NGINX/F5、Broadcom 公告获取最新补丁。

跳转微信打开

致力于第一时间为企业级用户提供权威漏洞情报和有效解决方案。

漏洞概述
漏洞名称	Linux Kernel ptrace 本地权限提升漏洞
漏洞编号	QVD-2026-26977
公开时间	2026-05-14	影响量级	百万级
奇安信评级	高危	CVSS 3.1分数	7.8
威胁类型	权限提升、信息泄露	利用可能性	高
POC状态	已公开	在野利用状态	未发现
EXP状态	已公开	技术细节状态	已公开
危害描述：本地低权限攻击者可利用 pidfd_getfd 窃取高权限文件描述符，读取 /etc/shadow 和 SSH 主机私钥等敏感文件并实现权限提升。

近日，奇安信CERT监测到官方修复Linux Kernel ptrace 本地权限提升漏洞(QVD-2026-26977)，该漏洞源于 Linux Kernel 的 ptrace_may_access 权限校验逻辑中，因进程退出时 exit_mm 与 exit_files 的执行顺序存在竞态窗口，且 task->mm 为 NULL 时会跳过 dumpable 检查，导致本地低权限攻击者可利用 pidfd_getfd 窃取高权限文件描述符，读取 /etc/shadow 和 SSH 主机私钥等敏感文件并实现权限提升。目前该漏洞PoC和技术细节已公开。鉴于该漏洞影响范围较大，建议客户尽快做好自查及防护。

阅读原文

跳转微信打开

致力于第一时间为企业级用户提供权威漏洞情报和有效解决方案。

漏洞概述
漏洞名称	Linux Kernel Fragnesia 本地权限提升漏洞
漏洞编号	QVD-2026-26599，CVE-2026-46300
公开时间	2026-05-13	影响量级	百万级
奇安信评级	高危	CVSS 3.1分数	7.8
威胁类型	权限提升	利用可能性	高
POC状态	已公开	在野利用状态	未发现
EXP状态	已公开	技术细节状态	已公开
危害描述：本地非特权用户可通过splice和espintcp ULP组合操作，逐字节篡改文件页缓存（如/usr/bin/su），从而在不写入磁盘的情况下执行提权代码获取root权限。

近日，奇安信CERT监测到官方修复Linux Kernel Fragnesia 本地权限提升漏洞(CVE-2026-46300)，该漏洞源于内核合并socket缓冲区时未能正确传播共享分片标记，导致攻击者可以将只读文件页缓存误当作ESP密文进行原地解密。利用此漏洞，本地非特权用户可通过splice和espintcp ULP组合操作，逐字节篡改文件页缓存（如/usr/bin/su），从而在不写入磁盘的情况下执行提权代码获取root权限。Ubuntu 默认的 AppArmor 配置会限制非特权 user namespace，从而对公开利用形成缓解。Fragnesia 是 Dirty Frag 漏洞家族的一个独立新变种，源自修复 Dirty Frag 时引入的新缺陷。目前该漏洞PoC和技术细节已公开。鉴于该漏洞影响范围较大，建议客户尽快做好自查及防护。

rmmod esp4 esp6 rxrpc
printf 'install esp4 /bin/false\ninstall esp6 /bin/false\ninstall rxrpc /bin/false\n' > /etc/modprobe.d/fragnesia.conf

阅读原文

跳转微信打开

致力于第一时间为企业级用户提供权威漏洞情报和有效解决方案。

漏洞概述
漏洞名称	微软2026年5月补丁日多个产品安全漏洞
影响产品	Windows Win32k、Windows GDI、Microsoft SharePoint Server等。
公开时间	2026-05-13	影响对象数量级	千万级
奇安信评级	高危	利用可能性	高
POC状态	未公开	在野利用状态	未发现
EXP状态	未公开	技术细节状态	未公开
危害描述：攻击者利用这些漏洞，可造成权限提升、远程代码执行等。

19、CVE-2026-35416 Windows WinSock 辅助功能驱动程序权限提升漏洞

20、CVE-2026-35417 Windows Win32k 权限提升漏洞

阅读原文

跳转微信打开

BitLocker降级攻击PoC已公开|ClaudeChrome扩展会话劫持|PHP SOAP RCE CVSS9.5|Cline WebSocket劫持CVSS9.6|SAP双漏洞|共6条高危漏洞

日期: 2026-05-12  |  威胁等级: High  |  来源: securityonline.info · NVD · thehackernews

一、概要

2026年5月12日，多条高危漏洞集中披露：BitLocker 降级攻击即使打补丁仍可绕过加密卷；Claude Chrome 扩展会话劫持引发 AI 安全边界广泛讨论；PHP SOAP 远程代码执行（CVSS 9.5）已有在野检测；Cline AI Agent WebSocket 劫持（CVSS 9.6）威胁开发者日常工作环境；两条 SAP 漏洞同时达到热度峰值，安全团队多线处置压力大。

二、高危漏洞详情

CVE-2025-48804：BitUnlocker Windows 11 BitLocker 降级攻击漏洞

物理攻击补丁绕过PoC已公开BitLocker

受影响产品：Windows 11（22H2/23H2/24H2 等版本）、BitLocker 加密功能（未完全迁移到新证书的系统）。

影响：物理访问攻击者使用 BitUnlocker 工具，通过证书降级绕过已修复的 BitLocker，在几分钟内解密卷、提取密钥或访问敏感数据。非远程漏洞，需要物理接触设备。

热度原因：5月12日 PoC 工具及完整攻击演示公开，即使安装了2025年补丁仍可被绕过，物理攻击场景实用性强，加密数据保护话题引发广泛关注。

修复建议：完成 Windows UEFI CA 2023 新证书迁移（参考 KB5025885 等）；保持系统最新补丁；启用 TPM + PIN 双重保护；加强设备物理安全（如锁屏、设备追踪）；审计并更换受影响卷的恢复密钥。

ClaudeBleed / LayerX：Claude Chrome 扩展 AI 会话劫持漏洞

会话劫持AI安全浏览器扩展LayerX

受影响产品：Anthropic Claude Chrome 浏览器扩展。

影响：其他普通 Chrome 扩展可注入恶意脚本，完全劫持 Claude AI 会话，包括窃取 Gmail/Drive 数据、绕过安全防护，执行未授权操作等。

热度原因：5月12日 LayerX 研究披露，AI 代理/扩展安全边界问题引发热议，演示了浏览器扩展信任风险，今天在 AI 与浏览器安全社区广泛传播。

修复建议：立即更新 Claude Chrome 扩展至最新版本；谨慎安装其他扩展或临时禁用；监控浏览器权限和 Claude 会话异常；关注 Anthropic 官方安全更新。

CVE-2026-6722：PHP SOAP 扩展远程代码执行漏洞

CVSS 9.5RCE在野检测PHP SOAP

受影响产品：PHP（启用 SOAP 扩展的版本，特别是使用 Apache map 对象去重机制的实例）。

影响：Use-After-Free 类型漏洞，远程攻击者通过特制 SOAP 请求实现远程代码执行（RCE），可完全接管服务器。

热度原因：5月11日 PHP 官方安全补丁发布并被重点报道，已有活跃利用检测，PHP 作为广泛使用的后端语言导致影响面极大，今日热度持续。

修复建议：立即升级到包含修复的最新 PHP 版本；禁用不必要的 SOAP 扩展；部署 WAF 过滤恶意 SOAP 请求；审计日志并轮换所有凭证。

CVE-2026-44211：Cline AI Agent WebSocket 劫持漏洞

CVSS 9.6WebSocket劫持开发者工具AI Agent

受影响产品：Cline AI Agent（使用 kanban npm 包的版本，本地 Kanban 服务器，端口 127.0.0.1:3484）。

影响：恶意网站可通过浏览器跨域劫持本地 WebSocket，窃取文件路径、任务数据、Git 信息、AI 聊天记录，并注入提示实现 RCE 或终端控制。

热度原因：5月12日 报道突出浏览器到本地 AI 代理的隐蔽攻击路径，开发者日常工具特性放大风险，今日热度高。

修复建议：升级 Cline 到最新修复版本；加强 Origin 头验证；避免浏览器中同时访问可信与不可信站点；使用防火墙限制本地端口暴露。

CVE-2026-34260：SAP S/4HANA SQL注入漏洞

SQL注入企业系统SAP S/4HANA

受影响产品：SAP S/4HANA（Enterprise Search 等相关组件）。

影响：攻击者可注入恶意 SQL，实现未授权数据访问、数据泄露或应用崩溃。

热度原因：SAP 企业核心系统，近期补丁相关披露，大型企业环境影响显著，今日被多处平台同步报道。

修复建议：应用 SAP 最新 Security Note 补丁；使用参数化查询；严格输入验证并监控数据库异常日志。

CVE-2026-34263：SAP Commerce Cloud 远程代码执行漏洞

CVSS 9.6RCE企业云平台SAP Commerce

受影响产品：SAP Commerce Cloud（HY_COM 2205、COM_CLOUD 2211 等版本）。

影响：未认证攻击者通过不当 Spring Security 配置上传恶意配置文件，实现任意服务器端代码执行（RCE）。

热度原因：5月12日 相关报道，电商/企业云平台 RCE 漏洞实用性强，关注度高，今日多条 SAP 漏洞同步达到热度峰值。

修复建议：立即应用 SAP 官方补丁；强化 Spring Security 配置；限制 API/配置文件上传并加强 WAF 防护；审计系统日志。

三、总体修复提醒

最高优先（立即处理）：

• PHP SOAP RCE（CVE-2026-6722，CVSS 9.5）——立即升级 PHP；禁用非必要 SOAP 扩展；部署 WAF。

• Cline WebSocket 劫持（CVE-2026-44211，CVSS 9.6）——升级 Cline；限制本地端口暴露；隔离浏览器环境。

• SAP Commerce Cloud RCE（CVE-2026-34263，CVSS 9.6）——立即应用 SAP 官方补丁。

高优先级（48小时内处理）：

• BitLocker 降级攻击（CVE-2025-48804）——完成 UEFI CA 2023 证书迁移；启用 TPM+PIN；加强设备物理安全。

• Claude Chrome 扩展劫持（ClaudeBleed/LayerX）——更新扩展；审查扩展权限；监控 AI 会话异常。

• SAP S/4HANA SQL注入（CVE-2026-34260）——应用 SAP Security Note；参数化查询；数据库日志审计。

通用防护建议：

• 优先处理 PHP、SAP 和 AI 相关产品更新，监控物理访问与本地服务暴露。

• 使用全面漏洞扫描工具检查环境暴露面，关注 HP/SAP/AI 工具链。

• 访问 securityonline.info 持续跟踪最新漏洞披露与官方补丁动态。

• 建立漏洞响应 SOP，快速验证、测试与生产部署全流程闭环。

跳转微信打开

cPanel Perl注入|Android ADB零点击RCE|Grav CMS未认证RCE|PHP unserialize 21年UAF|共4条高危漏洞

日期: 2026-05-11  |  威胁等级: High  |  来源: securityonline.info · NVD · thehackernews

一、概要

2026年5月11日，集中披露多条高危漏洞：cPanel & WHM Perl代码注入补丁刚出即被重点追踪；Android ADB 认证绕过公开 PoC 实现零点击远程代码执行；Grav CMS 利用链可零基础实现完全主机控制；MAD Bugs 项目披露PHP unserialize 21年历史 UAF 漏洞，AI 辅助发现并附完整 exploit，安全社区今日热度极高。

二、高危漏洞详情

CVE-2026-29202：cPanel & WHM Perl代码注入漏洞

CVSS 8.8Root访问风险活跃讨论补丁刚出

受影响产品：cPanel & WHM（11.136.0.9 及以下等未修补版本，WP Squared 也受影响）。

影响：已认证用户通过 create_user API 的 plugin 参数实现 Perl 代码注入，可执行任意 Perl 代码（以系统用户身份）；结合 symlink 等 flaw 可权限提升、文件读写、DoS。

热度原因：securityonline.info 今日突出报道"Root Access at Risk"，补丁刚发布（5月8日），cPanel 广泛用于共享主机，大量实例未及时更新，活跃讨论和检测签名已出现。

修复建议：立即更新至 11.136.0.9+ 等修补版本；限制 API 访问来源；监控异常 create_user 调用日志；优先处置面向互联网的共享主机环境。

CVE-2026-0073：Android ADB 认证绕过漏洞

零点击RCE邻近网络PoC已公开Android多版本

受影响产品：Android 系统（特定版本，adbd 组件，Android 14/15/16 等）。

影响：无线 ADB 互认证绕过，邻近网络攻击者可零点击实现远程代码执行（shell 用户权限），无需用户交互，公开 PoC 已披露。

热度原因：securityonline.info 今日重点报道"Zero-Click Shell: Public Exploit and PoC"；移动端覆盖面极广，邻近攻击场景对企业内网和公共场所充电站等环境威胁突出。

修复建议：更新至 2026-05-01 或更高安全补丁级别；禁用不必要 ADB 调试（尤其是无线 ADB）；监控 ADB 端口（5555等）异常连接；企业移动设备管理（MDM）策略审查。

CVE-2026-42613 等：Grav CMS 关键利用链漏洞

未认证RCE链式利用路径遍历文件写入

受影响产品：Grav CMS（v1.7.49.5 及类似未修补版本，FormFlash 等组件）。

影响：未认证路径遍历 + 任意文件写入 + 权限提升，链式组合实现 unauthenticated RCE（零登录完全主机控制）。

热度原因：securityonline.info 今日报道"Zero Installation, Total Compromise"；公开利用链，CMS 用户基数大，攻击门槛极低，适合批量扫描利用。

修复建议：升级至 2.0.0-beta.2+ 或最新版本；禁用公开注册；加强输入验证和文件操作限制；Web 应用防火墙（WAF）规则覆盖路径遍历特征。

PHP unserialize() Use-After-Free 漏洞（MAD Bugs 项目）21年历史MAD BugsAI辅助发现

受影响产品：PHP（自 5.1 以来所有版本，至最新 8.5.5；Serializable 接口相关路径）。

影响：unserialize() 中缺少 BG(serialize_lock)++ 导致 UAF，本地可绕过 disable_functions 实现 RCE（无需 /proc 或硬编码偏移）；远程需特定类（实现 Serializable 并递归 unserialize），约 2000 HTTP 请求可达成 RCE。公开 PoC 和完整 exploit 已发布。

热度原因：MAD Bugs（AI 辅助发现）系列技术博客，5月初发布后今日持续传播；PHP 生态极广泛，证明 AI 系统可发现古老高危 bug 并编写可用 exploit，引发对历史代码安全性的广泛讨论。

修复建议：升级至官方包含修复的最新 PHP 版本；永远不要将不受信任输入传入 unserialize()（使用 json_decode() 等安全替代）；对相关代码进行沙箱隔离；监控异常反序列化调用日志。

其他值得关注的漏洞

LLM安全Spring AI 数据破坏和内存投毒漏洞——威胁 LLM 应用完整性，使用 Spring AI 框架的应用需关注官方安全通告。

三、总体修复提醒

最高优先（立即处理）：

• cPanel & WHM（CVE-2026-29202）——立即更新至 11.136.0.9+；共享主机环境优先处置；监控 create_user API 调用。

• PHP unserialize UAF（MAD Bugs）——尽快升级 PHP；全面替换 unserialize() 为 json_decode()；检测反序列化异常日志。

高优先级（48小时内处理）：

• Android ADB 认证绕过（CVE-2026-0073）——更新安全补丁；禁用无线 ADB；企业 MDM 策略审查。

• Grav CMS 利用链（CVE-2026-42613等）——升级至 2.0.0-beta.2+；禁用公开注册；WAF 规则覆盖。

通用防护建议：

• 启用上述产品的自动更新机制，确保安全补丁及时生效。

• 监控异常网络流量和 API 调用日志，配置告警阈值。

• 访问 securityonline.info 持续跟踪最新漏洞披露与官方补丁动态。

• 建立漏洞响应 SOP，快递验证、测试与生产部署全流程闭环。

跳转微信打开

Ivanti EPMM零日CVE-2026-6973活跃利用|Dirty Frag Linux内核提权PoC已公开|Sandboxie沙箱逃逸|Rancher Fleet CVSS 9.9|共6条重大漏洞

日期: 2026-05-10  |  威胁等级: High  |  来源: securityonline.info · NVD · thehackernews

一、概要

截至2026年5月10日，"1 Active Exploit Detected "持续处于警报状态，指向 Ivanti EPMM 零日漏洞（CVE-2026-6973）已在野被针对性利用；Linux 内核 Dirty Frag 系列漏洞（CVE-2026-43284 等）公开 PoC 于5月8日突破 embargo 并进入在野利用阶段；此外 Sandboxie 沙箱逃逸、Rancher Fleet CVSS 9.9 超高分漏洞、React Server Components DoS 等多线漏洞同步达到热度峰值，安全团队面临多线紧急修补压力。

二、高危漏洞详情

CVE-2026-6973：Ivanti EPMM 零日漏洞

活跃利用高严重性CISA关注CVSS 高

受影响产品：Ivanti Endpoint Manager Mobile (EPMM) 特定版本（修复前版本）。

影响：已认证的远程管理员（使用已收获凭证）可实现远程代码执行（RCE），导致服务器完全接管。

热度原因：securityonline.info 首页 Critical Alert 持续五日重点展示；Ivanti 产品历史利用记录多；5月7-10日连续报道引发全球紧急修补需求。

修复建议：立即升级到官方最新修复版本；轮换所有管理员凭证；限制管理界面互联网暴露；监控异常管理员登录活动，参考Ivanti官方公告与CISA联合指导。

Dirty Frag Linux 内核本地提权漏洞（CVE-2026-43284 等）

PoC已公开本地提权在野利用链式利用

受影响范围：使用 ESP/XFRM 或 RXRPC 子系统的 Linux 内核版本，覆盖自2017年以来主流发行版（Red Hat、Ubuntu、Debian 等）。

影响：本地低权限用户可通过链式利用触发竞争条件，实现即时 root 权限完全控制。

热度原因：5月8日 embargo 解除后 PoC 公开，已出现在野利用报道；Linux 服务器广泛性与 root 权限的高价值属性使其成为2026年最受关注的本地提权漏洞之一。

修复建议：立即应用对应发行版内核安全更新（Red Hat、Ubuntu 等已推送补丁）；临时缓解：禁用非必要的 xfrm/ESP 或 RXRPC 模块；加强本地访问控制与异常进程监控。

CVE-2026-34459：Sandboxie 沙箱逃逸漏洞

沙箱突破SYSTEM权限Critical

受影响产品：Sandboxie（Windows 沙箱隔离工具）。

影响：沙箱逃逸允许攻击者从隔离环境突破，直接获取SYSTEM 最高权限，实现受害者系统完全接管。

热度原因：5月8日"Critical Sandboxie Escape Flaws Grant Total SYSTEM Takeover"重点报道，PoC 及技术细节已公开，热度快速上升。

修复建议：立即更新至最新 Sandboxie 版本；重新评估沙箱使用场景；结合其他隔离措施进行纵深防御。

CVE-2026-41050：Rancher Fleet 关键漏洞

CVSS 9.9cluster-adminK8s集群

受影响组件：Rancher Fleet（Kubernetes 集群管理平台）。

影响：ServiceAccount 隔离绕过，可获 cluster-admin 完全访问权限，支持窃取集群 secrets、横向移动、持久化控制。

热度原因：CVSS 9.9 近乎满分评分；容器/K8s 环境用户基数大；集群管理工具为高价值攻击目标，引发 DevOps 和安全团队高度关注。

修复建议：立即升级 Rancher Fleet 至官方最新版本；审查并收紧 ServiceAccount 配置；强化 RBAC 最小权限原则；禁用非必要集群范围权限。

CVE-2026-23870：React Server Components 拒绝服务漏洞

CVSS 7.5DoS服务器资源耗尽

受影响产品：使用 React Server Components 的 Web 应用程序。

影响：攻击者可触发服务器端资源异常消耗，造成拒绝服务（DoS），导致业务中断。

热度原因：React 生态系统极为广泛，DoS 漏洞易被滥用造成业务中断，5月8日披露后快速引发关注。

修复建议：更新 React 至官方推荐的安全版本；实施请求限流与资源配额保护；对 Node.js 服务端渲染逻辑进行安全评估。

其他近期活跃漏洞速览

CiscoCisco Unity Connection RCE（Cisco 统一通信，远程代码执行风险）；ZabbixZabbix 仪表盘劫持（监控平台，权限滥用风险）；WatchGuardWatchGuard Agent 提权（端点代理，本地权限提升风险）。以上漏洞于5月7-8日被 securityonline.info 等平台报道，建议结合本机构资产进行扫描处置。

三、总体修复提醒

最高优先（立即处理）：

• Ivanti EPMM（CVE-2026-6973）——列为最高补丁优先级，立即隔离互联网暴露的管理接口，轮换所有相关凭证，查阅Ivanti官方公告与CISA联合指导。

• Linux Dirty Frag（CVE-2026-43284等）——立即在测试环境验证内核更新推送情况，优先升级面向互联网的 Linux 服务器。

高优先级（48小时内处理）：

• Rancher Fleet（CVE-2026-41050，CVSS 9.9）——立即升级，配合 RBAC 审计与 ServiceAccount 清理。

• Sandboxie（CVE-2026-34459）——更新至最新版本，评估隔离策略有效性。

• React Server Components DoS（CVE-2026-23870）——更新 React 组件，配置 DoS 防护规则。

通用防护建议：

• 使用 CVE Watchtower 或全面漏洞扫描工具（如 Nessus、Qualys）检查环境暴露面。

• 遵循最小权限原则配置网络访问控制（特别是管理接口）。

• 关注 securityonline.info 持续跟踪最新 CVE Watchtower 警报与官方补丁信息。

• 建立漏洞响应 SOP，确保快速验证、测试与生产部署闭环。

跳转微信打开

Chrome 148修复127个漏洞|3个Critical含CVSS9.3 V8越界读写|2026年已修补4个零日|海莲花等APT组织关联风险

一、事件概述

Chrome 148稳定版于2026年5月正式发布，Google一次性修复127个安全漏洞，其中3个严重（Critical）级别、31个高危（High）级别漏洞创下Chromium内核浏览器历史最高修复记录。此次更新涉及Blink、V8、ANGLE、GPU、Chromoting、WebRTC等核心组件，漏洞类型集中于释放后使用（Use-After-Free）、整数溢出、堆缓冲区溢出和越界读写等典型内存破坏类缺陷。奇安信威胁情报中心监测显示，攻击者可利用路过式攻击（Drive-by Attack）方式，通过恶意网页触发漏洞并实现远程代码执行或沙箱逃逸。

二、严重漏洞技术分析

CVE-2026-7896：Blink引擎整数溢出

受影响组件：Chrome渲染引擎Blink（布局计算模块）

影响：远程攻击者通过诱导用户访问特制HTML页面触发整数溢出条件，进而引发堆内存损坏。整数溢出漏洞在浏览器攻击链中通常作为信息泄露或控制流劫持的触发点，攻击者可借此绕过ASLR等缓解机制。结合其他漏洞可构建完整的RCE攻击链。

发现与赏金：外部安全研究人员于2026年3月发现并报告，获$43,000漏洞赏金。

CVE-2026-7897：Mobile组件释放后使用

受影响组件：Chrome Mobile组件

影响：释放后使用（UAF）漏洞是Chromium系浏览器的顽疾。当内存对象被释放后未被清空指针，攻击者可重新分配同类内存并构造恶意数据，当程序再次访问该对象时即可执行任意代码。该漏洞影响Chrome Mobile组件，位于特权上下文，理论上存在沙箱逃逸可能。

发现：Google内部安全团队发现，未对外发放赏金。

CVE-2026-7898：Chromoting组件释放后使用

受影响组件：Chromoting（Chrome远程桌面功能模块）

影响：此组件以较高权限运行，且涉及系统进程交互。UAF漏洞若被成功利用，攻击者可实现从渲染进程到系统级的权限提升。结合Chrome多进程架构隔离机制被破坏的风险，攻击者可在受害者主机上建立持久化 foothold。

发现：Google内部安全团队发现此漏洞。

CVE-2026-7899：V8引擎越界读写（CVSS 9.3）

受影响组件：V8 JavaScript引擎（JIT编译器优化阶段）

影响：越界读写漏洞可导致攻击者读写虚拟机内存空间外的任意内存区域，直接实现代码执行或敏感数据窃取。CVSS评分高达9.3，获本次更新最高单笔赏金$55,000，表明其技术复杂度和利用价值极高。

三、高危漏洞全谱系梳理

Chrome 148修复的高危漏洞呈现系统性分布特征，覆盖浏览器渲染管线全链条：

技术研判：30余个高危漏洞集中于渲染引擎和JavaScript执行环境，表明Chromium内核在追求性能优化过程中持续积累历史债务。V8引擎作为攻击者必争之地，其$55,000赏金定价远超常规，反映出该类漏洞在野利用的紧迫性和利用门槛的相对可控性。

四、威胁行为体关联分析

APT攻击利用路径

Chrome零日漏洞历来是APT组织的首选入口。2026年已有4个Chrome零日漏洞被修补，意味着存在在野利用的活跃零日。从威胁情报维度分析：

• 漏洞利用窗口期：

  Chrome采用自动静默更新机制，但企业内网环境和版本管控需求导致大量终端存在版本滞后，漏洞公开后的数日至数周内构成高危窗口。

• 攻击场景：

  路过式下载攻击可通过水坑网站或定向钓鱼链接实施，受害者仅访问恶意页面即可触发完整利用链。

• 目标画像：

  浏览器漏洞通常针对情报目标的高价值人员（决策层、研发人员、安全运维），配合社工手段使用。

关联威胁组织

• 国家背景APT组织：

  Chrome/Chromium漏洞是浏览器攻击套件的核心组件，可用于横向移动和持久化。

• 商业 spyware 厂商：

  NSO Group、Candiru等厂商曾多次利用Chrome零日漏洞构建移动端攻击链。

• 供应链攻击者：

  Chromium内核覆盖Chrome、Edge、Opera等主流浏览器，一个内核漏洞可影响数十亿终端。

关联风险：用户大量使用Chrome、Edge（Chromium内核）等浏览器，且企业环境中常存在版本管理滞后的情况。

五、漏洞利用战术演进

攻击链构建模式

[1] 社会工程/水坑攻击 → 诱导用户访问恶意页面
[2] 渲染引擎漏洞(CVE-2026-7896) → 堆内存破坏/信息泄露
[3] V8引擎漏洞(CVE-2026-7899) → JIT spraying/代码执行
[4] 沙箱逃逸(CVE-2026-7897/98) → 系统权限提升
[5] 持久化 → 植入后门/横向移动

MITRE ATT&CK 技术映射

战术趋势研判

1. 漏洞组合化：

   单一漏洞难以穿透Chrome多层缓解机制，攻击者倾向于打包多个漏洞构建攻击链。

2. JIT引擎成为焦点：

   V8等JavaScript引擎的JIT编译优化逻辑复杂，是近年代码执行漏洞的主要来源。

3. 沙箱逃逸优先级提升：

   渲染进程沙箱被突破后，需要额外的特权升级漏洞实现系统控制。

六、用户风险评估

暴露面分析

• 用户基数：

  全球Chrome用户数量超20亿。

• 版本分布：

  企业内网环境、政府机构终端普遍存在版本滞后，部分终端运行Chrome 140-145版本。

• 攻击面：

  Web邮件、协同办公、云文档等高频率使用的Web应用成为水坑攻击的理想目标。

实际威胁场景

1. 鱼叉式钓鱼 + 浏览器漏洞：

   针对特定人员的定向攻击中，恶意链接配合零日漏洞可实现零点击利用。

2. 供应链投毒：

   通过篡改开源组件或Chrome扩展程序，间接利用浏览器漏洞。

3. 内网横移：

   利用浏览器漏洞攻陷终端后，作为跳板访问内网资源。

缓解建议

• 立即行动：

  所有Chrome/Edge Chromium浏览器更新至148.0.7778.96/97版本。

• 企业部署：

  通过MDM、组策略或SCCM批量推送更新，优先覆盖对外暴露的终端。

• 网络侧检测：

  监控异常Chrome进程崩溃日志（Dr. Watson），关注来自可疑域的WebRTC/Chromoting连接。

• EDR增强：

  启用浏览器沙箱日志，监测异常的子进程创建和DLL加载行为。

七、结论与研判

Chrome 148一次性披露127个漏洞，是Chromium项目历史上最大规模的安全发布。3个严重漏洞（CVE-2026-7896/97/98）和CVSS 9.3分的V8越界漏洞表明，Chromium内核的内存安全问题呈系统性恶化趋势。从威胁情报视角判断：

• 2026年已有4个Chrome零日被修补，暗示在野零日利用处于活跃状态；

• V8引擎$55,000的赏金定价反映该漏洞已具备在野利用条件；

• 渲染引擎、JavaScript引擎、远程桌面组件的漏洞集群为APT攻击链构建提供丰富选项。

奇安信威胁情报中心将持续监控相关漏洞的在野利用情况，并同步更新至威胁情报平台。建议所有用户立即更新浏览器版本，企业安全团队应将此次更新纳入本周补丁管理优先级。

八、技术附录

受影响版本：Linux: 148.0.7778.96；Windows/macOS: 148.0.7778.96/97

赏金总额：$138,000+（外部研究人员）；单笔最高$55,000

关键CVE清单：