绿盟科技CERT https://wechat2rss.xlab.app/feed/aa2ff3b0167a3f449f3b116717b5350ab64df8c3.xml 绿盟科技CERT针对高危漏洞与安全事件进行快速响应，提供可落地的解决方案，协助用户提升应对威胁的能力。 (wechat feed made by @ttttmr https://wechat2rss.xlab.app) (绿盟科技CERT) https://wx.qlogo.cn/mmhead/Q3auHgzwzM7Vx9m391ytU1OBPkGVnW15SkvUWAicq3NG0Leg4IMEe2Q/0 绿盟科技CERT https://wechat2rss.xlab.app/feed/aa2ff3b0167a3f449f3b116717b5350ab64df8c3.xml 【漏洞通告】Nginx远程代码执行漏洞（CVE-2026-42945） https://mp.weixin.qq.com/s?__biz=Mzk0MjE3ODkxNg==&mid=2247492593&idx=1&sn=98331857503f56a95034d59968079fa2 近日，绿盟科技CERT监测到Nginx和F5发布安全公告，修复了Nginx远程代码执行漏洞（CVE-2026-42945）；CVSS评分9.2，目前漏洞细节与PoC已公开，请相关用户尽快采取措施进行防护。

跳转微信打开

]]> Thu, 14 May 2026 18:33:28 +0800 【已复现】Linux内核Fragnesia权限提升漏洞（CVE-2026-46300） https://mp.weixin.qq.com/s?__biz=Mzk0MjE3ODkxNg==&mid=2247492593&idx=2&sn=564647c61e416fc272f49b45dec287ab 近日，绿盟科技CERT监测到网上披露了Linux内核Fragnesia权限提升漏洞（CVE-2026-46300）。CVSS评分7.8，目前漏洞细节与PoC已公开，请相关用户尽快采取措施进行防护。 原创 NS-CERT 2026-05-14 18:33 北京

近日，绿盟科技CERT监测到网上披露了Linux内核Fragnesia权限提升漏洞（CVE-2026-46300）。CVSS评分7.8，目前漏洞细节与PoC已公开，请相关用户尽快采取措施进行防护。

通告编号 NS-2026-0014

2026-05-14

TAG：

Linux、kernel、CVE-2026-46300

漏洞危害：

攻击者利用此漏洞，可实现系统权限提升。

版本：

1.0

1

漏洞概述

近日，绿盟科技CERT监测到网上披露了Linux内核Fragnesia权限提升漏洞（CVE-2026-46300），Fragnesia是Dirty Frag的一个新变种；由于ESP-in-TCP子系统在skb合并过程中对共享页面片段的处理存在逻辑缺陷，具有普通权限的本地攻击者可通过构造特定的splice+ULP触发序列向/usr/bin/su等关键二进制文件的页缓存注入任意字节，从而获取系统root权限。在多租户服务器、跳板机或容器云环境中，普通用户及容器内进程可借此实现本地提权或容器逃逸。CVSS评分7.8，目前漏洞细节与PoC已公开，请相关用户尽快采取措施进行防护。

注：该漏洞具有极高的稳定性和隐蔽性。攻击者通过运行简短脚本，即可精准篡改 su 等高权限程序在内存中的执行指令；由于该利用过程属于确定性逻辑触发，不依赖竞态条件，且仅篡改内存数据而不破坏磁盘原始文件，导致基于磁盘扫描的传统安全工具难以实时发现。

Linux内核是操作系统的核心组件，负责进程管理、内存管理、设备驱动、文件系统及网络协议栈等关键功能，广泛部署于服务器、桌面系统及嵌入式设备中。esp4和esp6模块是IPsec协议栈的核心组件，分别负责处理IPv4和IPv6的ESP（Encapsulating Security Payload）协议数据包，是实现IPsec的加密、认证和封装流量的关键机制。rxrpc模块是实现RxRPC（Remote Procedure Call over unreliable datagram networks）协议的核心组件，专为在不可靠的UDP网络上提供可靠的远程过程调用（RPC）通信而设计。

绿盟科技已成功复现此漏洞：

参考链接：

https://access.redhat.com/security/cve/CVE-2026-46300

SEE MORE →

2影响范围

受影响版本

• cef401de7be8 <= commit < 2026.5.13补丁内核版本

注：此漏洞从SKBFL_SHARED_FRAG机制引入，影响Ubuntu、Debian、RHEL、openSUSE、CentOS、AlmaLinux、Fedora、Arch Linux等绝大多数Linux发行版。

不受影响版本

注：可升级至各发行版应用上游补丁[PATCH net] net: skbuff: preserve shared-frag marker during coalescing的内核版本

3漏洞检测

3.1人工检测

Linux系统用户可以通过查看内核版本来判断当前系统是否在受影响范围内，查看操作系统版本信息命令如下：

cat /proc/version

image

可使用下列命令检查esp4/esp6/rxrpc模块的状态：

lsmod | grep -E '^(esp4|esp6|rxrpc)'

注：若系统内核在受影响范围且加载了相关模块，则存在安全风险。

4漏洞防护

4.1官方升级

目前官方已发布安全补丁修复此漏洞，请受影响的用户尽快更新进行防护，下载链接：https://lists.openwall.net/netdev/2026/05/13/79

4.2其他防护措施

若相关用户暂时无法进行升级更新，可使用以下措施进行临时防护：

1、相关用户可通过禁用esp4/esp6/rxrpc模块以阻断攻击面：

rmmod esp4 esp6 rxrpcprintf 'install esp4 /bin/false\ninstall esp6 /bin/false\ninstall rxrpc /bin/false\n' > /etc/modprobe.d/fragnesia.conf

2、在容器或云环境中，建议通过Seccomp配置禁止进程创建AF_ALG类型的套接字，拦截非特权用户命名空间创建，以防止逃逸风险。

3、监测/etc/passwd、/etc/sudoers、/etc/shadow、/usr/bin/su等关键文件异常篡改，限制普通用户splice、add_key、unshare等高风险调用。

END

声明

本安全公告仅用来描述可能存在的安全问题，绿盟科技不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，绿盟科技以及安全公告作者不为此承担任何责任。

绿盟科技拥有对此安全公告的修改和解释权。如欲转载或传播此安全公告，必须保证此安全公告的完整性，包括版权声明等全部内容。未经绿盟科技允许，不得任意修改或者增减此安全公告内容，不得以任何方式将其用于商业目的。

绿盟科技CERT∣微信公众号

长按识别二维码，关注网络安全威胁信息

跳转微信打开

]]> Thu, 14 May 2026 18:33:00 +0800 【安全更新】微软5月安全更新多个产品高危漏洞通告 https://mp.weixin.qq.com/s?__biz=Mzk0MjE3ODkxNg==&mid=2247492560&idx=1&sn=cf9c11c7f70d68ebdfcd3f105396ff92 5月13日，绿盟科技CERT监测到微软发布5月安全更新补丁，修复了137个安全问题，涉及Windows、Microsoft Office、Microsoft SQL Server、Visual Studio Code、Azure等广泛使用的产品，其中包括权限提升、远程代码执行等高危漏洞类型。 原创 NS-CERT 2026-05-13 17:56 四川

5月13日，绿盟科技CERT监测到微软发布5月安全更新补丁，修复了137个安全问题，涉及Windows、Microsoft Office、Microsoft SQL Server、Visual Studio Code、Azure等广泛使用的产品，其中包括权限提升、远程代码执行等高危漏洞类型。

通告编号 NS-2026-0013

2026-05-13

TAG：

安全更新、Windows、Office、SQL Server、Azure

漏洞危害：

攻击者利用本次安全更新中的漏洞，可造成权限提升、远程代码执行等

版本：

1.0

1

漏洞概述

5月13日，绿盟科技CERT监测到微软发布5月安全更新补丁，修复了137个安全问题，涉及Windows、Microsoft Office、Microsoft SQL Server、Visual Studio Code、Azure等广泛使用的产品，其中包括权限提升、远程代码执行等高危漏洞类型。

本月微软月度更新修复的漏洞中，严重程度为关键（Critical）的漏洞有30个，重要（Important）漏洞有103个，中危（Moderate）漏洞有3个，低危（Low）漏洞有1个。

请相关用户尽快更新补丁进行防护，完整漏洞列表请参考附录。

参考链接：

https://msrc.microsoft.com/update-guide/releaseNote/2026-May

SEE MORE →

2重点漏洞简述

根据产品流行度和漏洞重要性筛选出此次更新中包含影响较大的漏洞，请相关用户重点进行关注：

Windows Native WiFi Miniport Driver远程代码执行漏洞（CVE-2026-32161）：

由于Windows Native WiFi微型端口驱动程序中存在竞争条件和释放后重用（use-after-free）漏洞，攻击者可以使用共享资源进行并发处理触发竞态条件，从而在相邻网络上执行任意代码。CVSS评分7.5。

官方通告链接：

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-32161

Windows GDI远程代码执行漏洞（CVE-2026-35421）:

由于Windows 图形设备接口 (GDI) 中存在基于堆的缓冲区溢出漏洞，攻击者可以诱导用户使用Microsoft Paint打开特制的增强型图元文件 (EMF) 进行触发，从而在目标系统上执行任意代码。CVSS评分7.8。

官方通告链接：

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-35421

Windows Graphics Component远程代码执行漏洞（CVE-2026-40403）:

由于Windows图形组件Win32K中存在基于堆的缓冲区溢出漏洞，经过身份验证的攻击者可通过访问受影响的本地虚拟机接口触发漏洞，从而进行容器逃逸或代码执行。CVSS评分8.8。

官方通告链接：

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-40403

Microsoft Office远程代码执行漏洞（CVE-2026-40358）:

Microsoft Office 中存在释放后重用（use-after-free）漏洞，未经身份验证的攻击者可通过向用户发送特制的恶意文档，诱导用户预览或打开后会导致任意代码执行。CVSS评分8.4。

官方通告链接：

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-40358

Microsoft Office远程代码执行漏洞（CVE-2026-40363/CVE-2026-42831）:

Microsoft Office 中存在两个基于堆的缓冲区溢出漏洞，未经身份验证的攻击者向用户发送特制的恶意文档，诱导用户打开后造成任意代码执行。CVSS评分为8.4与7.8。

官方通告链接：

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-40363

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-42831

Microsoft Word远程代码执行漏洞（CVE-2026-40361/CVE-2026-40366）:

由于Microsoft Word中存在两个释放后重用（use-after-free）漏洞，未经身份验证的攻击者可通过诱导用户下载并预览或打开特制的文件，从而在用户上下文中执行代码。CVSS评分8.4。

官方通告链接：

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-40361

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-40366

Microsoft Word远程代码执行漏洞（CVE-2026-40364/CVE-2026-40367）:

由于Microsoft Word 中存在类型混淆和不可信指针解引用漏洞，未经身份验证的攻击者可通过向用户发送特制的恶意文件，诱导用户预览或点击后会导致任意代码执行。CVSS评分8.4。

官方通告链接：

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-40364

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-40367

Microsoft SharePoint Server远程代码执行漏洞（CVE-2026-40365）:

由于Microsoft SharePoint对访问控制粒度不足，具有站点所有者及以上权限的攻击者可以编写任意代码并进行注入，从而在SharePoint服务器上执行。CVSS评分8.8。

官方通告链接：

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-40365

Windows TCP/IP远程代码执行漏洞（CVE-2026-40415）:

Windows TCP/IP中存在远程代码执行漏洞，由于TCP/IP协议中的释放后重用（use-after-free）问题，未经身份验证的攻击者可通过发送特殊设计的恶意数据包利用此漏洞执行任意代码。CVSS评分8.1。

官方通告链接：

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-40415

Windows Netlogon远程代码执行漏洞（CVE-2026-41089）:

由于Windows Netlogon服务中存在基于栈的缓冲区溢出漏洞，未经身份验证的攻击者可以向充当域控制器的Windows服务器发送特制网络请求，从而在受影响的系统上执行代码。CVSS评分9.8。

官方通告链接：

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-41089

Windows DNS Client远程代码执行漏洞（CVE-2026-41096）:

由于Windows DNS客户端中存在基于堆的缓冲区溢出漏洞，未经身份验证的攻击者可通过发送特制的 DNS 响应来触发内存损坏，从而在受影响的系统上远程执行代码。CVSS评分9.8。

官方通告链接：

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-41096

Microsoft SSO Plugin for Jira & Confluence权限提升漏洞（CVE-2026-41103）:

由于Microsoft SSO Plugin for Jira&Confluence中的身份验证算法存在缺陷，未经身份验证的攻击者可通过发送伪造SSO响应绕过系统身份验证，从而获得用户的Jira或Confluence账户权限。CVSS评分9.1。

官方通告链接：

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-41103

Microsoft Dynamics 365 On-Premises远程代码执行漏洞（CVE-2026-42898）:

由于Microsoft Dynamics 365 (本地版) 中对代码生成的管控不严，经过身份验证的攻击者可通过修改Dynamics CRM中进程会话的保存状态，从而导致服务器执行恶意代码。CVSS评分9.9。

官方通告链接：

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-42898

3影响范围

以下为部分重点关注漏洞的受影响产品版本，其他漏洞影响产品范围请参阅官方通告链接。

漏洞编号

受影响产品版本

CVE-2026-32161

CVE-2026-35421

CVE-2026-40403

Windows 11 Version 25H2 for x64-based Systems

Windows 11 Version 25H2 for ARM64-based Systems

Windows Server 2025 (Server Core installation)

Windows 10 Version 22H2 for 32-bit Systems

Windows 10 Version 22H2 for ARM64-based Systems

Windows 10 Version 22H2 for x64-based Systems

Windows 10 Version 21H2 for x64-based Systems

Windows 10 Version 21H2 for ARM64-based Systems

Windows 10 Version 21H2 for 32-bit Systems

Windows Server 2022 (Server Core installation)

Windows Server 2022

Windows Server 2019 (Server Core installation)

Windows Server 2019

Windows 10 Version 1809 for x64-based Systems

Windows 10 Version 1809 for 32-bit Systems

Windows Server 2012 R2 (Server Core installation)

Windows Server 2012 R2

Windows Server 2012 (Server Core installation)

Windows Server 2012

Windows Server 2016 (Server Core installation)

Windows Server 2016

Windows 10 Version 1607 for x64-based Systems

Windows 10 Version 1607 for 32-bit Systems

Windows 11 Version 26H1 for ARM64-based Systems

Windows 11 version 26H1 for x64-based Systems

Windows Server 2025

Windows 11 Version 24H2 for x64-based Systems

Windows 11 Version 24H2 for ARM64-based Systems

Windows Server 2022, 23H2 Edition (Server Core installation)

Windows 11 Version 23H2 for x64-based Systems

Windows 11 Version 23H2 for ARM64-based Systems

CVE-2026-40358

Microsoft Office 2016 (64-bit edition)

Microsoft Office 2016 (32-bit edition)

Microsoft Office LTSC for Mac 2024

Microsoft Office LTSC 2024 for 64-bit editions

Microsoft Office LTSC 2024 for 32-bit editions

Microsoft Office LTSC 2021 for 32-bit editions

Microsoft Office LTSC 2021 for 64-bit editions

Microsoft Office LTSC for Mac 2021

Microsoft 365 Apps for Enterprise for 64-bit Systems

Microsoft 365 Apps for Enterprise for 32-bit Systems

Microsoft Office 2019 for 64-bit editions

Microsoft Office 2019 for 32-bit editions

CVE-2026-40363

Microsoft Office LTSC for Mac 2021

Microsoft 365 Apps for Enterprise for 64-bit Systems

Microsoft 365 Apps for Enterprise for 32-bit Systems

Microsoft Office 2019 for 64-bit editions

Microsoft Office 2019 for 32-bit editions

Microsoft Office for Android

Microsoft Office 2016 (64-bit edition)

Microsoft Office 2016 (32-bit edition)

Microsoft Office LTSC for Mac 2024

Microsoft Office LTSC 2024 for 64-bit editions

Microsoft Office LTSC 2024 for 32-bit editions

Microsoft Office LTSC 2021 for 32-bit editions

Microsoft Office LTSC 2021 for 64-bit editions

CVE-2026-42831

Microsoft Office LTSC for Mac 2024

Microsoft Office for Android

Microsoft Office LTSC for Mac 2021

CVE-2026-40361

CVE-2026-40364

CVE-2026-40366

Microsoft Word 2016 (64-bit edition)

Microsoft Word 2016 (32-bit edition)

Microsoft Office LTSC for Mac 2024

Microsoft Office LTSC 2024 for 64-bit editions

Microsoft Office LTSC 2024 for 32-bit editions

Microsoft Office LTSC 2021 for 32-bit editions

Microsoft Office LTSC 2021 for 64-bit editions

Microsoft Office LTSC for Mac 2021

Microsoft 365 Apps for Enterprise for 64-bit Systems

Microsoft 365 Apps for Enterprise for 32-bit Systems

Microsoft Office 2019 for 64-bit editions

Microsoft Office 2019 for 32-bit editions

CVE-2026-40367

Microsoft Word 2016 (64-bit edition)

Microsoft Word 2016 (32-bit edition)

Microsoft Office LTSC for Mac 2024

Microsoft Office LTSC 2024 for 64-bit editions

Microsoft Office LTSC 2024 for 32-bit editions

Microsoft SharePoint Server Subscription Edition

Microsoft Office LTSC 2021 for 32-bit editions

Microsoft Office LTSC 2021 for 64-bit editions

Microsoft Office LTSC for Mac 2021

Microsoft 365 Apps for Enterprise for 64-bit Systems

Microsoft 365 Apps for Enterprise for 32-bit Systems

Microsoft Office 2019 for 64-bit editions

Microsoft Office 2019 for 32-bit editions

Microsoft SharePoint Server 2019

Microsoft SharePoint Enterprise Server 2016

CVE-2026-40365

Microsoft SharePoint Server Subscription Edition

Microsoft SharePoint Server 2019

Microsoft SharePoint Enterprise Server 2016

CVE-2026-40415

Windows 11 Version 24H2 for x64-based Systems

Windows 11 Version 24H2 for ARM64-based Systems

Windows Server 2022, 23H2 Edition (Server Core installation)

Windows 11 Version 23H2 for x64-based Systems

Windows 11 Version 23H2 for ARM64-based Systems

Windows 11 Version 25H2 for x64-based Systems

Windows 11 Version 25H2 for ARM64-based Systems

Windows Server 2025 (Server Core installation)

Windows 10 Version 22H2 for 32-bit Systems

Windows 10 Version 22H2 for ARM64-based Systems

Windows 10 Version 22H2 for x64-based Systems

Windows 10 Version 21H2 for x64-based Systems

Windows 10 Version 21H2 for ARM64-based Systems

Windows 10 Version 21H2 for 32-bit Systems

Windows Server 2022 (Server Core installation)

Windows Server 2022

Windows 11 Version 26H1 for ARM64-based Systems

Windows 11 version 26H1 for x64-based Systems

Windows Server 2025

Windows Server 2019 (Server Core installation)

Windows Server 2019

Windows 10 Version 1809 for x64-based Systems

Windows 10 Version 1809 for 32-bit Systems

CVE-2026-41089

Windows Server 2012 R2 (Server Core installation)

Windows Server 2012 R2

Windows Server 2012 (Server Core installation)

Windows Server 2012

Windows Server 2016 (Server Core installation)

Windows Server 2016

Windows Server 2025

Windows Server 2022, 23H2 Edition (Server Core installation)

Windows Server 2025 (Server Core installation)

Windows Server 2022 (Server Core installation)

Windows Server 2022

Windows Server 2019 (Server Core installation)

Windows Server 2019

CVE-2026-41096

Windows 11 Version 26H1 for ARM64-based Systems

Windows 11 version 26H1 for x64-based Systems

Windows Server 2025

Windows 11 Version 24H2 for x64-based Systems

Windows 11 Version 24H2 for ARM64-based Systems

Windows Server 2022, 23H2 Edition (Server Core installation)

Windows 11 Version 23H2 for x64-based Systems

Windows 11 Version 23H2 for ARM64-based Systems

Windows 11 Version 25H2 for x64-based Systems

Windows 11 Version 25H2 for ARM64-based Systems

Windows Server 2025 (Server Core installation)

CVE-2026-41103

Microsoft Confluence SAML SSO plugin

Microsoft JIRA SAML SSO plugin

CVE-2026-42898

Microsoft Dynamics 365 (on-premises) version 9.1

4漏洞防护

补丁更新

目前微软官方已针对受支持的产品版本发布了修复以上漏洞的安全补丁，强烈建议受影响用户尽快安装补丁进行防护，官方下载链接：

https://msrc.microsoft.com/update-guide/releaseNote/2026-May

注：由于网络问题、计算机环境问题等原因，Windows Update的补丁更新可能出现失败。用户在安装补丁后，应及时检查补丁是否成功更新。

右键点击Windows图标，选择“设置(N)”，选择“更新和安全”-“Windows更新”，查看该页面上的提示信息，也可点击“查看更新历史记录”查看历史更新情况。

针对未成功安装的更新，可点击更新名称跳转到微软官方下载页面，建议用户点击该页面上的链接，转到“Microsoft更新目录”网站下载独立程序包并安装。

附录：漏洞列表

影响产品

CVE编号

漏洞标题

严重程度

Azure

CVE-2026-40379

Microsoft Enterprise Security Token Service (ESTS)欺骗漏洞

Critical

Azure

CVE-2026-32207

Azure Machine Learning Notebook欺骗漏洞

Critical

Azure

CVE-2026-33109

Azure Managed Instance for Apache Cassandra远程代码执行漏洞

Critical

Windows

CVE-2026-35421

Windows GDI远程代码执行漏洞

Critical

Microsoft Office

CVE-2026-40363

Microsoft Office远程代码执行漏洞

Critical

Microsoft Office

CVE-2026-40364

Microsoft Word远程代码执行漏洞

Critical

Microsoft Office

CVE-2026-40366

Microsoft Word远程代码执行漏洞

Critical

Windows

CVE-2026-41089

Windows Netlogon远程代码执行漏洞

Critical

Windows

CVE-2026-41096

Windows DNS Client远程代码执行漏洞

Critical

Windows

CVE-2026-32161

Windows Native WiFi Miniport Driver远程代码执行漏洞

Critical

Microsoft Office

CVE-2026-42831

Microsoft Office远程代码执行漏洞

Critical

Microsoft Dynamics

CVE-2026-42898

Microsoft Dynamics 365 On-Premises远程代码执行漏洞

Critical

Microsoft Office

CVE-2026-40358

Microsoft Office远程代码执行漏洞

Critical

Microsoft Office

CVE-2026-40361

Microsoft Word远程代码执行漏洞

Critical

Microsoft Office

CVE-2026-40365

Microsoft SharePoint Server远程代码执行漏洞

Critical

Microsoft Office

CVE-2026-40367

Microsoft Word远程代码执行漏洞

Critical

Windows

CVE-2026-40402

Windows Hyper-V权限提升漏洞

Critical

Azure

CVE-2026-41103

Microsoft SSO Plugin for Jira & Confluence权限提升漏洞

Critical

Microsoft Dynamics

CVE-2026-33821

Microsoft Dynamics 365 Customer Insights权限提升漏洞

Critical

Apps

CVE-2026-26129

M365 Copilot信息泄露漏洞

Critical

Copilot Chat (Microsoft Edge)

CVE-2026-33111

Copilot Chat (Microsoft Edge)信息泄露漏洞

Critical

Apps

CVE-2026-26164

M365 Copilot信息泄露漏洞

Critical

Microsoft Office

CVE-2026-33823

Microsoft Team Events Portal信息泄露漏洞

Critical

Azure

CVE-2026-33844

Azure Managed Instance for Apache Cassandra远程代码执行漏洞

Critical

Azure

CVE-2026-34327

Microsoft Partner Center欺骗漏洞

Critical

Azure

CVE-2026-35428

Azure Cloud Shell欺骗漏洞

Critical

Azure

CVE-2026-35435

Azure AI Foundry权限提升漏洞

Critical

Azure DevOps

CVE-2026-42826

Azure DevOps信息泄露漏洞

Critical

Azure

CVE-2026-41105

Azure Monitor Action Group Notification System权限提升漏洞

Critical

Windows

CVE-2026-40403

Windows Graphics Component远程代码执行漏洞

Critical

Azure

CVE-2026-32204

Azure Monitor Agent权限提升漏洞

Important

Microsoft .NET Framework,.NET 9.0 installed on Windows,.NET 10.0 installed on Windows,Microsoft Visual Studio,.NET 8.0 installed on Windows

CVE-2026-32177

.NET权限提升漏洞

Important

Windows

CVE-2026-21530

Windows Rich Text Edit权限提升漏洞

Important

Azure

CVE-2026-33117

Azure SDK for Java安全功能绕过漏洞

Important

Windows

CVE-2026-33834

Windows Event Logging Service权限提升漏洞

Important

Windows

CVE-2026-33839

Win32k权限提升漏洞

Important

Windows

CVE-2026-33840

Win32k权限提升漏洞

Important

Windows

CVE-2026-33841

Windows Kernel权限提升漏洞

Important

Windows

CVE-2026-34329

Microsoft Message Queuing (MSMQ)远程代码执行漏洞

Important

Windows

CVE-2026-34330

Win32k权限提升漏洞

Important

Windows

CVE-2026-34331

Win32k权限提升漏洞

Important

Windows

CVE-2026-34333

Windows Win32k权限提升漏洞

Important

Windows

CVE-2026-34342

Windows Print Spooler权限提升漏洞

Important

Windows

CVE-2026-34343

Windows Application Identity (AppID) Subsystem权限提升漏洞

Important

Windows

CVE-2026-34344

Windows Ancillary Function Driver for WinSock权限提升漏洞

Important

Windows

CVE-2026-34345

Windows Ancillary Function Driver for WinSock权限提升漏洞

Important

Windows

CVE-2026-34347

Windows Win32k权限提升漏洞

Important

Windows

CVE-2026-34350

Windows Storport Miniport Driver拒绝服务漏洞

Important

Windows

CVE-2026-34351

Windows TCP/IP权限提升漏洞

Important

Windows

CVE-2026-35415

Windows Storage Spaces Controller权限提升漏洞

Important

Windows

CVE-2026-35416

Windows Ancillary Function Driver for WinSock权限提升漏洞

Important

Windows

CVE-2026-35417

Windows Win32k权限提升漏洞

Important

Windows

CVE-2026-35418

Windows Cloud Files Mini Filter Driver权限提升漏洞

Important

Windows

CVE-2026-35419

Windows DWM Core Library Information Disclosure Vulnerability

Important

Windows

CVE-2026-35420

Windows Kernel权限提升漏洞

Important

Windows

CVE-2026-35422

Windows TCP/IP Driver安全功能绕过漏洞

Important

Windows

CVE-2026-35423

Windows 11 Telnet Client信息泄露漏洞

Important

Windows

CVE-2026-35424

Internet Key Exchange (IKE) Protocol拒绝服务漏洞

Important

.NET 8.0 installed on Windows,.NET 10.0 installed on Windows,.NET 9.0 installed on Windows

CVE-2026-35433

.NET权限提升漏洞

Important

Windows

CVE-2026-35438

Windows Admin Center权限提升漏洞

Important

Microsoft Office

CVE-2026-35439

Microsoft SharePoint Server远程代码执行漏洞

Important

Microsoft Office

CVE-2026-35440

Microsoft Word信息泄露漏洞

Important

Microsoft Office

CVE-2026-40360

Microsoft Excel信息泄露漏洞

Important

Microsoft Office

CVE-2026-40368

Microsoft SharePoint Server远程代码执行漏洞

Important

Microsoft Dynamics

CVE-2026-40374

Microsoft Power Automate Desktop信息泄露漏洞

Important

Windows

CVE-2026-40377

Microsoft Cryptographic Services权限提升漏洞

Important

Windows

CVE-2026-40380

Windows Volume Manager Extension Driver远程代码执行漏洞

Important

Windows

CVE-2026-40399

Windows TCP/IP权限提升漏洞

Important

Windows

CVE-2026-40405

Windows TCP/IP拒绝服务漏洞

Important

Windows

CVE-2026-40406

Windows TCP/IP信息泄露漏洞

Important

Windows

CVE-2026-40407

Windows Common Log File System Driver权限提升漏洞

Important

Windows

CVE-2026-40408

Windows WAN ARP Driver权限提升漏洞

Important

Windows

CVE-2026-40410

Windows SMB Client权限提升漏洞

Important

Windows

CVE-2026-40414

Windows TCP/IP拒绝服务漏洞

Important

Windows

CVE-2026-40415

Windows TCP/IP远程代码执行漏洞

Important

Microsoft Dynamics

CVE-2026-40417

Microsoft Dynamics 365 Business Central权限提升漏洞

Important

Microsoft Office

CVE-2026-40419

Microsoft Office Click-To-Run权限提升漏洞

Important

Microsoft Office

CVE-2026-40421

Microsoft Word信息泄露漏洞

Important

Windows

CVE-2026-41088

Windows Ancillary Function Driver for WinSock权限提升漏洞

Important

Microsoft Data Formulator

CVE-2026-41094

Microsoft Data Formulator远程代码执行漏洞

Important

Windows

CVE-2026-41095

Data Deduplication权限提升漏洞

Important

Apps

CVE-2026-41100

Microsoft 365 Copilot for Android欺骗漏洞

Important

Apps

CVE-2026-41101

Microsoft Word for Android欺骗漏洞

Important

Microsoft Office

CVE-2026-41102

Microsoft PowerPoint for Android欺骗漏洞

Important

Visual Studio Code

CVE-2026-41109

GitHub Copilot and Visual Studio Code安全功能绕过漏洞

Important

Visual Studio Code

CVE-2026-41610

Visual Studio Code安全功能绕过漏洞

Important

Visual Studio Code

CVE-2026-41611

Visual Studio Code远程代码执行漏洞

Important

Visual Studio Code - Live Preview extension

CVE-2026-41612

Visual Studio Code信息泄露漏洞

Important

Apps

CVE-2026-41614

M365 Copilot for Desktop欺骗漏洞

Important

Windows

CVE-2026-32170

Windows Rich Text Edit权限提升漏洞

Important

Microsoft Office

CVE-2026-32185

Microsoft Teams欺骗漏洞

Important

.NET 8.0 installed on Windows,.NET 10.0 installed on Windows,.NET 9.0 installed on Windows,Microsoft Visual Studio

CVE-2026-32175

.NET Core篡改漏洞

Important

Windows

CVE-2026-42825

Windows Telephony Service权限提升漏洞

Important

Windows

CVE-2026-42896

Windows DWM Core Library权限提升漏洞

Important

.NET 10.0 installed on Linux,.NET 9.0 installed on Mac OS,.NET 9.0 installed on Windows,.NET 10.0 installed on Mac OS,.NET 8.0 installed on Mac OS,.NET 10.0 installed on Windows,.NET 8.0 installed on Linux,.NET 8.0 installed on Windows,.NET 9.0 installed on Linux

CVE-2026-42899

ASP.NET Core拒绝服务漏洞

Important

Microsoft Office

CVE-2026-33110

Microsoft SharePoint Server远程代码执行漏洞

Important

Microsoft Office

CVE-2026-33112

Microsoft SharePoint Server远程代码执行漏洞

Important

Azure

CVE-2026-33833

Azure Machine Learning Notebook欺骗漏洞

Important

Windows

CVE-2026-33835

Windows Cloud Files Mini Filter Driver权限提升漏洞

Important

Windows

CVE-2026-33837

Windows TCP/IP Local权限提升漏洞

Important

Windows

CVE-2026-33838

Windows Message Queuing (MSMQ)权限提升漏洞

Important

Windows

CVE-2026-34332

Windows Kernel-Mode Driver远程代码执行漏洞

Important

Windows

CVE-2026-34334

Windows TCP/IP权限提升漏洞

Important

Windows

CVE-2026-34336

Windows DWM Core Library Information Disclosure Vulnerability

Important

Windows

CVE-2026-34337

Windows Cloud Files Mini Filter Driver权限提升漏洞

Important

Windows

CVE-2026-34338

Windows Telephony Service权限提升漏洞

Important

Windows

CVE-2026-34339

Windows Lightweight Directory Access Protocol (LDAP)拒绝服务漏洞

Important

Windows

CVE-2026-34340

Windows Projected File System权限提升漏洞

Important

Windows

CVE-2026-34341

Windows Link-Layer Discovery Protocol (LLDP)权限提升漏洞

Important

Microsoft Office

CVE-2026-40357

Microsoft SharePoint Server远程代码执行漏洞

Important

Microsoft Office

CVE-2026-40359

Microsoft Excel远程代码执行漏洞

Important

Microsoft Office

CVE-2026-40362

Microsoft Excel远程代码执行漏洞

Important

Microsoft SQL Server

CVE-2026-40370

SQL Server远程代码执行漏洞

Important

Windows

CVE-2026-40369

Windows Kernel权限提升漏洞

Important

Windows

CVE-2026-40382

Windows Telephony Service权限提升漏洞

Important

Windows

CVE-2026-40397

Windows Common Log File System Driver权限提升漏洞

Important

Windows

CVE-2026-32209

Windows Filtering Platform (WFP)安全功能绕过漏洞

Important

Windows

CVE-2026-40398

Windows Remote Desktop Services权限提升漏洞

Important

Windows

CVE-2026-40401

Windows TCP/IP拒绝服务漏洞

Important

Windows

CVE-2026-40413

Windows TCP/IP拒绝服务漏洞

Important

Microsoft Office

CVE-2026-40418

Microsoft Office Click-To-Run权限提升漏洞

Important

Microsoft Office

CVE-2026-35436

Microsoft Office Click-To-Run权限提升漏洞

Important

Microsoft Office

CVE-2026-40420

Microsoft Office Click-To-Run权限提升漏洞

Important

Windows

CVE-2026-41097

Secure Boot安全功能绕过漏洞

Important

Azure

CVE-2026-40381

Azure Connected Machine Agent权限提升漏洞

Important

Visual Studio Code

CVE-2026-41613

Visual Studio Code权限提升漏洞

Important

Azure

CVE-2026-42823

Azure Logic Apps权限提升漏洞

Important

Azure

CVE-2026-42830

Azure Monitor Agent Metrics Extension权限提升漏洞

Important

Apps,Microsoft Office

CVE-2026-42832

Microsoft Office欺骗漏洞

Important

Microsoft Dynamics

CVE-2026-42833

Microsoft Dynamics 365 On-Premises远程代码执行漏洞

Important

Microsoft Edge (Chromium-based)

CVE-2026-42838

Microsoft Edge (Chromium-based)权限提升漏洞

Important

Microsoft Office

CVE-2026-42893

Microsoft Outlook for iOS篡改漏洞

Important

Azure

CVE-2026-41086

Windows Admin Center in Azure Portal权限提升漏洞

Important

Microsoft Edge (Chromium-based)

CVE-2026-41107

Microsoft Edge (Chromium-based)信息泄露漏洞

Moderate

Microsoft Edge for Android

CVE-2026-42891

Microsoft Edge (Chromium-based) for Android欺骗漏洞

Moderate

Microsoft Edge for Android

CVE-2026-35429

Microsoft Edge (Chromium-based) for Android欺骗漏洞

Moderate

Microsoft Edge (Chromium-based)

CVE-2026-40416

Microsoft Edge (Chromium-based) for Android欺骗漏洞

Low

END

声明

本安全公告仅用来描述可能存在的安全问题，绿盟科技不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，绿盟科技以及安全公告作者不为此承担任何责任。

绿盟科技拥有对此安全公告的修改和解释权。如欲转载或传播此安全公告，必须保证此安全公告的完整性，包括版权声明等全部内容。未经绿盟科技允许，不得任意修改或者增减此安全公告内容，不得以任何方式将其用于商业目的。

绿盟科技CERT∣微信公众号

长按识别二维码，关注网络安全威胁信息

跳转微信打开

]]> Wed, 13 May 2026 17:56:00 +0800 【漏洞通告】Linux内核权限提升漏洞（Dirty Frag） https://mp.weixin.qq.com/s?__biz=Mzk0MjE3ODkxNg==&mid=2247492267&idx=1&sn=7cfc3683a6dd463030f8bfa2c6806ccf 近日，绿盟科技CERT监测到网上披露了Linux内核权限提升漏洞（Dirty Frag），攻击者利用splice系统调用配合xfrm-ESP或RxRPC协议栈的逻辑缺陷，无需竞争条件即可获取系统root权限。CVSS评分7.8，目前漏洞细节与PoC已公开，请相关用户尽快采取措施进行防护。 原创 NS-CERT 2026-05-08 13:56 四川

近日，绿盟科技CERT监测到网上披露了Linux内核权限提升漏洞（Dirty Frag），攻击者利用splice系统调用配合xfrm-ESP或RxRPC协议栈的逻辑缺陷，无需竞争条件即可获取系统root权限。CVSS评分7.8，目前漏洞细节与PoC已公开，请相关用户尽快采取措施进行防护。

通告编号 NS-2026-0012

2026-05-08

TAG：

Linux、kernel、Dirty Frag

漏洞危害：

攻击者利用此漏洞，可实现系统权限提升。

版本：

1.0

1

漏洞概述

近日，绿盟科技CERT监测到网上披露了Linux内核权限提升漏洞（Dirty Frag），攻击者利用splice系统调用配合xfrm-ESP或RxRPC协议栈的逻辑缺陷，无需竞争条件即可篡改任意只读文件的页缓存获取系统root权限，在多租户服务器、跳板机或容器云环境中，普通用户及容器内进程可借此实现本地提权或容器逃逸。CVSS评分7.8，目前漏洞细节与PoC已公开，请相关用户尽快采取措施进行防护。

xfrm-ESP Page-Cache Write：由于esp4/esp6模块中存在逻辑缺陷，具有创建用户命名空间权限的本地攻击者可通过Netlink接口构造特制的ESP数据包篡改页缓存，从而修改关键系统文件获取root权限。

RxRPC Page-Cache Write：由于rxrpc模块存在逻辑缺陷，具有普通权限的本地攻击者可通过创建AF_RXRPC套接字构造特殊RxRPC调用篡改页缓存，从而修改关键系统文件获取root权限。

注：该漏洞具有极高的稳定性和隐蔽性。攻击者通过运行简单脚本，即可精准篡改系统任意只读文件的页缓存；由于该利用过程属于确定性逻辑触发，不依赖竞态条件，且仅篡改内存数据而不破坏磁盘原始文件，导致基于磁盘扫描的传统安全工具难以实时发现。

Linux内核是操作系统的核心组件，负责进程管理、内存管理、设备驱动、文件系统及网络协议栈等关键功能，广泛部署于服务器、桌面系统及嵌入式设备中。esp4和esp6模块是IPsec协议栈的核心组件，分别负责处理IPv4和IPv6的ESP（Encapsulating Security Payload）协议数据包，是实现IPsec的加密、认证和封装流量的关键机制。rxrpc模块是实现RxRPC（Remote Procedure Call over unreliable datagram networks）协议的核心组件，专为在不可靠的UDP网络上提供可靠的远程过程调用（RPC）通信而设计。

目前已在多个Linux发行版复现此漏洞：

image

参考链接：

https://www.openwall.com/lists/oss-security/2026/05/07/8

SEE MORE →

2影响范围

受影响版本

xfrm-ESP Page-Cache Write：

• Linux kernel  >= 4.11（commit cac2661c53f3，2017-01-17引入）

RxRPC Page-Cache Write：

• Linux kernel >= 6.5（commit 2dc334f1a63a，2023-06引入）

注：影响Ubuntu、Debian、RHEL、openSUSE、CentOS、AlmaLinux、Fedora、Arch Linux等绝大多数Linux发行版。

3漏洞检测

人工检测

Linux系统用户可以通过查看内核版本来判断当前系统是否在受影响范围内，查看操作系统版本信息命令如下：

cat /proc/version

image

可使用下列命令检查esp4/esp6/rxrpc模块的状态：

lsmod | grep -E '^(esp4|esp6|rxrpc)

注：若系统内核在受影响范围且加载了相关模块，则存在安全风险。

4漏洞防护

官方升级

目前官方暂未正式发布更新修复上述漏洞，请受影响的用户关注新版本动态并及时更新，下载链接：https://kernel.org/

其他防护措施

在不影响业务的情况下，可使用以下措施进行临时防护：

1、相关用户可通过禁用esp4/esp6/rxrpc模块以阻断攻击面：

sh -c "printf 'install esp4 /bin/false\ninstall esp6 /bin/false\ninstall rxrpc /bin/false\n' > /etc/modprobe.d/dirtyfrag.conf; rmmod esp4 esp6 rxrpc 2>/dev/null; true"

2、在容器或云环境中，建议通过Seccomp配置禁止进程创建AF_ALG类型的套接字，拦截非特权用户命名空间创建，以防止逃逸风险。

3、监测/etc/passwd、/etc/sudoers、/etc/shadow、/usr/bin/su等关键文件异常篡改，限制普通用户splice、add_key、unshare等高风险调用。

END

声明

本安全公告仅用来描述可能存在的安全问题，绿盟科技不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，绿盟科技以及安全公告作者不为此承担任何责任。

绿盟科技拥有对此安全公告的修改和解释权。如欲转载或传播此安全公告，必须保证此安全公告的完整性，包括版权声明等全部内容。未经绿盟科技允许，不得任意修改或者增减此安全公告内容，不得以任何方式将其用于商业目的。

绿盟科技CERT∣微信公众号

长按识别二维码，关注网络安全威胁信息

跳转微信打开

]]> Fri, 08 May 2026 13:56:00 +0800 【已复现】Linux内核权限提升漏洞（CVE-2026-31431） https://mp.weixin.qq.com/s?__biz=Mzk0MjE3ODkxNg==&mid=2247492097&idx=1&sn=718add4ed82d4ce779728a3ac56c09c7 近日，绿盟科技CERT监测到网上披露了Linux内核权限提升漏洞（CVE-2026-31431），被命名为"Copy Fail"。CVSS评分7.8，目前漏洞细节与PoC已公开，请相关用户尽快采取措施进行防护。 原创 NS-CERT 2026-04-30 12:07 北京

近日，绿盟科技CERT监测到网上披露了Linux内核权限提升漏洞（CVE-2026-31431），被命名为"Copy Fail"。CVSS评分7.8，目前漏洞细节与PoC已公开，请相关用户尽快采取措施进行防护。

通告编号 NS-2026-0011

2026-04-30

TAG：

Linux、kernel、CVE-2026-31431

漏洞危害：

攻击者利用此漏洞，可实现系统权限提升。

版本：

1.0

1

漏洞概述

近日，绿盟科技CERT监测到网上披露了Linux内核权限提升漏洞（CVE-2026-31431），被命名为"Copy Fail"；由于algif_aead子系统在AEAD解密过程和splice() 系统调用时存在逻辑缺陷，具有普通权限的本地攻击者可通过构造特定的AF_ALG socket操作序列篡改任意可读文件（setuid等）在内存中的页缓存副本，从而实现从普通用户提升至root权限。在多租户服务器、跳板机或容器云环境中，普通用户及容器内进程可借此实现本地提权或容器逃逸。CVSS评分7.8，目前漏洞细节与PoC已公开，请相关用户尽快采取措施进行防护。

注：该漏洞具有极高的稳定性和隐蔽性。攻击者通过运行简短脚本，即可精准篡改 su 等高权限程序在内存中的执行指令；由于该利用过程属于确定性逻辑触发，不依赖竞态条件，且仅篡改内存数据而不破坏磁盘原始文件，导致基于磁盘扫描的传统安全工具难以实时发现。

Linux内核是操作系统的核心组件，负责进程管理、内存管理、设备驱动、文件系统及网络协议栈等关键功能，广泛部署于服务器、桌面系统及嵌入式设备中。AF_ALG是Linux内核提供的一个socket接口，允许无特权用户空间程序直接调用内核加密子系统（如AES、SHA256等），无需用户态加密库，常用于高性能网络协议（如IPsec）和安全应用。

绿盟科技已在多个Linux发行版复现此漏洞：

image

image

参考链接：

https://copy.fail/

https://www.openwall.com/lists/oss-security/2026/04/29/26

SEE MORE →

2影响范围

受影响版本

• 72548b093ee3 <= commit < a664bf3d603d

注：此漏洞从2017年引入，影响Ubuntu、Amazon Linux、Debian、CentOS、RHEL、SUSE、Fedora等绝大多数Linux发行版。

不受影响版本

• Linux Kernel >= 6.18.22

• Linux Kernel >= 6.19.12

• Linux Kernel  >= 7.0

注：可升级至各发行版集成commit补丁a664bf3d603d的内核版本

3漏洞检测

人工检测

Linux系统用户可以通过查看内核版本来判断当前系统是否在受影响范围内，查看操作系统版本信息命令如下：

cat /proc/version

可使用下列命令检查algif_aead模块的状态：

lsmod | grep algif_aead

注：若系统内核在受影响范围且加载了该模块，则存在安全风险。

4漏洞防护

官方升级

目前官方已发布新版本与安全补丁修复此漏洞，请受影响的用户尽快更新进行防护，下载链接：

Linux Kernel 6.18.22

https://git.kernel.org/stable/c/fafe0fa2995a0f7073c1c358d7d3145bcc9aedd8

Linux Kernel 6.19.12

https://git.kernel.org/stable/c/ce42ee423e58dffa5ec03524054c9d8bfd4f6237

Linux Kernel 7.0

https://git.kernel.org/stable/c/a664bf3d603dc3bdcf9ae47cc21e0daec706d7a5

其他防护措施

若相关用户暂时无法进行升级更新，可使用以下措施进行临时防护：

1、在不影响业务的情况下，可通过禁用algif_aead模块以阻断攻击面：

echo "install algif_aead /bin/false" > /etc/modprobe.d/disable-algif-aead.conf && rmmod algif_aead 2>/dev/null

2、在容器或CI/CD环境，建议通过Seccomp配置禁止进程创建AF_ALG类型的套接字，以防止容器逃逸风险。

END

声明

本安全公告仅用来描述可能存在的安全问题，绿盟科技不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，绿盟科技以及安全公告作者不为此承担任何责任。

绿盟科技拥有对此安全公告的修改和解释权。如欲转载或传播此安全公告，必须保证此安全公告的完整性，包括版权声明等全部内容。未经绿盟科技允许，不得任意修改或者增减此安全公告内容，不得以任何方式将其用于商业目的。

绿盟科技CERT∣微信公众号

长按识别二维码，关注网络安全威胁信息

跳转微信打开

]]> Thu, 30 Apr 2026 12:07:00 +0800 【安全事件】Xinference PyPI遭供应链投毒预警通告 https://mp.weixin.qq.com/s?__biz=Mzk0MjE3ODkxNg==&mid=2247491567&idx=1&sn=4236691c1769df83faa19631eb56d24d 近日，绿盟科技CERT监测到Xinference在PyPI仓库遭受了供应链投毒，攻击者通过窃取Xinference维护人员的PyPI发布权限凭证，于北京时间4月22日连续发布了3个植入木马的恶意版本，影响范围较广，请相关用户尽快采取措施进行排查与防护。 原创 NS-CERT 2026-04-24 09:36 四川

近日，绿盟科技CERT监测到Xinference在PyPI仓库遭受了供应链投毒，攻击者通过窃取Xinference维护人员的PyPI发布权限凭证，于北京时间4月22日连续发布了3个植入木马的恶意版本，影响范围较广，请相关用户尽快采取措施进行排查与防护。

文档编号 NS-2026-0010

2026-04-24

TAG：

Xinference、PyPI、供应链攻击

危害程度：

高

版本：

1.0

1

事件概述

近日，绿盟科技CERT监测到Xinference在PyPI仓库遭受了供应链投毒，攻击者通过窃取Xinference维护人员的PyPI发布权限凭证，于北京时间4月22日连续发布了3个植入木马的恶意版本，当用户触发后会收集主机上的云凭证、SSH密钥、API 令牌、数据库密码、加密货币钱包及环境变量配置等敏感数据，并打包发送至攻击者的C2服务器；影响范围较广，请相关用户尽快采取措施进行排查与防护。

Xinference（Xorbits Inference）是一个开源的分布式AI模型推理框架，专为语言、语音识别和多模态模型的部署与管理而设计，广泛用于AI开发、研究和私有化大模型部署。

参考链接：

https://research.jfrog.com/post/xinference-compromise/

SEE MORE →

2影响范围

受影响版本

• Xinference = 2.6.0

• Xinference = 2.6.1

• Xinference = 2.6.2

注：Xinference在PyPI仓库的总下载量已超过68万次，安装使用了上述3个恶意版本的用户受影响。

不受影响版本

• Xinference <= 2.5.0

注：请关注官方的版本发布动态，下载链接：https://github.com/xorbitsai/inference/releases

3事件分析

事件时间线

2026年4月13日：Xinference官方发布2.5.0版本

2026年4月22日：攻击者在PyPI发布3个恶意版本，有用户报告可疑行为

2026年4月22日：JFrog发布分析报告，TeamPCP声明称第三方冒用其名义作案

2026年4月23日：绿盟科技CERT发布事件预警

此次攻击者针对Xinference的供应链投毒应为通过获取Xinference维护人员的PyPI权限凭证实现，其在项目的__init__.py模块文件中植入了经过多层Base64编码的恶意代码，当用户安装受影响的xinference库或执行import xinference时，Python解释器会加载__init__.py，其中的恶意载荷会自动解码并在内存中执行；解码后的载荷注释开头有# hacked by teampcp标识，可能与近期TeamPCP入侵事件中出现的参与者标记有关，但TeamPCP通过社交账号否认实施本次攻击并称为第三方蓄意模仿作案。有用户发现异常行为后在项目GitHub issue进行询问，Xinference维护者确认并紧急下架了相关恶意版本。

恶意版本行为

Xinference 3个恶意版本中的__init__.py在Python中导入时会执行代码，创建名为“test”的变量和包含base64编码的有效载荷，并对其进行解码和传入subprocess.Popen执行：

Stage1

1、创建临时目录；

2、对第二阶段收集器进行解码并派生一个分离的子Python解释器进程

3、将子进程的标准输出写入临时文件并压缩成love.tar.gz

4、使用curl命令携带自定义HTTP头X-QT-SR: 14将收集的数据上传至攻击者服务器https://whereisitat.lucyatemysuperbox.space

5、进行异常处理、抑制stdout/stderr以及清理临时文件从而实现隐蔽性

Stage2

1、获取目标主机的当前用户、设备、IP 地址、网络接口、环境变量和 SSH 密钥等信息

2、提取配置文件：.env、.npmrc/.pypirc、AWS、Kubernetes、Google Cloud、Docker、数据库配置

3、收集密钥凭证：SSH密钥、SSL证书、Git 凭证、AWS/Azure/GCP云凭证、Slack密钥、Discord密钥Slack密钥、Discord密钥、数据库密码

4、获取基础设施：Terraform、Helm、WireGuard配置

5、其他信息：shell历史记录、加密货币钱包、本地账户数据

AWS特有利用行为

主动探测云元数据服务169.254.169.254/169.254.170.2，检索IMDSv2令牌及IAM角色凭证，抓取临时云凭证并尝试调用Secrets Manager和SSM获取云环境中的敏感信息。

image

木马执行流程（图源ox.security）

4风险排查

相关用户可根据下列步骤进行排查：

1、检查当前Xinference版本：
pip show xinference | grep Version
2、如果为恶意版本，立即降至安全版本：
pip install xinference==2.5.0 -y

若确认环境中存在恶意包，应立即下线受感染资产，对主机进行物理或逻辑隔离。

#清理pip缓存：
pip cache purge
#检查site-packages下的xinference目录是否有残留：
python -c "import site; print(site.getsitepackages())"
find <上述 site-packages 路径> -path "*xinference*" 2>/dev/null
若发现残留文件，需递归删除整个xinference目录及关联egg-info；同时检查~/.xinference/配置目录是否被篡改，清空其内容并重建权限。最后验证pip list输出中无xinference条目，运行python -c "import xinference"应报ImportError，确保彻底清除。

排查是否存在异常外连行为或C2通信痕迹，日志中是否出现对169.254.169.254/169.254.170.2的请求；用户可在host文件中增加配置：127.0.0.1 whereisitat.lucyatemysuperbox.space，以阻断攻击者恶意域名。

审查服务器登录日志与敏感文件，检查是否有异常登录和后门遗留：

#检查SSH密钥是否被异常访问或修改：
ls -la ~/.ssh/id_rsa ~/.ssh/authorized_keys 2>/dev/null
#检查shell历史记录中是否存在异常的curl / wget / base64解码命令：
grep -E "curl|wget|base64" ~/.bash_history ~/.zsh_history 2>/dev/null
#检查环境变量中是否有敏感信息：
env | grep -E "SECRET|TOKEN|PASSWORD|KEY"

5总结与建议

本次事件再次为AI生态和开源社区敲醒了安全警钟，供应链安全不再只是传统开发的可选项，已逐渐成为AI时代的核心基建，各单位务须建立常态化开源组件安全审计机制，构建完善的供应链安全治理体系以预防此类威胁。

建议受影响的用户可采取下列措施进行处理：

1、撤销并轮换所有的SSH密钥、云服务凭证、API Key、证书密钥、k8s令牌、数据库密码、加密货币钱包等凭证；

2、封禁并排查恶意IoC

3、对PyPI和GitHub等平台账号开启双因素验证并定期轮换凭据

4、搭建内部私有PyPI镜像，安全扫描验证签名后再同步

5、建立常态化开源组件安全审计机制，增加发布前的多重审批流程

6、订阅PyPI安全警报、GitHub Security Advisories等进行供应链监控

6IOCs

恶意文件

文件名：xinference-2.6.0.tar.gz

MD5：971670c10eff28339a085ca50a600e35

文件名：xinference-2.6.0-py3-none-any.whl

MD5：3ee893ae46530b92e0d26435fb979d82

文件名：xinference-2.6.1.tar.gz

MD5：9b3257e45b27a6bbe4e240e41a3a306f

文件名：xinference-2.6.1-py3-none-any.whl

MD5：e291734d46c313a23d676681499f8846

文件名：xinference-2.6.2.tar.gz

MD5：484067fd6232f7cdd7b664b33857fc2c

文件名：xinference-2.6.2-py3-none-any.whl

MD5：c6ce4e25f7fe3e3bb1eea2e9052483bf

文件名：xinference/__init__.py

SHA256: 

e1e007ce4eab7774785617179d1c01a9381ae83abfd431aae8dba6f82d3ac127

一次解码后SHA256：

077d49fa708f498969d7cdffe701eb64675baaa4968ded9bd97a4936dd56c21c

二次解码后SHA256：

fe17e2ea4012d07d90ecb7793c1b0593a6138d25a393192263e751660ec3cd0

临时存档文件：love.tar.gz

文本标记字符串：# hacked by teampcp

恶意域名

whereisitat.lucyatemysuperbox.space

恶意URL

hxxps://whereisitat.lucyatemysuperbox.space

其他

HTTP头：X-QT-SR: 14

最后的宣传彩蛋：

图片

安全情报通告服务：

绿盟科技CERT日常监控国内外上百家主流软件厂商、数十家安全论坛与漏洞社区，结合每日应急安全事件和私域运营进行情报生产，并根据情报评级、PoC披露情况、产品使用流行度、实际利用价值、网空资产测绘数据等多个维度进行综合评估，及时推送最新重大安全漏洞情况及安全事件给客户，整合公司的研究、产品、服务等能力，针对突发性威胁制定可落地的安全防护方案，在威胁事件爆发之前协助客户及时发现问题，采取相关防护措施，保护用户信息系统安全，提升企业应对威胁的能力。

凭据泄露监测服务：

近年来，攻击者经常会通过购买或各种手段获取目标用户的登录凭据，进而突破系统入口开展后续攻击，目前主要被用于加密勒索等高威胁场景。为帮助客户能够快速识别自身敏感凭据的泄露风险，绿盟科技特此推出凭据泄露监测服务。此服务以SaaS方式提供，通过7x24小时持续监测数十万数据泄露渠道，结合AI驱动的数据关联分析，当检测到与客户相关的凭据泄露风险后，及时向客户进行预警。

注：对上述服务感兴趣的客户可通过联系绿盟当地区域同事或发送邮件至cert@nsfocus.com咨询交流。

绿盟科技应急响应中心（NSFOCUS CERT）致力于为客户提供及时、专业、高效的情报预警与应急服务，针对高危漏洞与安全事件进行快速响应，提供可落地的解决方案。    

END

声明

本安全公告仅用来描述可能存在的安全问题，绿盟科技不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，绿盟科技以及安全公告作者不为此承担任何责任。            

绿盟科技拥有对此安全公告的修改和解释权。如欲转载或传播此安全公告，必须保证此安全公告的完整性，包括版权声明等全部内容。未经绿盟科技允许，不得任意修改或者增减此安全公告内容，不得以任何方式将其用于商业目的。            

绿盟科技CERT∣微信公众号

绿盟科技CERT公众号.jpg

长按识别二维码，关注网络安全威胁信息

跳转微信打开

]]> Fri, 24 Apr 2026 09:36:00 +0800 【安全更新】微软4月安全更新多个产品高危漏洞通告 https://mp.weixin.qq.com/s?__biz=Mzk0MjE3ODkxNg==&mid=2247490027&idx=1&sn=097da91bd350f86fda58d7d57838acc7 4月15日，绿盟科技CERT监测到微软发布4月安全更新补丁，修复了165个安全问题，涉及Windows、Microsoft Office、Microsoft SQL Server、Microsoft .NET Framework、Azure等广泛使用的产品，其中包括权限提升、远程代码执行等高危漏洞类型。 原创 NS-CERT 2026-04-15 19:50 四川

4月15日，绿盟科技CERT监测到微软发布4月安全更新补丁，修复了165个安全问题，涉及Windows、Microsoft Office、Microsoft SQL Server、Microsoft .NET Framework、Azure等广泛使用的产品，其中包括权限提升、远程代码执行等高危漏洞类型。

通告编号:NS-2026-0009

2026-04-15

TAG：

安全更新、Windows、Office、Visual Studio、SQL Server

漏洞危害：

攻击者利用本次安全更新中的漏洞，可造成权限提升、远程代码执行等

版本：1.0

1

漏洞概述

4月15日，绿盟科技CERT监测到微软发布4月安全更新补丁，修复了165个安全问题，涉及Windows、Microsoft Office、Microsoft SQL Server、Microsoft Visual Studio、Microsoft .NET Framework、Azure等广泛使用的产品，其中包括权限提升、远程代码执行等高危漏洞类型。

本月微软月度更新修复的漏洞中，严重程度为关键的漏洞有8个，重要漏洞有154个，中危漏洞有2个，低危漏洞有1个。其中包括1个已检测到在野利用的漏洞：

Microsoft SharePoint Server欺骗漏洞（CVE-2026-32201）

请相关用户尽快更新补丁进行防护，完整漏洞列表请参考附录。

参考链接：

https://msrc.microsoft.com/update-guide/releaseNote/2026-Apr

SEE MORE →

2重点漏洞简述

根据产品流行度和漏洞重要性筛选出此次更新中包含影响较大的漏洞，请相关用户重点进行关注：

Microsoft SharePoint Server欺骗漏洞（CVE-2026-32201）：

Microsoft SharePoint Server中存在欺骗漏洞，由于SharePoint Server 的输入验证不当，未经身份验证的攻击者可通过网络进行欺骗攻击，从而查看部分敏感信息并篡改已公开的信息。该漏洞存在在野利用，CVSS评分9.0。

官方通告链接：  

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-32201

Windows Kerberos权限提升漏洞（CVE-2026-27912）：

Windows Kerberos中存在权限提升漏洞，由于Kerberos服务票据请求的验证过程中存在授权不当问题，经过身份验证的攻击者可通过操纵Kerberos票据字段绕过安全检查，在相邻网络上提升权限，可能获取域管理员权限。CVSS评分8.0。

官方通告链接：

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-27912

Remote Desktop Client远程代码执行漏洞（CVE-2026-32157）：

Remote Desktop Client中存在远程代码执行漏洞，由于Remote Desktop Client在处理RDP连接参数时存在释放后重用（Use After Free）问题，未经身份验证的攻击者可通过诱导用户连接到恶意RDP服务器，从而在客户端主机上执行任意代码。CVSS评分8.8。

官方通告链接：

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-32157

Windows TCP/IP远程代码执行漏洞（CVE-2026-33827）：

Windows TCP/IP中存在远程代码执行漏洞，由于Windows TCP/IP中使用共享资源时的同步机制不当，未经身份验证的攻击者可通过网络利用此漏洞执行任意代码。CVSS评分8.1。

官方通告链接：

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-33827

Windows Shell安全功能绕过漏洞（CVE-2026-32225）：

Windows Shell中存在安全功能绕过漏洞，由于Windows Shell中的保护机制失败，未经身份验证的攻击者可通过诱导受害者打开特制的.lnk文件，从而绕过SmartScreen安全防护，导致未经授权的操作或访问。CVSS 评分8.8。

官方通告链接：

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-32225

Windows Internet Key Exchange (IKE) Service Extensions远程代码执行漏洞（CVE-2026-33824）：

Windows Internet Key Exchange (IKE) Service Extensions中存在远程代码执行漏洞，由于Windows IKE扩展中存在双重释放（Double Free）问题，未经身份验证的攻击者可通过向启用了IKEv2Windows系统发送特制的数据包，从而实现远程代码执行。CVSS评分9.8。

官方通告链接：

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-33824

Microsoft Defender权限提升漏洞（CVE-2026-33825）：

Microsoft Defender中存在权限提升漏洞，由于Microsoft Defender中的访问控制粒度不足，经过身份验证的本地攻击者可将权限提升到SYSTEM。CVSS评分7.8。

官方通告链接：

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-33825

Windows Active Directory远程代码执行漏洞（CVE-2026-33826）：

Windows Active Directory中存在远程代码执行漏洞，由于Windows Active Directory中的输入验证不当，经过身份验证的攻击者可通过相邻网络向RPC主机发送特制的RPC调用，从而实现远程代码执行。CVSS评分8.0。

官方通告链接：

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-33826

3影响范围

以下为部分重点关注漏洞的受影响产品版本，其他漏洞影响产品范围请参阅官方通告链接。

漏洞编号

受影响产品版本

CVE-2026-32201

Microsoft SharePoint Server Subscription Edition

Microsoft SharePoint Enterprise Server 2016

Microsoft SharePoint Server 2019

CVE-2026-27912

Windows Server 2012 R2 (Server Core installation)

Windows Server 2012 R2

Windows Server 2012 (Server Core installation)

Windows Server 2012

Windows Server 2016 (Server Core installation)

Windows Server 2016

Windows Server 2025

Windows Server 2022, 23H2 Edition (Server Core installation)

Windows Server 2025 (Server Core installation)

Windows Server 2022 (Server Core installation)

Windows Server 2022

Windows Server 2019 (Server Core installation)

Windows Server 2019

CVE-2026-32157

Windows Server 2012 R2 (Server Core installation)

Windows Server 2012 R2

Windows Server 2012 (Server Core installation)

Windows Server 2012

Windows Server 2016 (Server Core installation)

Windows Server 2016

Windows 10 Version 1607 for x64-based Systems

Windows 10 Version 1607 for 32-bit Systems

Windows Server 2025

Windows 11 Version 24H2 for x64-based Systems

Windows 11 Version 24H2 for ARM64-based Systems

Windows Server 2022, 23H2 Edition (Server Core installation)

Windows 11 Version 23H2 for x64-based Systems

Windows 11 Version 23H2 for ARM64-based Systems

Windows 11 Version 25H2 for x64-based Systems

Windows 11 Version 25H2 for ARM systems

Windows Server 2025 (Server Core installation)

Windows 10 Version 22H2 for 32-bit Systems

Windows 10 Version 22H2 for ARM64-based Systems

Windows 10 Version 22H2 for x64-based Systems

Windows 10 Version 21H2 for x64-based Systems

Windows 10 Version 21H2 for ARM64-based Systems

Windows 10 Version 21H2 for 32-bit Systems

Windows Server 2022 (Server Core installation)

Windows Server 2022

Remote Desktop client for Windows Desktop

Windows Server 2019 (Server Core installation)

Windows Server 2019

Windows 10 Version 1809 for x64-based Systems

Windows 10 Version 1809 for 32-bit Systems

Windows App Client for Windows Desktop

Windows 11 version 26H1 for x64-based Systems

Windows 11 Version 26H1 for ARM64-based Systems

CVE-2026-33827

CVE-2026-32225

Windows 10 Version 22H2 for ARM64-based Systems

Windows 10 Version 22H2 for x64-based Systems

Windows 10 Version 21H2 for x64-based Systems

Windows 10 Version 21H2 for ARM64-based Systems

Windows 10 Version 21H2 for 32-bit Systems

Windows Server 2022 (Server Core installation)

Windows Server 2022

Windows Server 2019 (Server Core installation)

Windows Server 2019

Windows 10 Version 1809 for x64-based Systems

Windows 10 Version 1809 for 32-bit Systems

Windows Server 2025 (Server Core installation)

Windows 10 Version 22H2 for 32-bit Systems

Windows Server 2012 R2 (Server Core installation)

Windows Server 2012 R2

Windows Server 2012 (Server Core installation)

Windows Server 2012

Windows Server 2016 (Server Core installation)

Windows Server 2016

Windows 10 Version 1607 for x64-based Systems

Windows 10 Version 1607 for 32-bit Systems

Windows 11 Version 26H1 for ARM64-based Systems

Windows 11 version 26H1 for x64-based Systems

Windows Server 2025

Windows 11 Version 24H2 for x64-based Systems

Windows 11 Version 24H2 for ARM64-based Systems

Windows Server 2022, 23H2 Edition (Server Core installation)

Windows 11 Version 23H2 for x64-based Systems

Windows 11 Version 23H2 for ARM64-based Systems

Windows 11 Version 25H2 for x64-based Systems

Windows 11 Version 25H2 for ARM systems

CVE-2026-33824

Windows Server 2016 (Server Core installation)

Windows Server 2016

Windows 10 Version 1607 for x64-based Systems

Windows 10 Version 1607 for 32-bit Systems

Windows 11 Version 26H1 for ARM64-based Systems

Windows 11 version 26H1 for x64-based Systems

Windows Server 2025

Windows 11 Version 24H2 for x64-based Systems

Windows 11 Version 24H2 for ARM64-based Systems

Windows Server 2022, 23H2 Edition (Server Core installation)

Windows 11 Version 23H2 for x64-based Systems

Windows 11 Version 23H2 for ARM64-based Systems

Windows 11 Version 25H2 for x64-based Systems

Windows 11 Version 25H2 for ARM systems

Windows Server 2025 (Server Core installation)

Windows 10 Version 22H2 for 32-bit Systems

Windows 10 Version 22H2 for ARM64-based Systems

Windows 10 Version 22H2 for x64-based Systems

Windows 10 Version 21H2 for x64-based Systems

Windows 10 Version 21H2 for ARM64-based Systems

Windows 10 Version 21H2 for 32-bit Systems

Windows Server 2022 (Server Core installation)

Windows Server 2022

Windows Server 2019 (Server Core installation)

Windows Server 2019

Windows 10 Version 1809 for x64-based Systems

Windows 10 Version 1809 for 32-bit Systems

CVE-2026-33825

Microsoft Defender Antimalware Platform

CVE-2026-33826

Windows Server 2012 R2 (Server Core installation)

Windows Server 2012 R2

Windows Server 2016 (Server Core installation)

Windows Server 2016

Windows Server 2025

Windows Server 2022, 23H2 Edition (Server Core installation)

Windows Server 2025 (Server Core installation)

Windows Server 2022 (Server Core installation)

Windows Server 2022

Windows Server 2019 (Server Core installation)

Windows Server 2019

4漏洞防护 

4.1 补丁更新

目前微软官方已针对受支持的产品版本发布了修复以上漏洞的安全补丁，强烈建议受影响用户尽快安装补丁进行防护，官方下载链接：

https://msrc.microsoft.com/update-guide/releaseNote/2026-Apr

 注：由于网络问题、计算机环境问题等原因，Windows Update的补丁更新可能出现失败。用户在安装补丁后，应及时检查补丁是否成功更新。

右键点击Windows图标，选择“设置(N)”，选择“更新和安全”-“Windows更新”，查看该页面上的提示信息，也可点击“查看更新历史记录”查看历史更新情况。

针对未成功安装的更新，可点击更新名称跳转到微软官方下载页面，建议用户点击该页面上的链接，转到“Microsoft更新目录”网站下载独立程序包并安装。

附录：漏洞列表

影响产品

CVE编号

漏洞标题

严重程度

Windows

CVE-2026-32157

Remote Desktop Client远程代码执行漏洞

Critical

Windows

CVE-2026-33826

Windows Active Directory远程代码执行漏洞

Critical

Microsoft .NET Framework

CVE-2026-23666

.NET Framework拒绝服务漏洞

Critical

Microsoft Office

CVE-2026-32190

Microsoft Office远程代码执行漏洞

Critical

Microsoft Office

CVE-2026-33114

Microsoft Word远程代码执行漏洞

Critical

Microsoft Office

CVE-2026-33115

Microsoft Word远程代码执行漏洞

Critical

Windows

CVE-2026-33827

Windows TCP/IP远程代码执行漏洞

Critical

Windows

CVE-2026-33824

Windows Internet Key Exchange (IKE) Service Extensions远程代码执行漏洞

Critical

Windows

CVE-2026-20930

Windows Management Services权限提升漏洞

Important

Microsoft Visual Studio Code CoPilot Chat Extension

CVE-2026-23653

GitHub Copilot and Visual Studio Code信息泄露漏洞

Important

Windows

CVE-2026-25184

Applocker Filter Driver (applockerfltr.sys)权限提升漏洞

Important

Microsoft Office

CVE-2026-20945

Microsoft SharePoint Server欺骗漏洞

Important

Windows

CVE-2026-23670

Windows Virtualization-Based Security (VBS)安全功能绕过漏洞

Important

Microsoft Dynamics

CVE-2026-26149

Microsoft Power Apps Security Feature Bypass

Important

Windows

CVE-2026-26151

Remote Desktop欺骗漏洞

Important

Windows

CVE-2026-26154

Windows Server Update Service (WSUS)篡改漏洞

Important

Windows

CVE-2026-26155

Microsoft Local Security Authority Subsystem Service信息泄露漏洞

Important

Windows

CVE-2026-26160

Remote Desktop Licensing Service权限提升漏洞

Important

Windows

CVE-2026-26161

Windows Sensor Data Service权限提升漏洞

Important

Windows

CVE-2026-26162

Windows OLE权限提升漏洞

Important

Windows

CVE-2026-26165

Windows Shell权限提升漏洞

Important

Windows

CVE-2026-26166

Windows Shell权限提升漏洞

Important

Windows

CVE-2026-26167

Windows Push Notifications权限提升漏洞

Important

Windows

CVE-2026-26174

Windows Server Update Service (WSUS)权限提升漏洞

Important

Windows

CVE-2026-26175

Windows Boot Manager安全功能绕过漏洞

Important

Windows

CVE-2026-26179

Windows Kernel权限提升漏洞

Important

Windows

CVE-2026-26180

Windows Kernel权限提升漏洞

Important

Windows

CVE-2026-26181

Microsoft Brokering File System权限提升漏洞

Important

Windows

CVE-2026-26183

Remote Access Management service/API (RPC server)权限提升漏洞

Important

Windows

CVE-2026-27906

Windows Hello安全功能绕过漏洞

Important

Windows

CVE-2026-27907

Windows Storage Spaces Controller权限提升漏洞

Important

Windows

CVE-2026-27908

Windows TDI Translation Driver (tdx.sys)权限提升漏洞

Important

Windows

CVE-2026-27915

Windows UPnP Device Host权限提升漏洞

Important

Windows

CVE-2026-27917

Windows WFP NDIS Lightweight Filter Driver (wfplwfs.sys)权限提升漏洞

Important

Windows

CVE-2026-27918

Windows Shell权限提升漏洞

Important

Windows

CVE-2026-27919

Windows UPnP Device Host权限提升漏洞

Important

Windows

CVE-2026-27921

Windows TDI Translation Driver (tdx.sys)权限提升漏洞

Important

Windows

CVE-2026-27924

Desktop Window Manager权限提升漏洞

Important

Windows

CVE-2026-27926

Windows Cloud Files Mini Filter Driver权限提升漏洞

Important

Windows

CVE-2026-27927

Windows Projected File System权限提升漏洞

Important

Windows

CVE-2026-27929

Windows LUA File Virtualization Filter Driver权限提升漏洞

Important

Windows

CVE-2026-27931

Windows GDI信息泄露漏洞

Important

Windows

CVE-2026-32071

Windows Local Security Authority Subsystem Service (LSASS)拒绝服务漏洞

Important

Windows

CVE-2026-32073

Windows Ancillary Function Driver for WinSock权限提升漏洞

Important

Windows

CVE-2026-32075

Windows UPnP Device Host权限提升漏洞

Important

Windows

CVE-2026-32081

Package Catalog信息泄露漏洞

Important

Windows

CVE-2026-32082

Windows Simple Search and Discovery Protocol (SSDP) Service权限提升漏洞

Important

Windows

CVE-2026-32083

Windows Simple Search and Discovery Protocol (SSDP) Service权限提升漏洞

Important

Windows

CVE-2026-32085

Remote Procedure Call信息泄露漏洞

Important

Windows

CVE-2026-32087

Windows Function Discovery Service (fdwsd.dll)权限提升漏洞

Important

Windows

CVE-2026-32089

Windows Speech Brokered Api权限提升漏洞

Important

Windows

CVE-2026-32090

Windows Speech Brokered Api权限提升漏洞

Important

Windows

CVE-2026-32093

Windows Function Discovery Service (fdwsd.dll)权限提升漏洞

Important

Windows

CVE-2026-32152

Desktop Window Manager权限提升漏洞

Important

Windows

CVE-2026-32154

Desktop Window Manager权限提升漏洞

Important

Windows

CVE-2026-32156

Windows UPnP Device Host远程代码执行漏洞

Important

Windows

CVE-2026-32158

Windows Push Notifications权限提升漏洞

Important

Windows

CVE-2026-32159

Windows Push Notifications权限提升漏洞

Important

Windows

CVE-2026-32160

Windows Push Notifications权限提升漏洞

Important

Windows

CVE-2026-0390

UEFI Secure Boot安全功能绕过漏洞

Important

Windows

CVE-2026-32165

Windows User Interface Core权限提升漏洞

Important

Microsoft SQL Server

CVE-2026-32167

SQL Server权限提升漏洞

Important

Azure

CVE-2026-32168

Azure Monitor Agent权限提升漏洞

Important

.NET 9.0 installed on Mac OS,.NET 9.0 installed on Windows,.NET 10.0 installed on Mac OS,.NET 9.0 installed on Linux,.NET,Microsoft Visual Studio,.NET 10.0 installed on Windows,.NET 8.0 installed on Windows,.NET 8.0 installed on Mac OS,.NET 10.0 installed on Linux,.NET 8.0 installed on Linux

CVE-2026-32178

.NET欺骗漏洞

Important

Windows

CVE-2026-32181

Connected User Experiences and Telemetry Service拒绝服务漏洞

Important

Windows

CVE-2026-32183

Windows Snipping Tool远程代码执行漏洞

Important

Azure

CVE-2026-32184

Microsoft High Performance Compute (HPC) Pack权限提升漏洞

Important

Microsoft Office

CVE-2026-32188

Microsoft Excel信息泄露漏洞

Important

Microsoft Office

CVE-2026-32189

Microsoft Excel远程代码执行漏洞

Important

Azure

CVE-2026-32192

Azure Monitor Agent权限提升漏洞

Important

Windows

CVE-2026-32195

Windows Kernel权限提升漏洞

Important

Windows

CVE-2026-32202

Windows Shell欺骗漏洞

Important

Windows

CVE-2026-32215

Windows Kernel信息泄露漏洞

Important

Windows

CVE-2026-32216

Windows Redirected Drive Buffering System拒绝服务漏洞

Important

Windows

CVE-2026-32217

Windows Kernel信息泄露漏洞

Important

Windows

CVE-2026-32218

Windows Kernel信息泄露漏洞

Important

Windows

CVE-2026-32219

Microsoft Brokering File System权限提升漏洞

Important

Windows

CVE-2026-32220

UEFI Secure Boot安全功能绕过漏洞

Important

Windows

CVE-2026-32221

Windows Graphics Component远程代码执行漏洞

Important

Windows

CVE-2026-32222

Windows Win32k权限提升漏洞

Important

Windows

CVE-2026-32223

Windows USB Printing Stack (usbprint.sys)权限提升漏洞

Important

Windows

CVE-2026-32224

Windows Server Update Service (WSUS)权限提升漏洞

Important

Microsoft .NET Framework

CVE-2026-32226

.NET Framework拒绝服务漏洞

Important

Microsoft Office

CVE-2026-33095

Microsoft Word远程代码执行漏洞

Important

Windows

CVE-2026-33096

HTTP.sys拒绝服务漏洞

Important

Windows

CVE-2026-33098

Windows Container Isolation FS Filter Driver权限提升漏洞

Important

.NET 9.0 installed on Mac OS,.NET 9.0 installed on Windows,Microsoft .NET Framework,.NET 10.0 installed on Mac OS,.NET 9.0 installed on Linux,.NET,.NET 8.0 installed on Windows,.NET 8.0 installed on Mac OS,.NET 10.0 installed on Linux,.NET 8.0 installed on Linux

CVE-2026-33116

.NET, .NET Framework, and Visual Studio拒绝服务漏洞

Important

Microsoft SQL Server

CVE-2026-33120

Microsoft SQL Server远程代码执行漏洞

Important

Microsoft Office

CVE-2026-33822

Microsoft Word信息泄露漏洞

Important

Windows

CVE-2026-32212

Universal Plug and Play (upnp.dll)信息泄露漏洞

Important

Windows

CVE-2026-20928

Windows Recovery Environment安全功能绕过漏洞

Important

Windows

CVE-2026-20806

Windows COM Server信息泄露漏洞

Important

Microsoft Office

CVE-2026-23657

Microsoft Word远程代码执行漏洞

Important

PowerShell

CVE-2026-26143

Microsoft PowerShell安全功能绕过漏洞

Important

Windows

CVE-2026-26152

Microsoft Cryptographic Services权限提升漏洞

Important

Windows

CVE-2026-26153

Windows Encrypted File System (EFS)权限提升漏洞

Important

Windows

CVE-2026-26156

Windows Hyper-V远程代码执行漏洞

Important

Windows

CVE-2026-26159

Remote Desktop Licensing Service权限提升漏洞

Important

Windows

CVE-2026-26163

Windows Kernel权限提升漏洞

Important

Windows

CVE-2026-26168

Windows Ancillary Function Driver for WinSock权限提升漏洞

Important

Windows

CVE-2026-26169

Windows Kernel Memory信息泄露漏洞

Important

Windows

CVE-2026-26170

PowerShell权限提升漏洞

Important

Windows

CVE-2026-26172

Windows Push Notifications权限提升漏洞

Important

Windows

CVE-2026-26173

Windows Ancillary Function Driver for WinSock权限提升漏洞

Important

Windows

CVE-2026-26176

Windows Client Side Caching driver (csc.sys)权限提升漏洞

Important

Windows

CVE-2026-26177

Windows Ancillary Function Driver for WinSock权限提升漏洞

Important

Windows

CVE-2026-26178

Windows Advanced Rasterization Platform权限提升漏洞

Important

Windows

CVE-2026-26182

Windows Ancillary Function Driver for WinSock权限提升漏洞

Important

Windows

CVE-2026-26184

Windows Projected File System权限提升漏洞

Important

Windows

CVE-2026-27909

Windows Search Service权限提升漏洞

Important

Windows

CVE-2026-27910

Windows Installer权限提升漏洞

Important

Windows

CVE-2026-27911

Windows User Interface Core权限提升漏洞

Important

Windows

CVE-2026-27912

Windows Kerberos权限提升漏洞

Important

Windows

CVE-2026-27913

Windows BitLocker安全功能绕过漏洞

Important

Windows

CVE-2026-27914

Microsoft Management Console权限提升漏洞

Important

Windows

CVE-2026-27916

Windows UPnP Device Host权限提升漏洞

Important

Windows

CVE-2026-27920

Windows UPnP Device Host权限提升漏洞

Important

Windows

CVE-2026-27922

Windows Ancillary Function Driver for WinSock权限提升漏洞

Important

Windows

CVE-2026-27923

Desktop Window Manager权限提升漏洞

Important

Windows

CVE-2026-27925

Windows UPnP Device Host信息泄露漏洞

Important

Windows

CVE-2026-27928

Windows Hello安全功能绕过漏洞

Important

Windows

CVE-2026-27930

Windows GDI信息泄露漏洞

Important

Windows

CVE-2026-32068

Windows Simple Search and Discovery Protocol (SSDP) Service权限提升漏洞

Important

Windows

CVE-2026-32069

Windows Projected File System权限提升漏洞

Important

Windows

CVE-2026-32070

Windows Common Log File System Driver权限提升漏洞

Important

Windows

CVE-2026-32072

Active Directory欺骗漏洞

Important

Windows

CVE-2026-32074

Windows Projected File System权限提升漏洞

Important

Windows

CVE-2026-32076

Windows Storage Spaces Controller权限提升漏洞

Important

Windows

CVE-2026-32077

Windows UPnP Device Host权限提升漏洞

Important

Windows

CVE-2026-32078

Windows Projected File System权限提升漏洞

Important

Windows

CVE-2026-32079

Web Account Manager信息泄露漏洞

Important

Windows

CVE-2026-32080

Windows WalletService权限提升漏洞

Important

Windows

CVE-2026-32084

Windows Print Spooler信息泄露漏洞

Important

Windows

CVE-2026-32086

Windows Function Discovery Service (fdwsd.dll)权限提升漏洞

Important

Windows

CVE-2026-32088

Windows Biometric Service安全功能绕过漏洞

Important

Windows

CVE-2026-32091

Microsoft Brokering File System权限提升漏洞

Important

Windows

CVE-2026-32149

Windows Hyper-V远程代码执行漏洞

Important

Windows

CVE-2026-32150

Windows Function Discovery Service (fdwsd.dll)权限提升漏洞

Important

Windows

CVE-2026-32151

Windows Shell信息泄露漏洞

Important

Windows

CVE-2026-32153

Windows Speech Runtime权限提升漏洞

Important

Windows

CVE-2026-32155

Desktop Window Manager权限提升漏洞

Important

Windows

CVE-2026-32162

Windows COM权限提升漏洞

Important

Windows

CVE-2026-32163

Windows User Interface Core权限提升漏洞

Important

Windows

CVE-2026-32164

Windows User Interface Core权限提升漏洞

Important

Azure

CVE-2026-32171

Azure Logic Apps权限提升漏洞

Important

Microsoft SQL Server

CVE-2026-32176

SQL Server权限提升漏洞

Important

Windows

CVE-2026-32196

Windows Admin Center欺骗漏洞

Important

Microsoft Office

CVE-2026-32197

Microsoft Excel远程代码执行漏洞

Important

Microsoft Office

CVE-2026-32198

Microsoft Excel远程代码执行漏洞

Important

Microsoft Office

CVE-2026-32199

Microsoft Excel远程代码执行漏洞

Important

Microsoft Office

CVE-2026-32200

Microsoft PowerPoint远程代码执行漏洞

Important

Microsoft Office

CVE-2026-32201

Microsoft SharePoint Server欺骗漏洞

Important

.NET 9.0 installed on Mac OS,.NET 9.0 installed on Windows,.NET 10.0 installed on Mac OS,.NET 9.0 installed on Linux,.NET 10.0 installed on Windows,.NET 8.0 installed on Windows,.NET 8.0 installed on Mac OS,.NET 10.0 installed on Linux,.NET 8.0 installed on Linux

CVE-2026-26171

.NET拒绝服务漏洞

Important

.NET 9.0 installed on Mac OS,.NET 9.0 installed on Windows,.NET 10.0 installed on Mac OS,.NET 9.0 installed on Linux,Microsoft Visual Studio,.NET 10.0 installed on Windows,.NET 8.0 installed on Windows,.NET 8.0 installed on Mac OS,.NET 10.0 installed on Linux,.NET 8.0 installed on Linux

CVE-2026-32203

.NET and Visual Studio拒绝服务漏洞

Important

Windows

CVE-2026-32225

Windows Shell安全功能绕过漏洞

Important

Windows

CVE-2026-33099

Windows Ancillary Function Driver for WinSock权限提升漏洞

Important

Windows

CVE-2026-33100

Windows Ancillary Function Driver for WinSock权限提升漏洞

Important

Windows

CVE-2026-33101

Windows Print Spooler权限提升漏洞

Important

Microsoft Dynamics

CVE-2026-33103

Microsoft Dynamics 365 (On-Premises)信息泄露漏洞

Important

Windows

CVE-2026-33104

Win32k权限提升漏洞

Important

Windows

CVE-2026-32214

Universal Plug and Play (upnp.dll)信息泄露漏洞

Important

System Center

CVE-2026-33825

Microsoft Defender权限提升漏洞

Important

Windows

CVE-2026-33829

Windows Snipping Tool欺骗漏洞

Moderate

Microsoft Edge for Android

CVE-2026-33119

Microsoft Edge (Chromium-based) for Android欺骗漏洞

Moderate

Microsoft Edge (Chromium-based)

CVE-2026-33118

Microsoft Edge (Chromium-based)欺骗漏洞

Low

END

         

        

声明

本安全公告仅用来描述可能存在的安全问题，绿盟科技不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，绿盟科技以及安全公告作者不为此承担任何责任。            

绿盟科技拥有对此安全公告的修改和解释权。如欲转载或传播此安全公告，必须保证此安全公告的完整性，包括版权声明等全部内容。未经绿盟科技允许，不得任意修改或者增减此安全公告内容，不得以任何方式将其用于商业目的。            

绿盟科技CERT∣微信公众号

绿盟科技CERT公众号.jpg

长按识别二维码，关注网络安全威胁信息

跳转微信打开

]]> Wed, 15 Apr 2026 19:50:00 +0800 【安全事件】axios前端库npm供应链投毒预警通告 https://mp.weixin.qq.com/s?__biz=Mzk0MjE3ODkxNg==&mid=2247489511&idx=1&sn=e85b5e65d5cacbf380db869f7d068c49 3月31日，绿盟科技CERT监测到HTTP客户端库axios的npm仓库遭受供应链投毒，影响范围广泛，请相关用户尽快采取措施进行排查与防护。 原创 NS-CERT 2026-03-31 19:01 北京

3月31日，绿盟科技CERT监测到HTTP客户端库axios的npm仓库遭受供应链投毒，影响范围广泛，请相关用户尽快采取措施进行排查与防护。

通告编号:NS-2026-0008

2026-03-31

TAG：

axios、npm、供应链攻击

危害程度：

高

版本：1.0

1

事件概述

3月31日，绿盟科技CERT监测到HTTP客户端库axios的npm仓库遭受供应链投毒，攻击者绕过了项目正常的GitHub Actions CI/CD流水线，将axios维护者的帐户邮箱更改为匿名ProtonMail地址，并通过npm CLI手动发布了带有木马后门的恶意版本，当用户安装后会在主机上建立持久化的远控。影响范围广泛，请相关用户尽快采取措施进行排查与防护。

Axios是一个基于Promise的开源JavaScript HTTP客户端，广泛用于浏览器和Node.js环境。

参考链接：

https://github.com/axios/axios/issues/10604

SEE MORE →

2影响范围

受影响版本

  • axios = 1.14.1

  • axios = 0.30.4
    注：Windows、macOS、Linux系统皆受影响，每周下载量超过3亿次。

不受影响版本

  • axios <= 1.14.0

  • axios <= 0.30.3

3事件分析

攻击者窃取并接管了axios项目的主要维护者jasonsaayman的npm和GitHub账户，并将其邮箱修改为匿名的ProtonMail地址：ifstap@proton.me；攻击者先通过单独的一次性账户nrwise@proton.me预先布置了干净的plain-crypto-js@4.2.0建立npm发布历史，规避安全工具对新包的检测告警；等18小时后在npm上更新了恶意包plain-crypto-js@4.2.1，绕过正常的GitHub Actions流程发布恶意版本axios@1.14.和axios@0.30.4，并将plain-crypto-js@4.2.1添加为运行时依赖；plain-crypto-js在安装时会执行setup.js恶意脚本（RAT投放器），其会对当前系统进行检测，并根据macOS、Windows、Linux三个平台分发不同的远程控制载荷。

攻击者在setup.js中植入了自毁逻辑，等木马后门执行完成后，会自动删除自身脚本文件、删除带恶意钩子的package.json，并使用提前备好的干净伪装文件进行替换。

#脚本自删除
fs.unlink(__filename, (x=>{}));

#用干净的package.md覆盖原始package.json并重命名
fs.rename("package.md", "package.json", (x=>{}));

事件时间线：

3/30 05:57:32 UTC，攻击者创建plain-crypto-js@4.2.0（干净诱饵铺垫）

3/30 23:59:12 UTC，攻击者发布plain-crypto-js@4.2.1恶意载荷

3/31 00:21:58 UTC，攻击者通过npm CLI发布axios@1.14.1恶意版本

3/31 01:00:57 UTC，攻击者通过npm CLI发布axios@0.30.4恶意版本

3/31 02:30 UTC，攻击者用管理员权限删除告警Issue

3/31 03:40:46 UTC，npm下架恶意版本并吊销所有Token

3/31，绿盟科技CERT发布预警通告

4风险排查

相关用户可根据下列步骤进行排查：

1、使用以下命令检查项目中是否存在恶意的axios版本

#检查项目依赖中的axios版本

npm list axios 2>/dev/null | grep -E "1\.14\.1|0\.30\.4"

#检查lock文件锁定的axios版本
grep -A1 '"axios"' package-lock.json | grep -E "1\.14\.1|0\.30\.4"

2、检查CI/CD流水线日志，查看是否有任何执行拉取或安装axios新版本的npm install/npm update操作

3、检查node_modules中是否存在恶意依赖包plain-crypto-js

ls node_modules/plain-crypto-js 2>/dev/null && echo "POTENTIALLY AFFECTED"

注：若package.json为干净存根，则表明后门木马可能已运行。

用户可使用对应系统的命令检查受影响主机上是否存在后门木马：

# macOS
ls -la /Library/Caches/com.apple.act.mond 2>/dev/null && echo "COMPROMISED"
# Linux
ls -la /tmp/ld.py 2>/dev/null && echo "COMPROMISED"
# Windows
dir "%PROGRAMDATA%\wt.exe" 2>nul && echo COMPROMISED

5总结与建议

本次事件再次为前端生态和开源社区敲醒了供应链安全的警钟，单位务须建立常态化开源组件安全审计机制，构建完善的供应链安全治理体系以预防此类威胁。

建议受影响的用户采取下列措施进行处理：

1、立即将axios降级为安全版本并强制项目所有间接依赖使用：

#2个分支对应的安全版本

npm install axios@1.14.0
npm install axios@0.30.3

#在package.json中添加overrides和resolutions

{
 "dependencies": { "axios": "1.14.0" },
 "overrides":    { "axios": "1.14.0" },
 "resolutions":  { "axios": "1.14.0" }
}  

2、从node_modules移除plain-crypto-js，清除npm缓存并重新安装依赖：

rm -rf node_modules/plain-crypto-js

npm cache clean --force

npm install --ignore-scripts

3、撤销并轮换系统所有的npm令牌、SSH密钥、云账号密钥、CI/CD密钥、数据库密码等凭证；

4、封禁并排查恶意IoC；

5、实施最小权限原则，限制CI/CD工具的访问范围、并定期轮换凭据；

6、建立常态化开源组件审计机制，增加发布前的多重审批流程。

6IOCs

恶意文件

文件名：axios@1.14.1

SHA1: 2553649f2322049666871cea80a5d0d6adc700ca

文件名：axios@0.30.4

SHA1: d6f3f62fd3b9f5432f5782b62d8cfd5247d5ee71

文件名：plain-crypto-js@4.2.1

SHA1: 07d889e2dadce6f3910dcbc253317d28ca61c766

恶意域名/IP

sfrclak.com

callnrwise.com

142.11.206.73

恶意URL

http://sfrclak.com:8000/6202033 

恶意邮箱

nrwise@proton.me

ifstap@proton.me

其他

User-Agent：mozilla/4.0 (compatible; msie 8.0; windows nt 5.1; trident/4.0)

最后的宣传彩蛋：

安全情报通告服务：

绿盟科技CERT日常监控国内外上百家主流软件厂商、数十家安全论坛与漏洞社区，结合每日应急安全事件和私域运营进行情报生产，并根据情报评级、PoC披露情况、产品使用流行度、实际利用价值、网空资产测绘数据等多个维度进行综合评估，及时推送最新重大安全漏洞情况及安全事件给客户，整合公司的研究、产品、服务等能力，针对突发性威胁制定可落地的安全防护方案，在威胁事件爆发之前协助客户及时发现问题，采取相关防护措施，保护用户信息系统安全，提升企业应对威胁的能力。

凭据泄露监测服务：

近年来，攻击者经常会通过购买或各种手段获取目标用户的登录凭据，进而突破系统入口开展后续攻击，目前主要被用于加密勒索等高威胁场景。为帮助客户能够快速识别自身敏感凭据的泄露风险，绿盟科技特此推出凭据泄露监测服务。此服务以SaaS方式提供，通过7x24小时持续监测数十万数据泄露渠道，结合AI驱动的数据关联分析，当检测到与客户相关的凭据泄露风险后，及时向客户进行预警。

注：对上述服务感兴趣的客户可通过联系绿盟当地区域同事或发送邮件至cert@nsfocus.com咨询交流。

绿盟科技应急响应中心（NSFOCUS CERT）致力于为客户提供及时、专业、高效的情报预警与应急服务，针对高危漏洞与安全事件进行快速响应，提供可落地的解决方案。    

END

         

        

声明

本安全公告仅用来描述可能存在的安全问题，绿盟科技不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，绿盟科技以及安全公告作者不为此承担任何责任。            

绿盟科技拥有对此安全公告的修改和解释权。如欲转载或传播此安全公告，必须保证此安全公告的完整性，包括版权声明等全部内容。未经绿盟科技允许，不得任意修改或者增减此安全公告内容，不得以任何方式将其用于商业目的。            

绿盟科技CERT∣微信公众号

绿盟科技CERT公众号.jpg

长按识别二维码，关注网络安全威胁信息

跳转微信打开

]]> Tue, 31 Mar 2026 19:01:00 +0800 【安全事件】AI基础设施LiteLLM供应链投毒预警通告 https://mp.weixin.qq.com/s?__biz=Mzk0MjE3ODkxNg==&mid=2247489507&idx=1&sn=34b44ac3e9bb12cda50508a3286940d4 近日，绿盟科技CERT监测到LiteLLM的在PyPI遭受了TeamPCP团伙的供应链投毒，用户触发后会收集主机信息、窃取SSH密钥、云服务凭证、K8s密钥、SSL证书私钥和加密货币钱包等敏感数据，影响范围广泛，请相关用户尽快采取措施进行排查与防护。 原创 NS-CERT 2026-03-26 19:33 北京

近日，绿盟科技CERT监测到LiteLLM的在PyPI遭受了TeamPCP团伙的供应链投毒，用户触发后会收集主机信息、窃取SSH密钥、云服务凭证、K8s密钥、SSL证书私钥和加密货币钱包等敏感数据，影响范围广泛，请相关用户尽快采取措施进行排查与防护。

  通告编号:NS-2026-0006

2026-03-26

TAG：

LiteLLM、TeamPCP、供应链攻击

版本：1.0

1

事件概述

近日，绿盟科技CERT监测到GitHub社区披露LiteLLM的新版本中存在凭证窃取程序，分析确认为在PyPI遭受了TeamPCP团伙的供应链投毒，其通过入侵LiteLLM发布流程中使用的安全扫描工具Trivy，进而窃取了发布权限凭证，于北京时间3月24日18时许发布了恶意版本；用户触发后会收集主机信息、窃取SSH密钥、云服务凭证、K8s密钥、SSL证书私钥和加密货币钱包等敏感数据，若检测到K8s集群则会横向移动在每个节点部署特权Pod，并植入持久化的systemd后门。影响范围广泛，请相关用户尽快采取措施进行排查与防护。

在如今以人工智能为核心驱动的技术演变中，AI模型网关已成为企业技术架构的关键基础设施。LiteLLM是一个主流的开源AI模型网关，可通过统一的接口来简化对上百个不同供应商大型语言模型的调用与管理，具备成本跟踪、安全防护、负载均衡和日志记录等功能。

参考链接：

https://github.com/BerriAI/litellm/issues/24518

https://github.com/pypa/advisory-database/blob/main/vulns/litellm/PYSEC-2026-2.yaml

SEE MORE →

2攻击组织

TeamPCP 是一个从2025年至2026年初活跃的网络犯罪组织，也被称为 DeadCatx3、PCPcat 和 ShellForce 等，该组织主要针对全球云原生基础设施发起大规模自动化攻击，并涉及供应链投毒等高级威胁活动。

TeamPCP大规模构建分布式代理和扫描基础设施，通过窃取的凭证入侵服务器以窃取数据、部署勒索软件、进行勒索活动并挖掘加密货币，拥有成熟的工具集，如 proxy.sh（用于环境识别和载荷部署）、scanner.py（漏洞扫描）、kube.py（Kubernetes 相关操作）等。

近期主要攻击事件

2026-03-19：入侵Aqua Security的Trivy漏洞扫描器，发布恶意版本v0.69.4

2026-03-23：攻击Checkmarx KICS GitHub Action，通过强制推送标签到恶意提交

2026-03-24：对LiteLLM进行供应链投毒，发布恶意版本1.82.7和1.82.8

2026-03-25：部署针对伊朗的Kubernetes擦除器，攻击意图从窃密向破坏性升级

3影响范围

受影响版本

  • LiteLLM = 1.82.7

  • LiteLLM = 1.82.8

包括但不限于以下引用LiteLLM的应用也受影响：

DSPy(微软AI编程框架)
MLflow(机器学习生命周期管理)
CrewAI(多Agent编排框架)
OpenHands(AI软件开发助手)
Prodigy(NLP标注工具)

注：LiteLLM使用十分广泛，月下载量约9500万次，日下载量约340万次，受影响的依赖包达两千多个。恶意版本于北京时间3月24日18时许发布，存活时间约3小时，已知攻击者本次可能窃取了约 300GB数据，包含高达50万个凭证。

不受影响版本

  • LiteLLM <= 1.82.6

4事件分析

事件时间线：

3月19日：TeamPCP入侵Trivy安全扫描工具
3月23日：TeamPCP攻陷Checkmarx KICS
3月24日：10:39 UTC 恶意版本 1.82.7 发布到PyPI
3月24日：10:52 UTC 恶意版本 1.82.8 发布到PyPI
3月24日：13:52 UTC PyPI下架恶意版本
3月25日：社区广泛警告，绿盟科技发布事件预警

此次TeamPCP针对LiteLLM的供应链投毒并非直接攻破其代码库，而是由利用GitHub Actions中pull_request_target触发器的配置缺陷，通过向依赖的安全扫描工具Trivy提交恶意拉取请求，诱导工作流在拥有高权限的基础仓库中执行攻击者植入的代码，从而窃取了具有最高发布权限的PYPI_PUBLISH令牌；攻击者借此令牌绕过了所有代码审查与CI自动化测试流程，直接向PyPI仓库推送了无对应Git提交记录的恶意版本（1.82.7/1.82.8），演绎了“利用安全工具制造不安全”的高阶供应链攻击模式，暴露了现代软件交付链中因过度信任第三方集成与权限配置不当而引发的结构性脆弱。

攻击路径流程图：

图片.png

恶意版本行为

在1.82.7版本中，恶意代码被植入"litellm/proxy/proxy_server.py"文件，可能在wheel构建过程中或之后被注入。该代码设计为模块导入时自动执行，任何导入"litellm.proxy.proxy_server"的进程都会触发攻击载荷，无需用户交互。

1.82.8版本则采用更激进的攻击方式——在wheel根目录添加恶意"litellm_init.pth"文件，使得该逻辑会在环境内所有Python进程启动时自动执行，而不仅限于litellm导入时。且该.pth启动器会通过subprocess.Popen生成子Python进程，使攻击载荷能在后台运行。

攻击载荷解码后会释放凭证窃取工具和持久化后门。当存在Kubernetes服务账户令牌时，凭证窃取工具会枚举集群所有节点并在每个节点部署特权Pod，这些Pod随后会通过chroot进入主机文件系统，在每个节点上安装作为systemd用户服务的持久化后门。

该systemd服务配置为启动Python脚本（~/.config/sysmon/sysmon.py）——与Trivy入侵事件中使用的名称相同——该脚本每50分钟访问"checkmarx[.]zone/raw"获取下一阶段载荷URL。若URL中包含youtube[.]com，脚本将终止执行，这是目前已观测事件中常见的终止开关模式。

5风险排查

相关用户可根据下列步骤进行排查：

1. 检查当前版本 pip show litellm # 

2. 如果为恶意版本，立即降至安全版本 pip install litellm==1.82.6 # 

3. 或在requirements.txt中固定版本 echo "litellm==1.82.6" >> requirements.txt # 

4. 检查是否存在恶意.pth文件 find $(python -c "import site; print(site.getsitepackages()[0])") -name "litellm_init.pth" -delete # 

5. 验证安装 python -c "import litellm; print(litellm.__version__)"

若确认环境中存在恶意包，应立即下线受感染资产，对主机进行物理或逻辑隔离。
查找杀掉名为 /tmp/pglog 的可疑进程，并删除 /tmp/pglog 和 /tmp/.pg_state 文件，强制清除持久化组件；攻击者可能在本地的pip缓存中留下了恶意Wheel文件，可执行pip cache purge或手动删除 ~/.cache/uv 等目录，防止回滚后因缓存机制再次中毒。

云环境用户可检查Kubernetes集群是否存在恶意Pod

在全命名空间下执行：kubectl get pods -A | grep -E "node-setup|host-provisioner"

如有发现，需立即删除并逐节点审查：ls -la /root/.config/sysmon/ 2>/dev/null

6总结与建议

本次投毒事件不同于一次常规的网络攻击，而是对供应链安全的行业警示；在AI生态高速发展的时代下，软件供应链风险不再局限于单一技术栈或平台，逐渐演变为一场针对整个IT生态系统的全域挑战，相关单位务须构建健全的供应链安全治理体系应对此类新型潜在威胁。

建议受影响的用户可采取下列措施进行处理：

1、撤销并轮换所有的SSH密钥、云账号密钥、API Token、k8s令牌、数据库密码等凭证；

2、封禁并排查恶意IoC；

3、实施最小权限原则，限制CI/CD工具的访问范围、并定期轮换凭据；

4、搭建内部私有PyPI镜像，安全扫描验证签名后再同步；

5、建立常态化开源组件安全审计机制，增加发布前的多重审批流程；

6、订阅PyPI安全警报、GitHub Security Advisories等进行供应链监控。

最后的宣传彩蛋：

安全情报通告服务：

绿盟科技CERT日常监控国内外上百家主流软件厂商、数十家安全论坛与漏洞社区，结合每日应急安全事件和私域运营进行情报生产，并根据情报评级、PoC披露情况、产品使用流行度、实际利用价值、网空资产测绘数据等多个维度进行综合评估，及时推送最新重大安全漏洞情况及安全事件给客户，整合公司的研究、产品、服务等能力，针对突发性威胁制定可落地的安全防护方案，在威胁事件爆发之前协助客户及时发现问题，采取相关防护措施，保护用户信息系统安全，提升企业应对威胁的能力。

凭据泄露监测服务：

近年来，攻击者经常会通过购买或各种手段获取目标用户的登录凭据，进而突破系统入口开展后续攻击，目前主要被用于加密勒索等高威胁场景。为帮助客户能够快速识别自身敏感凭据的泄露风险，绿盟科技特此推出凭据泄露监测服务。此服务以SaaS方式提供，通过7x24小时持续监测数十万数据泄露渠道，结合AI驱动的数据关联分析，当检测到与客户相关的凭据泄露风险后，及时向客户进行预警。

注：对上述服务感兴趣的客户可通过联系绿盟当地区域同事或发送邮件至cert@nsfocus.com咨询交流。

绿盟科技应急响应中心（NSFOCUS CERT）致力于为客户提供及时、专业、高效的情报预警与应急服务，针对高危漏洞与安全事件进行快速响应，提供可落地的解决方案。    

END

         

        

声明

本安全公告仅用来描述可能存在的安全问题，绿盟科技不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，绿盟科技以及安全公告作者不为此承担任何责任。            

绿盟科技拥有对此安全公告的修改和解释权。如欲转载或传播此安全公告，必须保证此安全公告的完整性，包括版权声明等全部内容。未经绿盟科技允许，不得任意修改或者增减此安全公告内容，不得以任何方式将其用于商业目的。            

绿盟科技CERT∣微信公众号

绿盟科技CERT公众号.jpg

长按识别二维码，关注网络安全威胁信息

跳转微信打开

]]> Thu, 26 Mar 2026 19:33:00 +0800 【安全事件】Apifox桌面客户端遭供应链投毒分析 https://mp.weixin.qq.com/s?__biz=Mzk0MjE3ODkxNg==&mid=2247489507&idx=2&sn=31fafa29056a73a0841d4d11d998b83d 近日，绿盟科技CERT监测到Apifox官方CDN托管的前端JS文件遭受了供应链投毒，恶意脚本被植入经过多重混淆的JavaScript代码，Apifox桌面客户端启动后会自动加载，后续实现远程命令执行。影响范围较大，请相关用户尽快采取措施进行排查与防护。 原创 NS-CERT 2026-03-26 19:33 北京

近日，绿盟科技CERT监测到Apifox官方CDN托管的前端JS文件遭受了供应链投毒，恶意脚本被植入经过多重混淆的JavaScript代码，Apifox桌面客户端启动后会自动加载，后续实现远程命令执行。影响范围较大，请相关用户尽快采取措施进行排查与防护。

通告编号:NS-2026-0007

2026-03-26

TAG：

Apifox、供应链攻击、CDN投毒

危害程度：

高

版本：1.0

1

事件概述

近日，绿盟科技CERT监测到Apifox官方CDN托管的前端JS文件遭受了供应链投毒，恶意脚本被植入经过多重混淆的JavaScript代码，Apifox桌面客户端启动后会自动加载，可窃取用户主机系统信息和SSH密钥、用户凭证等敏感数据，攻击者后续可控制主机执行后门程序实现远程命令执行。影响范围较大，请相关用户尽快采取措施进行排查与防护。

Apifox是一款功能强大的 API 协作开发平台，它将 API 文档、调试、Mock（模拟）、自动化测试等多个核心功能集成，为前端、后端、测试人员提供一个统一的工作平台。

参考链接：

https://mp.weixin.qq.com/s/GpACQdnhVNsMn51cm4hZig

SEE MORE →

2影响范围

受影响版本

  • Apifox公网SaaS版桌面客户端（Windows/macOS/Linux）<= 2.8.14

    注：在2026年3月4日至2026年3月22日期间使用了上述版本可能受影响。

不受影响版本

  • Apifox客户端 >= 2.8.19
    注：SaaS Web版与私有化部署版不受此次事件影响

3事件时间线

2026年3月4日：apifox.it.com DNS解析上线(Cloudflare托管)，CDN的JS文件被投毒

2026年3月22日：apifox.it.com DNS记录下线，域名停止解析

2026年3月23日：Apifox官方发布新版本修复此问题

2026年3月25日：Apifox官方针对事件发布安全公告

2026年3月26日：绿盟科技CERT发布分析文章

4漏洞防护事件分析

Apifox官方CDN托管的资源被恶意篡改

Apifox在启动过程中会加载正常资源：

hxxps://cdn.apifox.com/www/assets/js/apifox-app-event-tracking.min.js

因未严格启用sandbox参数，且暴露了Node.js的API接口，导致攻击者可通过JavaScript控制Apifox的终端。

投毒恶意文件（Web Archive 还原）：

hxxps://web.archive.org/web/20260305051418/hxxps://cdn.apifox.com/www/assets/js/apifox-app-event-tracking.min.js

2026年3月4日至2026年3月22日期间（18天），攻击者通过 Cloudflare CDN向Apifox桌面客户端分发恶意载荷；恶意文件在原本正常的事件统计功能上，嵌入了可窃取信息和进行远程控制的代码。

4.1 样本分析

投毒的恶意文件为apifox-app-event-tracking.min.js，文件大小约77KB；

该文件由两部分组成：第一部分约34KB，为合法的Apifox事件追踪SDK，采用Webpack打包，包含GA4、百度统计、阿里云 SLS、PostHog等多平台事件追踪模块，本身无恶意行为；第二部分约42KB，为攻击者追加的恶意后门代码，经过严重混淆处理。利用Apifox客户端对事件追踪脚本的信任机制实现隐蔽植入。

恶意代码采用了多重混淆技术，使用javascript-obfuscator对恶意代码段进行字符串数组旋转，所有字符串通过RC4算法加密存储，再进行Base64编码，并通过代理函数增加间接调用层次；所有关键数字常量均使用多步运算表达，规避静态扫描；注入无效代码分支，增加分析干扰；具备反调试机制，检测到调试器则触发死循环。

完整还原后的恶意代码为Node.js脚本，具备远程代码执行能力，主要功能特点如下：

RSA-2048私钥硬编码：恶意代码中硬编码了一个RSA-2048私钥，采用PKCS#8格式，共1703字符。该私钥用于两个核心用途：一是加密上报，从私钥中提取公钥，使用publicEncrypt配合OAEP 填充加密敏感信息后附加到HTTP请求头；二是解密指令，使用privateDecrypt配合OAEP和SHA-256解密C2服务器下发的Stage-1 payload。攻击者将私钥嵌入客户端代码属于设计失误，使研究人员能够解密全部C2通信，还原完整攻击链。

机器指纹采集：恶意代码通过MAC地址、CPU 型号、主机名、用户主目录和操作系统平台五个字段构造机器唯一标识，将拼接字符串进行SHA-256哈希，得到64字符的十六进制指纹，存储在localStorage的_rl_mc 键中。

Apifox用户凭证窃取：恶意代码从localStorage读取 common.accessToken，即 Apifox 登录令牌，利用该令牌调用官方API获取用户信息，从响应中提取用户邮箱和姓名，经RSA加密后附加到后续请求头中。

C2 通信协议：恶意代码向C2服务器发送带有自定义HTTP头的请求，包含以下字段：

af_uuid 为机器指纹SHA-256，明文传输；

af_os 为操作系统类型与版本号，明文传输；

af_user 为用户主目录路径，使用RSA-2048 OAEP加密；

af_name为主机名，使用RSA-2048 OAEP加密；

af_apifox_user为 Apifox账户邮箱，使用RSA-2048 OAEP加密；

af_apifox_name为 Apifox账户姓名，使用RSA-2048 OAEP加密。

远程代码执行：恶意代码从C2获取 RSA 加密的payload，经私钥解密后使用 eval() 直接执行，实现完全的远程代码执行。这意味着攻击者每次轮询C2可下发不同载荷，后续攻击行为未知。

持久化机制：恶意代码执行完毕后，在30分钟至3小时的随机间隔后会重新执行整个流程。只要Apifox应用保持运行，恶意代码就会持续活跃。

4.2 攻击流程

1. Apifox启动，加载被投毒的event-tracking.min.js文件 (77KB) 

2. 恶意代码执行：

   - 采集机器指纹（MAC地址、CPU信息及主机名，使用SHA-256处理）

   - 窃取Apifox访问令牌（accessToken），通过调用官方API获取用户邮箱

   - 使用RSA-2048算法加密敏感数据

3. 向C2服务器进行请求：GET /public/apifox-event.js

   请求头包含af_uuid、af_os、af_user、af_name等字段

   返回内容为经RSA加密的Stage-1加载程序（344字节）

4. 对Stage-1进行RSA解密并执行eval函数：

   - 动态创建<script>标签加载Stage-2

   - 加载路径为/<随机8位十六进制字符>.js（该URL为一次性链接，使用后返回404）

   - 加载完成后自动删除<script>标签

5. Stage-2执行(明文Node.js代码）：

   v1版本功能collectPreInformations：

   - 获取~/.ssh/目录下全部密钥文件

   - 获取~/.zsh_history与~/.bash_history文件

   - 获取~/.git-credentials文件

   - 执行系统命令（ps aux或tasklist）

   v2版本功能collectAddInformations：

   - 获取~/.kube/目录下的K8s配置文件

   - 获取~/.zshrc与~/.npmrc文件

   - 获取~/.subversion/目录下的文件

   - 执行目录树遍历操作

6. 数据外泄：

数据经JSON序列化→Gzip压缩→AES-256-GCM加密（密钥为apifox/foxapi）→Base64编码

POST /event/0/log (v1 数据) 

POST /event/2/log (v2 数据)

请求头中af_uuid字段值为代码中硬编码的机器指纹

7. 持久化机制：

以30分钟至3小时的随机间隔循环执行步骤3，重新向C2请求指令

每次轮询C2可返回完全不同的载荷内容

8. 后续阶段：未知

攻击者可根据信息筛选特定目标，定制攻击脚本与定向入侵，包括但不限于横向移动、K8s集群接管、二次投毒等。

5风险排查

检查2026年3月4日至2026年3月22日期间是否使用了Apifox桌面客户端，可使用Apifox后门扫描工具（可通过邮箱或后台留言获取）进行检测：

    若在受影响范围，请采取下列措施进行处理：

    1、立即停用当前Apifox桌面端应用，下载安装安全版本或替代工具

    2、吊销历史 accessToken，并轮换所有密钥和用户凭证

    3、检查Apifox账户是否存在异常登录，并修改账户密码

    4、清除Apifox客户端的localStorage，删除_rl_headers和_rl_mc键：

localStorage.removeItem('_rl_headers');localStorage.removeItem('_rl_mc');

    5、阻断攻击者恶意域名，在host文件中增加配置：127.0.0.1 apifox.it.com

    6、审查服务器登录日志与敏感文件，检查是否有异常登录和后门遗留

6总结与建议

目前Apifox官方已发布新版本修复了此问题，请受影响的用户尽快更新进行防护，下载链接：https://docs.apifox.com/download

此次事件凸显了软件供应链安全的严峻挑战，攻击者利用CDN基础设施的信任机制，实现了对下游用户的大规模影响，单位需建立完善的供应链安全监控体系应对此类风险。

安全加固建议：

1、Apifox启用Electron sandbox 模式，限制渲染进程的 Node.js API 访问；

2、对远程加载的JS文件实施 Subresource Integrity (SRI) 校验；

3、建立CDN资源的文件完整性监控机制；

4、对开发工具类软件的网络通信进行审计；

7IOCs

相关用户可根据以下IoC进行排查与封禁：

恶意文件

文件名: apifox-app-event-tracking.min.js

SHA256: 91d48ee33a92acef02d8c8153d1de7e7fe8ffa0f3b6e5cebfcb80b3eeebc94f1

恶意域名

apifox.it.com

*.apifox.it.com

恶意URL

hxxp[:]//cdn.apifox.com/www/assets/js/apifox-app-event-tracking.min.js

hxxp[:]//cdn.apifox.com/www/assets/js/user-tracking.min.js

最后的宣传彩蛋：

安全情报通告服务：

绿盟科技CERT日常监控国内外上百家主流软件厂商、数十家安全论坛与漏洞社区，结合每日应急安全事件和私域运营进行情报生产，并根据情报评级、PoC披露情况、产品使用流行度、实际利用价值、网空资产测绘数据等多个维度进行综合评估，及时推送最新重大安全漏洞情况及安全事件给客户，整合公司的研究、产品、服务等能力，针对突发性威胁制定可落地的安全防护方案，在威胁事件爆发之前协助客户及时发现问题，采取相关防护措施，保护用户信息系统安全，提升企业应对威胁的能力。

凭据泄露监测服务：

近年来，攻击者经常会通过购买或各种手段获取目标用户的登录凭据，进而突破系统入口开展后续攻击，目前主要被用于加密勒索等高威胁场景。为帮助客户能够快速识别自身敏感凭据的泄露风险，绿盟科技特此推出凭据泄露监测服务。此服务以SaaS方式提供，通过7x24小时持续监测数十万数据泄露渠道，结合AI驱动的数据关联分析，当检测到与客户相关的凭据泄露风险后，及时向客户进行预警。

注：对上述服务感兴趣的客户可通过联系绿盟当地区域同事或发送邮件至cert@nsfocus.com咨询交流。

绿盟科技应急响应中心（NSFOCUS CERT）致力于为客户提供及时、专业、高效的情报预警与应急服务，针对高危漏洞与安全事件进行快速响应，提供可落地的解决方案。    

END

         

        

声明

本安全公告仅用来描述可能存在的安全问题，绿盟科技不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，绿盟科技以及安全公告作者不为此承担任何责任。            

绿盟科技拥有对此安全公告的修改和解释权。如欲转载或传播此安全公告，必须保证此安全公告的完整性，包括版权声明等全部内容。未经绿盟科技允许，不得任意修改或者增减此安全公告内容，不得以任何方式将其用于商业目的。            

绿盟科技CERT∣微信公众号

绿盟科技CERT公众号.jpg

长按识别二维码，关注网络安全威胁信息

跳转微信打开

]]> Thu, 26 Mar 2026 19:33:00 +0800 【安全更新】微软3月安全更新多个产品高危漏洞通告 https://mp.weixin.qq.com/s?__biz=Mzk0MjE3ODkxNg==&mid=2247489488&idx=1&sn=e20d8759b908c428a906acdba24d075c 3月11日，绿盟科技CERT监测到微软发布3月安全更新补丁，修复了83个安全问题，涉及Windows、Microsoft Office、Microsoft SQL Server、Azure、等广泛使用的产品，其中包括权限提升、远程代码执行等高危漏洞类型。 原创 NS-CERT 2026-03-12 15:26 四川

3月11日，绿盟科技CERT监测到微软发布3月安全更新补丁，修复了83个安全问题，涉及Windows、Microsoft Office、Microsoft SQL Server、Azure、等广泛使用的产品，其中包括权限提升、远程代码执行等高危漏洞类型。

通告编号:NS-2026-0005

2026-03-12

TAG：

安全更新、Windows、Office、SQL Server、Azure

漏洞危害：

攻击者利用本次安全更新中的漏洞，可造成权限提升、远程代码执行等

版本：1.0

1

漏洞概述

3月11日，绿盟科技CERT监测到微软发布3月安全更新补丁，修复了83个安全问题，涉及Windows、Microsoft Office、Microsoft SQL Server、Azure、等广泛使用的产品，其中包括权限提升、远程代码执行等高危漏洞类型。

本月微软月度更新修复的漏洞中，严重程度为关键（Critical）的漏洞有8个，重要（Important）漏洞有75个。

请相关用户尽快更新补丁进行防护，完整漏洞列表请参考附录。

参考链接：

https://msrc.microsoft.com/update-guide/releaseNote/2026-Mar

SEE MORE →

2重点漏洞简述

根据产品流行度和漏洞重要性筛选出此次更新中包含影响较大的漏洞，请相关用户重点进行关注：

Microsoft Office远程代码执行漏洞（CVE-2026-26110）：

Microsoft Office中存在远程代码执行漏洞，由于Microsoft Office中的类型混淆问题，未经身份验证的攻击者可通过不兼容的数据类型来访问资源，用户预览窗格即会触发任意代码执行。CVSS评分8.4。

官方通告链接：

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-26110

Microsoft Office远程代码执行漏洞（CVE-2026-26113）:

Microsoft Office中存在远程代码执行漏洞，由于Microsoft Office在处理的不可信指针解引用问题，未经身份验证的攻击者可通过向用户发送特制的恶意文件，用户预览或点击后会导致任意代码执行。CVSS评分8.4。

官方通告链接：

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-26113

Microsoft Excel信息泄露漏洞（CVE-2026-26144）:

Microsoft Excel中存在信息泄露漏洞，由于Microsoft  Excel在网页生成过程中未能正确对输入数据进行处理导致跨站脚本攻击，未经身份验证的攻击者可通过Copilot Agent模式获取敏感信息。CVSS评分7.5。

官方通告链接：

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-26144

Windows Print Spooler远程代码执行漏洞（CVE-2026-23669）：

Windows Print Spooler存在远程代码执行漏洞，由于Windows Print Spooler允许释放后重用（use-after-free），经过身份验证的攻击者可通过网络执行任意代码。CVSS评分8.8。

官方通告链接：

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-23669

Windows SMB Server权限提升漏洞（CVE-2026-24294）：

Windows SMB Server中存在权限提升漏洞，由于Windows SMB 服务器中存在身份验证不当问题，经过身份验证的本地攻击者可将权限提升到SYSTEM。CVSS评分7.8。

官方通告链接：

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-24294

Windows 图形组件权限提升漏洞（CVE-2026-23668）：

Windows 图形组件中存在权限提升漏洞，由于Microsoft Graphics Component 中使用共享资源时同步机制有缺陷，经过身份验证的攻击者可通过条件竞争将权限提升到SYSTEM。CVSS评分7.0。

官方通告链接：

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-23668

3影响范围

以下为部分重点关注漏洞的受影响产品版本，其他漏洞影响产品范围请参阅官方通告链接。

漏洞编号

受影响产品版本

CVE-2026-26110

Microsoft Office for Android

Microsoft Office 2016 (64-bit edition)

Microsoft Office 2016 (32-bit edition)

Microsoft Office LTSC for Mac 2024

Microsoft Office LTSC 2024 for 64-bit editions

Microsoft Office LTSC 2024 for 32-bit editions

Microsoft Office LTSC 2021 for 32-bit editions

Microsoft Office LTSC 2021 for 64-bit editions

Microsoft Office LTSC for Mac 2021

Microsoft 365 Apps for Enterprise for 64-bit Systems

Microsoft 365 Apps for Enterprise for 32-bit Systems

Microsoft Office 2019 for 64-bit editions

Microsoft Office 2019 for 32-bit editions

CVE-2026-26113

Microsoft Office 2016 (64-bit edition)

Microsoft Office 2016 (32-bit edition)

Microsoft Office LTSC for Mac 2024

Microsoft Office LTSC 2024 for 64-bit editions

Microsoft Office LTSC 2024 for 32-bit editions

Microsoft Office LTSC 2021 for 64-bit editions

Microsoft Office LTSC for Mac 2021

Microsoft 365 Apps for Enterprise for 64-bit Systems

Microsoft 365 Apps for Enterprise for 32-bit Systems

Microsoft Office 2019 for 64-bit editions

Microsoft Office 2019 for 32-bit editions

Microsoft SharePoint Server 2019

Microsoft SharePoint Server Subscription Edition

Microsoft SharePoint Enterprise Server 2016

CVE-2026-26144

Microsoft 365 Apps for Enterprise for 32-bit Systems

Microsoft 365 Apps for Enterprise for 64-bit Systems

CVE-2026-23669

CVE-2026-24294

Windows Server 2012 R2 (Server Core installation)

Windows Server 2012 R2

Windows Server 2012 (Server Core installation)

Windows Server 2012

Windows Server 2016 (Server Core installation)

Windows Server 2016

Windows 10 Version 1607 for x64-based Systems

Windows 10 Version 1607 for 32-bit Systems

Windows Server 2025

Windows 11 Version 24H2 for x64-based Systems

Windows 11 Version 24H2 for ARM64-based Systems

Windows Server 2022, 23H2 Edition (Server Core installation)

Windows 11 Version 23H2 for x64-based Systems

Windows 11 Version 23H2 for ARM64-based Systems

Windows 11 Version 25H2 for x64-based Systems

Windows 11 Version 25H2 for ARM64-based Systems

Windows Server 2025 (Server Core installation)

Windows 10 Version 22H2 for 32-bit Systems

Windows 10 Version 22H2 for ARM64-based Systems

Windows 10 Version 22H2 for x64-based Systems

Windows 10 Version 21H2 for x64-based Systems

Windows 10 Version 21H2 for ARM64-based Systems

Windows 10 Version 21H2 for 32-bit Systems

Windows Server 2022 (Server Core installation)

Windows Server 2022

Windows Server 2019 (Server Core installation)

Windows Server 2019

Windows 10 Version 1809 for x64-based Systems

Windows 10 Version 1809 for 32-bit Systems

Windows 11 version 26H1 for x64-based Systems

Windows 11 Version 26H1 for ARM64-based Systems

CVE-2026-23668

Windows Server 2012 R2 (Server Core installation)

Windows Server 2012 R2

Windows Server 2012 (Server Core installation)

Windows Server 2012

Windows Server 2016 (Server Core installation)

Windows Server 2016

Windows 10 Version 1607 for x64-based Systems

Windows 10 Version 1607 for 32-bit Systems

Windows Server 2022, 23H2 Edition (Server Core installation)

Windows 11 Version 23H2 for x64-based Systems

Windows 11 Version 23H2 for ARM64-based Systems

Windows 10 Version 22H2 for 32-bit Systems

Windows 10 Version 22H2 for ARM64-based Systems

Windows 10 Version 22H2 for x64-based Systems

Windows 10 Version 21H2 for x64-based Systems

Windows 10 Version 21H2 for ARM64-based Systems

Windows 10 Version 21H2 for 32-bit Systems

Windows Server 2022 (Server Core installation)

Windows Server 2022

Windows Server 2019 (Server Core installation)

Windows Server 2019

Windows 10 Version 1809 for x64-based Systems

Windows 10 Version 1809 for 32-bit Systems

4漏洞防护 

4.1 补丁更新

目前微软官方已针对受支持的产品版本发布了修复以上漏洞的安全补丁，强烈建议受影响用户尽快安装补丁进行防护，官方下载链接：

https://msrc.microsoft.com/update-guide/releaseNote/2026-Mar

 注：由于网络问题、计算机环境问题等原因，Windows Update的补丁更新可能出现失败。用户在安装补丁后，应及时检查补丁是否成功更新。

右键点击Windows图标，选择“设置(N)”，选择“更新和安全”-“Windows更新”，查看该页面上的提示信息，也可点击“查看更新历史记录”查看历史更新情况。

针对未成功安装的更新，可点击更新名称跳转到微软官方下载页面，建议用户点击该页面上的链接，转到“Microsoft更新目录”网站下载独立程序包并安装。

附录：漏洞列表

影响产品

CVE编号

漏洞标题

严重程度

Microsoft Office

CVE-2026-26113

Microsoft Office远程代码执行漏洞

Critical

Azure

CVE-2026-23651

Microsoft ACI Confidential Containers权限提升漏洞

Critical

Device

CVE-2026-21536

Microsoft Devices Pricing Program远程代码执行漏洞

Critical

Azure

CVE-2026-26124

Microsoft ACI Confidential Containers权限提升漏洞

Critical

Other

CVE-2026-26125

Payment Orchestrator Service权限提升漏洞

Critical

Azure

CVE-2026-26122

Microsoft ACI Confidential Containers信息泄露漏洞

Critical

Microsoft Office

CVE-2026-26110

Microsoft Office远程代码执行漏洞

Critical

Microsoft Office

CVE-2026-26144

Microsoft Excel信息泄露漏洞

Critical

Microsoft SQL Server

CVE-2026-21262

SQL Server权限提升漏洞

Important

Azure

CVE-2026-23660

Windows Admin Center in Azure Portal权限提升漏洞

Important

Azure

CVE-2026-23664

Azure IoT Explorer信息泄露漏洞

Important

Windows

CVE-2026-23667

Broadcast DVR权限提升漏洞

Important

Windows

CVE-2026-23668

Windows Graphics Component权限提升漏洞

Important

Windows

CVE-2026-23669

Windows Print Spooler远程代码执行漏洞

Important

Windows

CVE-2026-23671

Windows Bluetooth RFCOM Protocol Driver权限提升漏洞

Important

Windows

CVE-2026-23672

Windows Universal Disk Format File System Driver (UDFS)权限提升漏洞

Important

Windows

CVE-2026-23673

Windows Resilient File System (ReFS)权限提升漏洞

Important

Windows

CVE-2026-24282

Push message Routing Service权限提升漏洞

Important

Windows

CVE-2026-24283

Multiple UNC Provider Kernel Driver权限提升漏洞

Important

Microsoft Office,Windows

CVE-2026-24285

Win32k权限提升漏洞

Important

Windows

CVE-2026-24287

Windows Kernel权限提升漏洞

Important

Windows

CVE-2026-24288

Windows Mobile Broadband Driver远程代码执行漏洞

Important

Windows

CVE-2026-24289

Windows Kernel权限提升漏洞

Important

Windows

CVE-2026-24290

Windows Projected File System权限提升漏洞

Important

Windows

CVE-2026-24291

Windows Accessibility Infrastructure (ATBroker.exe)权限提升漏洞

Important

Windows

CVE-2026-24292

Windows Connected Devices Platform Service权限提升漏洞

Important

Windows

CVE-2026-24293

Windows Ancillary Function Driver for WinSock权限提升漏洞

Important

Windows

CVE-2026-24294

Windows SMB Server权限提升漏洞

Important

Windows

CVE-2026-24295

Windows Device Association Service权限提升漏洞

Important

Windows

CVE-2026-24296

Windows Device Association Service权限提升漏洞

Important

Windows

CVE-2026-24297

Windows Kerberos安全功能绕过漏洞

Important

Windows

CVE-2026-25165

Performance Counters for Windows权限提升漏洞

Important

Windows

CVE-2026-25166

Windows System Image Manager Assessment and Deployment Kit (ADK)远程代码执行漏洞

Important

Windows

CVE-2026-25167

Microsoft Brokering File System权限提升漏洞

Important

Windows

CVE-2026-25168

Windows Graphics Component拒绝服务漏洞

Important

Windows

CVE-2026-25169

Windows Graphics Component拒绝服务漏洞

Important

Windows

CVE-2026-25170

Windows Hyper-V权限提升漏洞

Important

Windows

CVE-2026-25171

Windows Authentication权限提升漏洞

Important

Windows

CVE-2026-25172

Windows Routing and Remote Access Service (RRAS)远程代码执行漏洞

Important

Windows

CVE-2026-25173

Windows Routing and Remote Access Service (RRAS)远程代码执行漏洞

Important

Windows

CVE-2026-25174

Windows Extensible File Allocation Table权限提升漏洞

Important

Windows

CVE-2026-25175

Windows NTFS权限提升漏洞

Important

Windows

CVE-2026-25176

Windows Ancillary Function Driver for WinSock权限提升漏洞

Important

Windows

CVE-2026-25177

Active Directory Domain Services权限提升漏洞

Important

Windows

CVE-2026-25178

Windows Ancillary Function Driver for WinSock权限提升漏洞

Important

Windows

CVE-2026-25179

Windows Ancillary Function Driver for WinSock权限提升漏洞

Important

Microsoft Office,Windows

CVE-2026-25180

Windows Graphics Component信息泄露漏洞

Important

Windows

CVE-2026-25181

GDI+信息泄露漏洞

Important

Windows

CVE-2026-25185

Windows Shell Link Processing欺骗漏洞

Important

Windows

CVE-2026-25186

Windows Accessibility Infrastructure (ATBroker.exe)信息泄露漏洞

Important

Windows

CVE-2026-25187

Winlogon权限提升漏洞

Important

Windows

CVE-2026-25188

Windows Telephony Service权限提升漏洞

Important

Windows

CVE-2026-25189

Windows DWM Core Library权限提升漏洞

Important

Windows

CVE-2026-25190

GDI远程代码执行漏洞

Important

Microsoft Office

CVE-2026-26105

Microsoft SharePoint Server欺骗漏洞

Important

Windows

CVE-2026-26111

Windows Routing and Remote Access Service (RRAS)远程代码执行漏洞

Important

Microsoft Office

CVE-2026-26112

Microsoft Excel远程代码执行漏洞

Important

Microsoft Office

CVE-2026-26114

Microsoft SharePoint Server远程代码执行漏洞

Important

Windows

CVE-2026-23656

Windows App Installer欺骗漏洞

Important

System Center

CVE-2026-20967

System Center Operations Manager (SCOM)权限提升漏洞

Important

Azure

CVE-2026-26121

Azure IOT Explorer欺骗漏洞

Important

Microsoft SQL Server

CVE-2026-26115

SQL Server权限提升漏洞

Important

Microsoft SQL Server

CVE-2026-26116

SQL Server权限提升漏洞

Important

Windows

CVE-2026-26128

Windows SMB Server权限提升漏洞

Important

.NET 10.0 installed on Linux

CVE-2026-26131

.NET权限提升漏洞

Important

Windows

CVE-2026-26132

Windows Kernel权限提升漏洞

Important

Microsoft Office

CVE-2026-26134

Microsoft Office权限提升漏洞

Important

Microsoft.Bcl.Memory,.NET 9.0 installed on Windows,.NET 10.0 installed on Windows,.NET 9.0 installed on Mac OS,.NET 10.0 installed on Linux,.NET 10.0 installed on Mac OS,.NET 9.0 installed on Linux

CVE-2026-26127

.NET拒绝服务漏洞

Important

Windows

CVE-2026-23674

MapUrlToZone安全功能绕过漏洞

Important

Azure

CVE-2026-26148

Microsoft Azure AD SSH Login extension for Linux权限提升漏洞

Important

Open Source Software

CVE-2026-23654

GitHub: Zero Shot SCFoundation远程代码执行漏洞

Important

Azure

CVE-2026-23661

Azure IoT Explorer信息泄露漏洞

Important

Azure

CVE-2026-23662

Azure IoT Explorer信息泄露漏洞

Important

Azure

CVE-2026-23665

Linux Azure Diagnostic extension (LAD)权限提升漏洞

Important

Microsoft Office

CVE-2026-26106

Microsoft SharePoint Server远程代码执行漏洞

Important

Microsoft Office

CVE-2026-26107

Microsoft Excel远程代码执行漏洞

Important

Microsoft Office

CVE-2026-26108

Microsoft Excel远程代码执行漏洞

Important

Microsoft Office

CVE-2026-26109

Microsoft Excel远程代码执行漏洞

Important

Azure

CVE-2026-26117

Arc Enabled Servers - Azure Connected Machine Agent权限提升漏洞

Important

Azure

CVE-2026-26118

Azure MCP Server Tools权限提升漏洞

Important

Apps

CVE-2026-26123

Microsoft Authenticator信息泄露漏洞

Important

ASP.NET Core

CVE-2026-26130

ASP.NET Core拒绝服务漏洞

Important

Azure

CVE-2026-26141

Hybrid Worker Extension (Arcenabled Windows VMs)权限提升漏洞

Important

END

         

        

声明

本安全公告仅用来描述可能存在的安全问题，绿盟科技不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，绿盟科技以及安全公告作者不为此承担任何责任。            

绿盟科技拥有对此安全公告的修改和解释权。如欲转载或传播此安全公告，必须保证此安全公告的完整性，包括版权声明等全部内容。未经绿盟科技允许，不得任意修改或者增减此安全公告内容，不得以任何方式将其用于商业目的。            

绿盟科技CERT∣微信公众号

绿盟科技CERT公众号.jpg

长按识别二维码，关注网络安全威胁信息

跳转微信打开

]]> Thu, 12 Mar 2026 15:26:00 +0800 【漏洞通告】GNU InetUtils Telnetd远程身份验证绕过漏洞（CVE-2026-24061） https://mp.weixin.qq.com/s?__biz=Mzk0MjE3ODkxNg==&mid=2247489484&idx=1&sn=708c34d925835056baf7652dfdd9d5dd 近日，绿盟科技CERT监测到GNU发布安全公告，修复了GNU InetUtils Telnetd远程身份验证绕过漏洞（CVE-2026-24061），CVSS评分9.8，目前漏洞细节与PoC已公开，请相关用户尽快采取措施进行防护。 原创 NS-CERT 2026-01-22 18:05 四川

近日，绿盟科技CERT监测到GNU发布安全公告，修复了GNU InetUtils Telnetd远程身份验证绕过漏洞（CVE-2026-24061），CVSS评分9.8，目前漏洞细节与PoC已公开，请相关用户尽快采取措施进行防护。

通告编号:NS-2026-0003

2026-01-22

TAG：

GNU InetUtils Telnetd、验证绕过、CVE-2026-24061

漏洞危害：

攻击者利用此漏洞，可实现身份验证绕过。

版本：1.0

1

漏洞概述

近日，绿盟科技CERT监测到GNU发布安全公告，修复了GNU InetUtils Telnetd远程身份验证绕过漏洞（CVE-2026-24061）；由于telnetd进程在调用/usr/bin/login时未对从客户端传入的USER环境变量值进行有效校验，未经身份验证的攻击者可通过客户端构造特制的USER环境变量值，并使用telnet(1) 的-a或--login参数发送到服务器，从而绕过正常的身份验证以root权限登录目标主机。CVSS评分9.8，目前漏洞细节与PoC已公开，请相关用户尽快采取措施进行防护。

GNU InetUtils是GNU项目开发的一组核心网络工具套件，包含ftp、ping、telnet等常用网络命令的实现，广泛用于Linux/Unix系统的网络通信与管理。GNU InetUtils telnetd是GNU InetUtils套件中的telnet服务器守护进程，用于实现TELNET协议的服务器端功能。

参考链接：

https://lists.gnu.org/archive/html/bug-inetutils/2026-01/msg00004.html

SEE MORE →

2影响范围

受影响版本

  • 1.9.3 <= GNU Inetutils <= 2.7

    注：已知Debian/Ubuntu/Kali Linux/Trisquel等多个Linux发行版受影响；

3漏洞检测

3.1 人工检测

相关用户可判断主机是否开启了telnetd服务，使用如下命令查看telnetd的版本：

apt show telnetd | grep -E "Source"

/usr/sbin/telnetd --version

若当前版本在受影响范围内，则可能存在安全风险。

4暴露面风险排查

4.1 云端检测

绿盟科技外部攻击面管理服务（EASM）支持telnetd服务风险的互联网资产排查，目前已帮助服务客户群体完成了暴露面排查，在威胁发生前及时进行漏洞预警与闭环处置。

感兴趣的客户可通过联系绿盟当地区域同事或发送邮件至rs@nsfocus.com安排详细的咨询交流。

4.2 工具排查

绿盟科技自动化渗透测试工具（EZ）支持telnetd的服务识别，可使用servicescan2模块进行扫描。（注：企业版请联系绿盟销售人员获取）

工具下载链接：https://github.com/m-sec-org/EZ/releases

新用户请注册M-SEC社区（https://msec.nsfocus.com）申请证书进行使用：

5漏洞防护

5.1 官方更新

目前官方已发布安全补丁修复该漏洞，请受影响的用户尽快安装更新进行防护，下载链接：

https://codeberg.org/inetutils/inetutils/commit/fd702c02497b2f398e739e3119bed0b23dd7aa7b

https://codeberg.org/inetutils/inetutils/commit/ccba9f748aa8d50a38d7748e2e60362edd6a32cc

5.2 其他防护措施

若相关用户暂时无法进行更新操作，也可使用下列措施进行临时防护：

1、由于telnet协议为明文传输，建议禁用telnetd服务 替换为sshd服务。

2、配置InetUtils telnetd使用自定义地址的login工具，并禁止使用-f参数。

END

         

        

声明

本安全公告仅用来描述可能存在的安全问题，绿盟科技不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，绿盟科技以及安全公告作者不为此承担任何责任。            

绿盟科技拥有对此安全公告的修改和解释权。如欲转载或传播此安全公告，必须保证此安全公告的完整性，包括版权声明等全部内容。未经绿盟科技允许，不得任意修改或者增减此安全公告内容，不得以任何方式将其用于商业目的。            

绿盟科技CERT∣微信公众号

绿盟科技CERT公众号.jpg

长按识别二维码，关注网络安全威胁信息

阅读原文

跳转微信打开

]]> Thu, 22 Jan 2026 18:05:00 +0800 【安全更新】微软1月安全更新多个产品高危漏洞 https://mp.weixin.qq.com/s?__biz=Mzk0MjE3ODkxNg==&mid=2247489476&idx=1&sn=3520c03b51e279ce544a362114c705d2 1月14日，绿盟科技CERT监测到微软发布1月安全更新补丁，修复了112个安全问题，涉及Windows、Microsoft Office、Microsoft SQL Server、Azure等广泛使用的产品，其中包括权限提升、远程代码执行等高危漏洞类型。 原创 NS-CERT 2026-01-14 16:49 四川

1月14日，绿盟科技CERT监测到微软发布1月安全更新补丁，修复了112个安全问题，涉及Windows、Microsoft Office、Microsoft SQL Server、Azure等广泛使用的产品，其中包括权限提升、远程代码执行等高危漏洞类型。

通告编号:NS-2026-0002

2026-01-14

TAG：

安全更新、Windows、Office、SQL Server、Azure

漏洞危害：

攻击者利用本次安全更新中的漏洞，可造成权限提升、远程代码执行等

版本：1.0

1

漏洞概述

1月14日，绿盟科技CERT监测到微软发布1月安全更新补丁，修复了112个安全问题，涉及Windows、Microsoft Office、Microsoft SQL Server、Azure等广泛使用的产品，其中包括权限提升、远程代码执行等高危漏洞类型。

本月微软月度更新修复的漏洞中，严重程度为Critical的漏洞有8个，Important漏洞有104个。其中包括1个已检测到在野利用的漏洞：

Desktop Window Manager信息泄露漏洞（CVE-2026-20805）

请相关用户尽快更新补丁进行防护，完整漏洞列表请参考附录。

参考链接：

https://msrc.microsoft.com/update-guide/releaseNote/2026-Jan

SEE MORE →

2重点漏洞简述

根据产品流行度和漏洞重要性筛选出此次更新中包含影响较大的漏洞，请相关用户重点进行关注：

Desktop Window Manager信息泄露漏洞（CVE-2026-20805）：

Desktop Window Manager (DWM) 中存在信息泄露漏洞，由于DWM 在处理与远程 ALPC端口相关的操作时未能正确防护内存信息，经过身份验证的攻击者可通过特制请求获取系统的敏感信息。该漏洞已存在在野利用，CVSS评分5.5。

官方通告链接：

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-20805

Microsoft Office远程代码执行漏洞（CVE-2026-20952/CVE-2026-20953）：

Microsoft Office中存在远程代码执行漏洞，由于Microsoft Office在处理特制文档时的释放后重用（use-after-free）问题，未经身份验证的攻击者可通过向用户发送含恶意链接的邮件，用户预览或点击后会导致远程代码执行。CVSS评分8.4。

官方通告链接：

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-20952

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-20953

Microsoft Excel远程代码执行漏洞（CVE-2026-20955/CVE-2026-20957）：

Microsoft Excel中存在远程代码执行漏洞，由于Excel的不可信指针解引用与整数下溢问题，未经身份验证的攻击者可以通过制作恶意的文件诱使用户打开，从而在受害者主机上执行任意代码。CVSS评分7.8。

官方通告链接：

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-20955

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-20957

Microsoft Word远程代码执行漏洞（CVE-2026-20944）：

Microsoft Word中存在远程代码执行漏洞，由于Word的越界读取问题，未经身份验证的攻击者可通过制作恶意的文件诱使用户打开或预览窗格，从而在用户上下文中执行任意代码。CVSS评分8.4。

官方通告链接：

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-20944

Windows Local Security Authority Subsystem Service (LSASS)远程代码执行漏洞（CVE-2026-20854）:

Windows LSASS中存在远程代码执行漏洞，由于Windows LSASS的释放后重用（use-after-free）问题，经过身份验证的攻击者可通过修改特定目录属性并提供特制数据，从而导致系统引用无效内存执行任意代码。CVSS评分7.5。

官方通告链接：

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-20854

Windows NTFS远程代码执行漏洞（CVE-2026-20840）：

Windows NTFS中存在远程代码执行漏洞，由于Windows NTFS基于堆的缓冲区溢出，经过身份验证的攻击者可在本地执行任意代码。CVSS评分7.8。

官方通告链接：

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-20840

Windows Graphics Component权限提升漏洞（CVE-2026-20822）：

Windows Graphics Component中存在权限提升漏洞，经过身份验证的本地攻击者可通过条件竞争释放后重用（use-after-free）将权限提升到SYSTEM。CVSS评分7.8。

官方通告链接：

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-20822

Windows Virtualization-Based Security (VBS) Enclave权限提升漏洞（CVE-2026-20876）：

Windows VBS中存在权限提升漏洞，由于VBS Enclave基于堆的缓冲区溢出问题，经过身份验证的本地攻击者可将权限提升到SYSTEM。CVSS评分6.7。

官方通告链接：

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-20876

3影响范围

以下为部分重点关注漏洞的受影响产品版本，其他漏洞影响产品范围请参阅官方通告链接。

漏洞编号

受影响产品版本

CVE-2026-20805

Windows 10 Version 1809 for x64-based Systems

Windows 10 Version 1809 for 32-bit Systems

Windows Server 2012 R2 (Server Core installation)

Windows Server 2012 R2

Windows Server 2012 (Server Core installation)

Windows Server 2012

Windows Server 2016 (Server Core installation)

Windows Server 2016

Windows 10 Version 1607 for x64-based Systems

Windows 10 Version 1607 for 32-bit Systems

Windows Server 2025

Windows 11 Version 24H2 for x64-based Systems

Windows 11 Version 24H2 for ARM64-based Systems

Windows Server 2022, 23H2 Edition (Server Core installation)

Windows 11 Version 23H2 for x64-based Systems

Windows 11 Version 23H2 for ARM64-based Systems

Windows 11 Version 25H2 for x64-based Systems

Windows 11 Version 25H2 for ARM64-based Systems

Windows Server 2025 (Server Core installation)

Windows 10 Version 22H2 for 32-bit Systems

Windows 10 Version 22H2 for ARM64-based Systems

Windows 10 Version 22H2 for x64-based Systems

Windows 10 Version 21H2 for x64-based Systems

Windows 10 Version 21H2 for ARM64-based Systems

Windows 10 Version 21H2 for 32-bit Systems

Windows Server 2022 (Server Core installation)

Windows Server 2022

Windows Server 2019 (Server Core installation)

Windows Server 2019

CVE-2026-20952/CVE-2026-20953

Microsoft Office 2016 (64-bit edition)

Microsoft Office 2016 (32-bit edition)

Microsoft Office LTSC for Mac 2024

Microsoft Office LTSC 2024 for 64-bit editions

Microsoft Office LTSC 2024 for 32-bit editions

Microsoft Office LTSC 2021 for 32-bit editions

Microsoft Office LTSC 2021 for 64-bit editions

Microsoft Office LTSC for Mac 2021

Microsoft 365 Apps for Enterprise for 64-bit Systems

Microsoft 365 Apps for Enterprise for 32-bit Systems

Microsoft Office 2019 for 32-bit editions

Microsoft Office 2019 for 64-bit editions

CVE-2026-20955

Microsoft Office LTSC for Mac 2024

Microsoft Office LTSC 2024 for 64-bit editions

Microsoft Office LTSC 2024 for 32-bit editions

Microsoft Office LTSC 2021 for 32-bit editions

Microsoft Office LTSC 2021 for 64-bit editions

Microsoft Office LTSC for Mac 2021

Microsoft 365 Apps for Enterprise for 64-bit Systems

Microsoft 365 Apps for Enterprise for 32-bit Systems

Microsoft Office 2019 for 64-bit editions

Microsoft Office 2019 for 32-bit editions

Office Online Server

CVE-2026-20957

Microsoft Excel 2016 (64-bit edition)

Microsoft Excel 2016 (32-bit edition)

Microsoft Office LTSC for Mac 2024

Microsoft Office LTSC 2024 for 64-bit editions

Microsoft Office LTSC 2024 for 32-bit editions

Microsoft Office LTSC 2021 for 32-bit editions

Microsoft Office LTSC 2021 for 64-bit editions

Microsoft Office LTSC for Mac 2021

Microsoft 365 Apps for Enterprise for 64-bit Systems

Microsoft 365 Apps for Enterprise for 32-bit Systems

Microsoft Office 2019 for 64-bit editions

Microsoft Office 2019 for 32-bit editions

Office Online Server

CVE-2026-20944

Microsoft Office LTSC for Mac 2024

Microsoft Office LTSC for Mac 2021

Microsoft 365 Apps for Enterprise for 64-bit Systems

Microsoft 365 Apps for Enterprise for 32-bit Systems

CVE-2026-20854

Windows Server 2025

Windows 11 Version 24H2 for x64-based Systems

Windows 11 Version 24H2 for ARM64-based Systems

Windows 11 Version 25H2 for x64-based Systems

Windows 11 Version 25H2 for ARM64-based Systems

Windows Server 2025 (Server Core installation)

CVE-2026-20840

Windows 11 Version 24H2 for x64-based Systems

Windows 11 Version 24H2 for ARM64-based Systems

Windows Server 2022, 23H2 Edition (Server Core installation)

Windows 11 Version 23H2 for x64-based Systems

Windows 11 Version 23H2 for ARM64-based Systems

Windows 11 Version 25H2 for x64-based Systems

Windows 11 Version 25H2 for ARM64-based Systems

Windows Server 2025 (Server Core installation)

Windows 10 Version 22H2 for 32-bit Systems

Windows 10 Version 22H2 for ARM64-based Systems

Windows 10 Version 22H2 for x64-based Systems

Windows 10 Version 21H2 for x64-based Systems

Windows Server 2012 R2 (Server Core installation)

Windows Server 2012 R2

Windows Server 2012 (Server Core installation)

Windows Server 2012

Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)

Windows Server 2008 R2 for x64-based Systems Service Pack 1

Windows Server 2008 for x64-based Systems Service Pack 2 (Server Core installation)

Windows Server 2008 for x64-based Systems Service Pack 2

Windows Server 2008 for 32-bit Systems Service Pack 2 (Server Core installation)

Windows Server 2008 for 32-bit Systems Service Pack 2

Windows Server 2016 (Server Core installation)

Windows Server 2016

Windows 10 Version 1607 for x64-based Systems

Windows 10 Version 1607 for 32-bit Systems

Windows Server 2025

Windows 10 Version 21H2 for ARM64-based Systems

Windows 10 Version 21H2 for 32-bit Systems

Windows Server 2022 (Server Core installation)

Windows Server 2022

Windows Server 2019 (Server Core installation)

Windows Server 2019

Windows 10 Version 1809 for x64-based Systems

Windows 10 Version 1809 for 32-bit Systems

CVE-2026-20822

Windows Server 2016 (Server Core installation)

Windows Server 2016

Windows 10 Version 1607 for x64-based Systems

Windows 10 Version 1607 for 32-bit Systems

Windows Server 2025

Windows 11 Version 24H2 for x64-based Systems

Windows 11 Version 24H2 for ARM64-based Systems

Windows Server 2022, 23H2 Edition (Server Core installation)

Windows 11 Version 23H2 for x64-based Systems

Windows 11 Version 23H2 for ARM64-based Systems

Windows 11 Version 25H2 for x64-based Systems

Windows 11 Version 25H2 for ARM64-based Systems

Windows Server 2025 (Server Core installation)

Windows 10 Version 22H2 for 32-bit Systems

Windows 10 Version 22H2 for ARM64-based Systems

Windows 10 Version 22H2 for x64-based Systems

Windows 10 Version 21H2 for x64-based Systems

Windows 10 Version 21H2 for ARM64-based Systems

Windows 10 Version 21H2 for 32-bit Systems

Windows Server 2022 (Server Core installation)

Windows Server 2022

Windows Server 2019 (Server Core installation)

Windows Server 2019

Windows 10 Version 1809 for x64-based Systems

Windows 10 Version 1809 for 32-bit Systems

CVE-2026-20876

Windows Server 2025

Windows 11 Version 24H2 for x64-based Systems

Windows 11 Version 24H2 for ARM64-based Systems

Windows Server 2022, 23H2 Edition (Server Core installation)

Windows 11 Version 23H2 for x64-based Systems

Windows 11 Version 23H2 for ARM64-based Systems

Windows 11 Version 25H2 for x64-based Systems

Windows 11 Version 25H2 for ARM64-based Systems

Windows Server 2025 (Server Core installation)

4漏洞防护 

4.1 补丁更新

目前微软官方已针对受支持的产品版本发布了修复以上漏洞的安全补丁，强烈建议受影响用户尽快安装补丁进行防护，官方下载链接：

https://msrc.microsoft.com/update-guide/releaseNote/2026-Jan

注：由于网络问题、计算机环境问题等原因，Windows Update的补丁更新可能出现失败。用户在安装补丁后，应及时检查补丁是否成功更新。

右键点击Windows图标，选择“设置(N)”，选择“更新和安全”-“Windows更新”，查看该页面上的提示信息，也可点击“查看更新历史记录”查看历史更新情况。

针对未成功安装的更新，可点击更新名称跳转到微软官方下载页面，建议用户点击该页面上的链接，转到“Microsoft更新目录”网站下载独立程序包并安装。

附录：漏洞列表

影响产品

CVE编号

漏洞标题

严重程度

Windows

CVE-2026-20822

Windows Graphics Component权限提升漏洞

Critical

Windows

CVE-2026-20876

Windows Virtualization-Based Security (VBS) Enclave权限提升漏洞

Critical

Microsoft Office

CVE-2026-20944

Microsoft Word远程代码执行漏洞

Critical

Microsoft Office

CVE-2026-20953

Microsoft Office远程代码执行漏洞

Critical

Microsoft Office

CVE-2026-20955

Microsoft Excel远程代码执行漏洞

Critical

Windows

CVE-2026-20854

Windows Local Security Authority Subsystem Service (LSASS)远程代码执行漏洞

Critical

Microsoft Office

CVE-2026-20952

Microsoft Office远程代码执行漏洞

Critical

Microsoft Office

CVE-2026-20957

Microsoft Excel远程代码执行漏洞

Critical

Windows

CVE-2026-20962

Dynamic Root of Trust for Measurement (DRTM)信息泄露漏洞

Important

Windows

CVE-2026-21265

Secure Boot Certificate Expiration安全功能绕过漏洞

Important

Windows

CVE-2026-0386

Windows Deployment Services远程代码执行漏洞

Important

Microsoft SQL Server

CVE-2026-20803

Microsoft SQL Server权限提升漏洞

Important

Azure

CVE-2026-20965

Windows Admin Center权限提升漏洞

Important

Windows

CVE-2026-20804

Windows Hello篡改漏洞

Important

Windows

CVE-2026-20805

Desktop Window Manager信息泄露漏洞

Important

Windows

CVE-2026-20808

Windows File Explorer权限提升漏洞

Important

Windows

CVE-2026-20809

Windows Kernel Memory权限提升漏洞

Important

Windows

CVE-2026-20810

Windows Ancillary Function Driver for WinSock权限提升漏洞

Important

Windows

CVE-2026-20811

Win32k权限提升漏洞

Important

Windows

CVE-2026-20812

LDAP篡改漏洞

Important

Windows

CVE-2026-20814

DirectX Graphics Kernel权限提升漏洞

Important

Windows

CVE-2026-20815

Capability Access Management Service (camsvc)权限提升漏洞

Important

Windows

CVE-2026-20816

Windows Installer权限提升漏洞

Important

Windows

CVE-2026-20817

Windows Error Reporting Service权限提升漏洞

Important

Windows

CVE-2026-20818

Windows Kernel信息泄露漏洞

Important

Windows

CVE-2026-20819

Windows Virtualization-Based Security (VBS)信息泄露漏洞

Important

Windows

CVE-2026-20820

Windows Common Log File System Driver权限提升漏洞

Important

Windows

CVE-2026-20821

Remote Procedure Call信息泄露漏洞

Important

Windows

CVE-2026-20823

Windows File Explorer信息泄露漏洞

Important

Windows

CVE-2026-20824

Windows Remote Assistance安全功能绕过漏洞

Important

Windows

CVE-2026-20825

Windows Hyper-V信息泄露漏洞

Important

Windows

CVE-2026-20826

Tablet Windows User Interface (TWINUI) Subsystem信息泄露漏洞

Important

Windows

CVE-2026-20827

Tablet Windows User Interface (TWINUI) Subsystem信息泄露漏洞

Important

Windows

CVE-2026-20828

Windows rndismp6.sys信息泄露漏洞

Important

Windows

CVE-2026-20829

TPM Trustlet信息泄露漏洞

Important

Windows

CVE-2026-20831

Windows Ancillary Function Driver for WinSock权限提升漏洞

Important

Windows

CVE-2026-20832

Windows Remote Procedure Call Interface Definition Language (IDL)权限提升漏洞

Important

Windows

CVE-2026-20833

Windows Kerberos信息泄露漏洞

Important

Windows

CVE-2026-20834

Windows欺骗漏洞

Important

Windows

CVE-2026-20835

Capability Access Management Service (camsvc)信息泄露漏洞

Important

Windows

CVE-2026-20836

DirectX Graphics Kernel权限提升漏洞

Important

Windows

CVE-2026-20837

Windows Media远程代码执行漏洞

Important

Windows

CVE-2026-20838

Windows Kernel信息泄露漏洞

Important

Windows

CVE-2026-20839

Windows Client-Side Caching (CSC) Service信息泄露漏洞

Important

Windows

CVE-2026-20840

Windows NTFS远程代码执行漏洞

Important

Windows

CVE-2026-20842

Microsoft DWM Core Library权限提升漏洞

Important

Windows

CVE-2026-20844

Windows Clipboard Server权限提升漏洞

Important

Windows

CVE-2026-20847

Microsoft Windows File Explorer欺骗漏洞

Important

Windows

CVE-2026-20851

Capability Access Management Service (camsvc)信息泄露漏洞

Important

Windows

CVE-2026-20852

Windows Hello篡改漏洞

Important

Windows

CVE-2026-20856

Windows Server Update Service (WSUS)远程代码执行漏洞

Important

Windows

CVE-2026-20857

Windows Cloud Files Mini Filter Driver权限提升漏洞

Important

Windows

CVE-2026-20858

Windows Management Services权限提升漏洞

Important

Windows

CVE-2026-20859

Windows Kernel-Mode Driver权限提升漏洞

Important

Windows

CVE-2026-20860

Windows Ancillary Function Driver for WinSock权限提升漏洞

Important

Windows

CVE-2026-20864

Windows Connected Devices Platform Service权限提升漏洞

Important

Windows

CVE-2026-20865

Windows Management Services权限提升漏洞

Important

Windows

CVE-2026-20869

Windows Local Session Manager (LSM)权限提升漏洞

Important

Windows

CVE-2026-20875

Windows Local Security Authority Subsystem Service (LSASS)拒绝服务漏洞

Important

Windows

CVE-2026-20877

Windows Management Services权限提升漏洞

Important

Windows

CVE-2026-20918

Windows Management Services权限提升漏洞

Important

Windows

CVE-2026-20919

Windows SMB Server权限提升漏洞

Important

Windows

CVE-2026-20920

Win32k权限提升漏洞

Important

Windows

CVE-2026-20921

Windows SMB Server权限提升漏洞

Important

Windows

CVE-2026-20922

Windows NTFS远程代码执行漏洞

Important

Windows

CVE-2026-20923

Windows Management Services权限提升漏洞

Important

Windows

CVE-2026-20924

Windows Management Services权限提升漏洞

Important

Windows

CVE-2026-20925

NTLM Hash Disclosure欺骗漏洞

Important

Windows

CVE-2026-20926

Windows SMB Server权限提升漏洞

Important

Windows

CVE-2026-20927

Windows SMB Server拒绝服务漏洞

Important

Windows

CVE-2026-20932

Windows File Explorer信息泄露漏洞

Important

Windows

CVE-2026-20934

Windows SMB Server权限提升漏洞

Important

Windows

CVE-2026-20938

Windows Virtualization-Based Security (VBS) Enclave权限提升漏洞

Important

Windows

CVE-2026-20940

Windows Cloud Files Mini Filter Driver权限提升漏洞

Important

Microsoft Office

CVE-2026-20943

Microsoft Office Click-To-Run权限提升漏洞

Important

Microsoft Office

CVE-2026-20946

Microsoft Excel远程代码执行漏洞

Important

Microsoft Office

CVE-2026-20951

Microsoft SharePoint Server远程代码执行漏洞

Important

Microsoft Office

CVE-2026-20956

Microsoft Excel远程代码执行漏洞

Important

Microsoft Office

CVE-2026-20959

Microsoft SharePoint Server欺骗漏洞

Important

Microsoft Office

CVE-2026-20963

Microsoft SharePoint远程代码执行漏洞

Important

Windows

CVE-2026-20830

Capability Access Management Service (camsvc)权限提升漏洞

Important

Windows

CVE-2026-21221

Capability Access Management Service (camsvc)权限提升漏洞

Important

Azure

CVE-2026-21224

Azure Connected Machine Agent权限提升漏洞

Important

Microsoft Office

CVE-2026-20947

Microsoft SharePoint Server远程代码执行漏洞

Important

Windows

CVE-2026-20843

Windows Routing and Remote Access Service (RRAS)权限提升漏洞

Important

Windows

CVE-2026-20848

Windows SMB Server权限提升漏洞

Important

Windows

CVE-2026-20849

Windows Kerberos权限提升漏洞

Important

Windows

CVE-2026-20853

Windows WalletService权限提升漏洞

Important

Windows SDK

CVE-2026-21219

Inbox COM Objects (Global Memory)远程代码执行漏洞

Important

Windows

CVE-2026-20861

Windows Management Services权限提升漏洞

Important

Windows

CVE-2026-20862

Windows Management Services信息泄露漏洞

Important

Windows

CVE-2026-20863

Win32k权限提升漏洞

Important

Windows

CVE-2026-20866

Windows Management Services权限提升漏洞

Important

Windows

CVE-2026-20867

Windows Management Services权限提升漏洞

Important

Windows

CVE-2026-20868

Windows Routing and Remote Access Service (RRAS)远程代码执行漏洞

Important

Windows

CVE-2026-20870

Windows Win32 Kernel Subsystem权限提升漏洞

Important

Windows

CVE-2026-20871

Desktop Windows Manager权限提升漏洞

Important

Windows

CVE-2026-20872

NTLM Hash Disclosure欺骗漏洞

Important

Windows

CVE-2026-20873

Windows Management Services权限提升漏洞

Important

Windows

CVE-2026-20874

Windows Management Services权限提升漏洞

Important

Windows

CVE-2026-20929

Windows HTTP.sys权限提升漏洞

Important

Windows

CVE-2026-20931

Windows Telephony Service权限提升漏洞

Important

Windows

CVE-2026-20935

Windows Virtualization-Based Security (VBS)信息泄露漏洞

Important

Windows

CVE-2026-20936

Windows NDIS信息泄露漏洞

Important

Windows

CVE-2026-20937

Windows File Explorer信息泄露漏洞

Important

Windows

CVE-2026-20939

Windows File Explorer信息泄露漏洞

Important

Microsoft Office

CVE-2026-20948

Microsoft Word远程代码执行漏洞

Important

Microsoft Office

CVE-2026-20949

Microsoft Excel安全功能绕过漏洞

Important

Microsoft Office

CVE-2026-20950

Microsoft Excel远程代码执行漏洞

Important

Microsoft Office

CVE-2026-20958

Microsoft SharePoint信息泄露漏洞

Important

Windows

CVE-2026-20941

Host Process for Windows Tasks权限提升漏洞

Important

Azure

CVE-2026-21226

Azure Core shared client library for Python远程代码执行漏洞

Important

END

         

        

声明

本安全公告仅用来描述可能存在的安全问题，绿盟科技不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，绿盟科技以及安全公告作者不为此承担任何责任。            

绿盟科技拥有对此安全公告的修改和解释权。如欲转载或传播此安全公告，必须保证此安全公告的完整性，包括版权声明等全部内容。未经绿盟科技允许，不得任意修改或者增减此安全公告内容，不得以任何方式将其用于商业目的。            

绿盟科技CERT∣微信公众号

绿盟科技CERT公众号.jpg

长按识别二维码，关注网络安全威胁信息

阅读原文

跳转微信打开

]]> Wed, 14 Jan 2026 16:49:00 +0800 【漏洞通告】Apache Struts外部实体(XXE)注入漏洞S2-069（CVE-2025-68493） https://mp.weixin.qq.com/s?__biz=Mzk0MjE3ODkxNg==&mid=2247489472&idx=1&sn=db2067a5b796dfec6e3aadef74bb9c40 近日，绿盟科技CERT监测到Apache发布安全公告，修复了Apache Struts外部实体(XXE)注入漏洞S2-069（CVE-2025-68493）。CVSS评分9.8，目前漏洞细节与PoC已公开，请相关用户尽快采取措施进行防护。 原创 NS-CERT 2026-01-13 15:33 四川

近日，绿盟科技CERT监测到Apache发布安全公告，修复了Apache Struts外部实体(XXE)注入漏洞S2-069（CVE-2025-68493）。CVSS评分9.8，目前漏洞细节与PoC已公开，请相关用户尽快采取措施进行防护。

通告编号:NS-2026-0001

2026-01-13

TAG：

Apache Struts、XXE、S2-069、CVE-2025-68493

漏洞危害：

攻击者利用此漏洞，可实现任意文件读取或拒绝服务等。

版本：1.0

1

漏洞概述

近日，绿盟科技CERT监测到Apache发布安全公告，修复了Apache Struts外部实体(XXE)注入漏洞S2-069（CVE-2025-68493）；由于Apache Struts的XWork组件在解析XML配置时未进行有效验证，攻击者可通过构造恶意的XML数据注入外部实体，从而读取服务器敏感文件、进行服务器端请求伪造或拒绝服务攻击。CVSS评分9.8，目前漏洞细节与PoC已公开，请相关用户尽快采取措施进行防护。

Apache Struts是用于创建Java Web应用程序的开源框架，旨在为Java Web开发提供一个灵活、强大且易于扩展的解决方案，应用非常广泛。

参考链接：

https://cwiki.apache.org/confluence/display/WW/S2-069

SEE MORE →

2影响范围

受影响版本

  • 2.0.0 <= Apache Struts <= 2.3.37（EOL）

  • 2.5.0 <= Apache Struts <= 2.5.33（EOL）

  • 6.0.0 <= Apache Struts <= 6.1.0

不受影响版本

  • Apache Struts >= 6.1.1

3漏洞检测

3.1 人工检测

使用maven打包的项目可通过pom.xml查看当前使用的struts版本：

也可通过查看lib中的核心包查看struts版本

若当前版本在受影响范围内，则可能存在安全风险。

4暴露面风险排查

4.1 云端检测

绿盟科技外部攻击面管理服务（EASM）支持CVE-2025-68493漏洞风险的互联网资产排查，目前已帮助服务客户群体完成了暴露面排查，在威胁发生前及时进行漏洞预警与闭环处置。

感兴趣的客户可通过联系绿盟当地区域同事或发送邮件至rs@nsfocus.com安排详细的咨询交流。

4.2 工具排查

绿盟科技自动化渗透测试工具（EZ）支持Apache Struts的服务识别，可直接使用web模块进行扫描。（注：企业版请联系绿盟销售人员获取）

工具下载链接：https://github.com/m-sec-org/EZ/releases

新用户请注册M-SEC社区（https://msec.nsfocus.com）申请证书进行使用：

5漏洞防护

5.1 官方升级

目前官方已发布新版本修复了该漏洞，请受影响的用户尽快升级版本进行防护，下载链接：https://struts.apache.org/download.cgi

5.2 临时防护措施

若相关用户暂时无法进行升级操作，可通过下列措施进行临时缓解：

1、使用自定义SAXParserFactory配置，通过设置系统xwork.saxParserFactory=指向自定义的工厂类，实现默认禁用外部实体；

2、在JVM启动参数中配置以下系统属性，可禁用默认XML解析器的外部实体访问；

-Djavax.xml.accessExternalDTD=""
-Djavax.xml.accessExternalSchema=""
-Djavax.xml.accessExternalStylesheet=""

注：设置为空字符串可阻断所有协议。

END

         

        

声明

本安全公告仅用来描述可能存在的安全问题，绿盟科技不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，绿盟科技以及安全公告作者不为此承担任何责任。            

绿盟科技拥有对此安全公告的修改和解释权。如欲转载或传播此安全公告，必须保证此安全公告的完整性，包括版权声明等全部内容。未经绿盟科技允许，不得任意修改或者增减此安全公告内容，不得以任何方式将其用于商业目的。            

绿盟科技CERT∣微信公众号

绿盟科技CERT公众号.jpg

长按识别二维码，关注网络安全威胁信息

阅读原文

跳转微信打开

]]> Tue, 13 Jan 2026 15:33:00 +0800 【安全更新】微软12月安全更新多个产品高危漏洞 https://mp.weixin.qq.com/s?__biz=Mzk0MjE3ODkxNg==&mid=2247489462&idx=1&sn=a11f3e997854bd97575bcc7c0be52bbe 12月10日，绿盟科技CERT监测到微软发布12月安全更新补丁，修复了57个安全问题，涉及Windows、Microsoft Office、Azure等广泛使用的产品，其中包括权限提升、远程代码执行等高危漏洞类型。 原创 NS-CERT 2025-12-11 11:43 四川

12月10日，绿盟科技CERT监测到微软发布12月安全更新补丁，修复了57个安全问题，涉及Windows、Microsoft Office、Azure等广泛使用的产品，其中包括权限提升、远程代码执行等高危漏洞类型。

通告编号:NS-2025-0054

2025-12-11

TAG：

安全更新、Windows、Office、Exchange Server

漏洞危害：

攻击者利用本次安全更新中的漏洞，可造成权限提升、远程代码执行等

版本：1.0

1

漏洞概述

12月10日，绿盟科技CERT监测到微软发布12月安全更新补丁，修复了57个安全问题，涉及Windows、Microsoft Office、Microsoft Exchange Server、Azure等广泛使用的产品，其中包括权限提升、远程代码执行等高危漏洞类型。

本月微软月度更新修复的漏洞中，严重程度为关键（Critical）的漏洞有3个，重要（Important）漏洞有53个。其中包括3个0day漏洞：

Windows Cloud Files Mini Filter Driver权限提升漏洞（CVE-2025-62221）

GitHub Copilot for Jetbrains远程代码执行漏洞（CVE-2025-64671）

PowerShell远程代码执行漏洞（CVE-2025-54100）

请相关用户尽快更新补丁进行防护，完整漏洞列表请参考附录。

参考链接：

https://msrc.microsoft.com/update-guide/en-us/releaseNote/2025-Dec

SEE MORE →

2重点漏洞简述

根据产品流行度和漏洞重要性筛选出此次更新中包含影响较大的漏洞，请相关用户重点进行关注：

Windows Cloud Files Mini Filter Driver权限提升漏洞（CVE-2025-62221）：

Windows Cloud Files Mini Filter Driver中存在权限提升漏洞，由于Windows Cloud Files Mini-Filter Driver在释放某内核对象后未重置指针，经过身份验证的本地攻击者可通过条件竞争释放后重用（use-after-free）内核对象将权限提升到SYSTEM。该漏洞已存在在野利用，CVSS评分7.8。

官方通告链接：

https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2025-62221

Microsoft Office远程代码执行漏洞（CVE-2025-62554）:

Microsoft Office中存在远程代码执行漏洞，由于Microsoft Office在处理资源时存在类型混淆，未经身份验证的攻击者可通过向用户发送含恶意链接的邮件，用户预览或点击后会导致远程代码执行。CVSS评分8.4。

官方通告链接：

https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2025-62554

Microsoft Office 远程代码执行漏洞（CVE-2025-62557）:

Microsoft Office中存在远程代码执行漏洞，由于Microsoft Office在释放对象后未清空指针（use-after-free），未经身份验证的攻击者可通过邮件向用户发送恶意链接，诱导用户打开或预览窗格，从而在用户计算机中执行任意代码。CVSS评分8.4。

官方通告链接：

https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2025-62557

Windows ReFS远程代码执行漏洞（CVE-2025-62456）:

Windows ReFS中存在远程代码执行漏洞，由于Windows ReFS在处理弹性文件系统（ReFS）卷的共享文件时会造成堆缓冲区溢出，经过身份验证的攻击者可通过写入超长数据到共享文件夹触发堆溢出，从而在用户计算机中执行任意代码。CVSS评分8.8。

官方通告链接：

https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2025-62456

Microsoft Exchange Server权限提升漏洞（CVE-2025-64666）

Microsoft Exchange Server中存在权限提升漏洞，由于Exchange Server未对用户输入的PowerShell参数进行充分校验，经过身份验证的攻击者可通过在网页版（ECP）或远程PowerShell发送被构造的“角色-参数”请求，把自身账户加入“Organization Management”管理员组。CVSS评分7.5。

官方通告链接：

https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2025-64666

Windows Storage VSP驱动权限提升漏洞（CVE-2025-59516）

Windows Storage VSP驱动中存在权限提升漏洞，由于Windows Storage VSP驱动在处理关键功能时缺少验证机制，经过身份验证的攻击者可通过伪造文件路径向驱动写入恶意DLL并加载，从而将权限提升到SYSTEM。CVSS评分7.8。

官方通告链接：

https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2025-59516

Windows Remote Access Connection Manager权限提升漏洞（CVE-2025-62472）

Windows 远程访问连接管理器中存在权限提升漏洞，由于Windows Remote Access Connection Manager在处理未初始化资源时未清空指针（use-after-free），经过身份验证的本地攻击者可通过运行特制程序触发内存错误将权限提升到SYSTEM。CVSS评分7.8。

官方通告链接：

https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2025-62472

Windows 路由与远程访问服务（RRAS）远程代码执行漏洞（CVE-2025-62549）

Windows 路由与远程访问服务（RRAS）中存在远程代码执行漏洞，由于Windows RRAS在解析网络返回的指针时未进行校验，未经身份验证的攻击者可通过诱导用户连接到恶意VPN/RRAS服务器，在返回包中填入特制指针，从而实现远程代码执行。CVSS评分8.8。

官方通告链接：

https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2025-62549

3影响范围

以下为部分重点关注漏洞的受影响产品版本，其他漏洞影响产品范围请参阅官方通告链接。

漏洞编号

受影响产品版本

CVE-2025-62221
CVE-2025-59516

Windows 10 Version 1809 for 32-bit Systems
Windows 10 Version 1809 for x64-based Systems
Windows 10 Version 21H2 for 32-bit Systems
Windows 10 Version 21H2 for x64-based Systems
Windows 10 Version 21H2 for ARM64-based Systems
Windows 10 Version 22H2 for 32-bit Systems
Windows 10 Version 22H2 for x64-based Systems
Windows 10 Version 22H2 for ARM64-based Systems
Windows 11 Version 23H2 for x64-based Systems
Windows 11 Version 23H2 for ARM64-based Systems
Windows 11 Version 24H2 for x64-based Systems
Windows 11 Version 24H2 for ARM64-based Systems
Windows 11 Version 25H2 for x64-based Systems
Windows 11 Version 25H2 for ARM64-based Systems
Windows Server 2019 (Server Core installation)
Windows Server 2019
Windows Server 2022 (Server Core installation)
Windows Server 2022
Windows Server 2022, 23H2 Edition (Server Core installation)
Windows Server 2025 (Server Core installation)
Windows Server 2025

CVE-2025-62554
CVE-2025-62557

Microsoft Office 2016 (32-bit edition)
Microsoft Office 2016 (64-bit edition)
Microsoft Office 2019 for 32-bit editions
Microsoft Office 2019 for 64-bit editions
Microsoft Office LTSC 2021 for 32-bit editions
Microsoft Office LTSC 2021 for 64-bit editions
Microsoft Office LTSC for Mac 2021
Microsoft Office LTSC 2024 for 32-bit editions
Microsoft Office LTSC 2024 for 64-bit editions
Microsoft Office LTSC for Mac 2024
Microsoft 365 Apps for Enterprise for 32-bit Systems
Microsoft 365 Apps for Enterprise for 64-bit Systems
Microsoft Office for Android

CVE-2025-62456

Windows 11 Version 23H2 for x64-based Systems
Windows 11 Version 23H2 for ARM64-based Systems
Windows 11 Version 24H2 for x64-based Systems
Windows 11 Version 24H2 for ARM64-based Systems
Windows 11 Version 25H2 for x64-based Systems
Windows 11 Version 25H2 for ARM64-based Systems
Windows Server 2022 (Server Core installation)
Windows Server 2022
Windows Server 2022, 23H2 Edition (Server Core installation)
Windows Server 2025 (Server Core installation)
Windows Server 2025

CVE-2025-64666

Microsoft Exchange Server 2016 Cumulative Update 23
Microsoft Exchange Server 2019 Cumulative Update 14
Microsoft Exchange Server 2019 Cumulative Update 15
Microsoft Exchange Server Subscription Edition RTM

CVE-2025-62472
CVE-2025-62549

Windows 10 Version 1607 for 32-bit Systems
Windows 10 Version 1607 for x64-based Systems
Windows 10 Version 1809 for 32-bit Systems
Windows 10 Version 1809 for x64-based Systems
Windows 10 Version 21H2 for 32-bit Systems
Windows 10 Version 21H2 for x64-based Systems
Windows 10 Version 21H2 for ARM64-based Systems
Windows 10 Version 22H2 for 32-bit Systems
Windows 10 Version 22H2 for x64-based Systems
Windows 10 Version 22H2 for ARM64-based Systems
Windows 11 Version 23H2 for x64-based Systems
Windows 11 Version 23H2 for ARM64-based Systems
Windows 11 Version 24H2 for x64-based Systems
Windows 11 Version 24H2 for ARM64-based Systems
Windows 11 Version 25H2 for x64-based Systems
Windows 11 Version 25H2 for ARM64-based Systems
Windows Server 2008 for 32-bit Systems Service Pack 2 (Server Core installation)
Windows Server 2008 for 32-bit Systems Service Pack 2
Windows Server 2008 for x64-based Systems Service Pack 2 (Server Core installation)
Windows Server 2008 for x64-based Systems Service Pack 2
Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)
Windows Server 2008 R2 for x64-based Systems Service Pack 1
Windows Server 2012 (Server Core installation)
Windows Server 2012
Windows Server 2012 R2 (Server Core installation)
Windows Server 2012 R2
Windows Server 2016 (Server Core installation)
Windows Server 2016
Windows Server 2019 (Server Core installation)
Windows Server 2019
Windows Server 2022 (Server Core installation)
Windows Server 2022
Windows Server 2022, 23H2 Edition (Server Core installation)
Windows Server 2025 (Server Core installation)
Windows Server 2025

4漏洞防护 

4.1 补丁更新

目前微软官方已针对受支持的产品版本发布了修复以上漏洞的安全补丁，强烈建议受影响用户尽快安装补丁进行防护，官方下载链接：
https://msrc.microsoft.com/update-guide/releaseNote/2025-Dec

 注：由于网络问题、计算机环境问题等原因，Windows Update的补丁更新可能出现失败。用户在安装补丁后，应及时检查补丁是否成功更新。

右键点击Windows图标，选择“设置(N)”，选择“更新和安全”-“Windows更新”，查看该页面上的提示信息，也可点击“查看更新历史记录”查看历史更新情况。

针对未成功安装的更新，可点击更新名称跳转到微软官方下载页面，建议用户点击该页面上的链接，转到“Microsoft更新目录”网站下载独立程序包并安装。

附录：漏洞列表

影响产品

CVE编号

漏洞标题

严重程度

Microsoft Office

CVE-2025-62562

Microsoft Outlook远程代码执行漏洞

Critical

Microsoft Office

CVE-2025-62554

Microsoft Office远程代码执行漏洞

Critical

Microsoft Office

CVE-2025-62557

Microsoft Office远程代码执行漏洞

Critical

Windows

CVE-2025-62454

Windows Cloud Files Mini Filter Driver权限提升漏洞

Important

Windows

CVE-2025-62456

Windows Resilient File System (ReFS)远程代码执行漏洞

Important

Windows

CVE-2025-62457

Windows Cloud Files Mini Filter Driver权限提升漏洞

Important

Windows

CVE-2025-62458

Win32k权限提升漏洞

Important

Windows

CVE-2025-62466

Windows Client-Side Caching权限提升漏洞

Important

Windows

CVE-2025-62469

Microsoft Brokering File System权限提升漏洞

Important

Windows

CVE-2025-62470

Windows Common Log File System Driver权限提升漏洞

Important

Windows

CVE-2025-62472

Windows Remote Access Connection Manager权限提升漏洞

Important

Windows

CVE-2025-62473

Windows Routing and Remote Access Service (RRAS)信息泄露漏洞

Important

Windows

CVE-2025-62549

Windows Routing and Remote Access Service (RRAS)远程代码执行漏洞

Important

Microsoft Office

CVE-2025-62561

Microsoft Excel远程代码执行漏洞

Important

Microsoft Office

CVE-2025-62563

Microsoft Excel远程代码执行漏洞

Important

Microsoft Office

CVE-2025-62564

Microsoft Excel远程代码执行漏洞

Important

Windows

CVE-2025-62571

Windows Installer权限提升漏洞

Important

Windows

CVE-2025-62572

Application Information Service权限提升漏洞

Important

Windows

CVE-2025-62573

DirectX Graphics Kernel权限提升漏洞

Important

Windows

CVE-2025-64658

Windows File Explorer权限提升漏洞

Important

Microsoft Exchange Server,Microsoft Exchange Server Subscription Edition RTM

CVE-2025-64667

Microsoft Exchange Server欺骗漏洞

Important

Microsoft Exchange Server,Microsoft Exchange Server Subscription Edition RTM

CVE-2025-64666

Microsoft Exchange Server权限提升漏洞

Important

Windows

CVE-2025-64670

Windows DirectX信息泄露漏洞

Important

Windows

CVE-2025-64673

Windows Storage VSP Driver权限提升漏洞

Important

Windows

CVE-2025-59516

Windows Storage VSP Driver权限提升漏洞

Important

Windows

CVE-2025-59517

Windows Storage VSP Driver权限提升漏洞

Important

Windows

CVE-2025-62455

Microsoft Message Queuing (MSMQ)权限提升漏洞

Important

Windows

CVE-2025-62461

Windows Projected File System权限提升漏洞

Important

Windows

CVE-2025-62462

Windows Projected File System权限提升漏洞

Important

Windows

CVE-2025-62463

DirectX Graphics Kernel拒绝服务漏洞

Important

Windows

CVE-2025-62464

Windows Projected File System权限提升漏洞

Important

Windows

CVE-2025-62465

DirectX Graphics Kernel拒绝服务漏洞

Important

Windows

CVE-2025-55233

Windows Projected File System权限提升漏洞

Important

Windows

CVE-2025-62467

Windows Projected File System权限提升漏洞

Important

Windows

CVE-2025-62468

Windows Defender Firewall Service信息泄露漏洞

Important

Windows

CVE-2025-62474

Windows Remote Access Connection Manager权限提升漏洞

Important

Azure

CVE-2025-62550

Azure Monitor Agent远程代码执行漏洞

Important

Microsoft Office

CVE-2025-62552

Microsoft Access远程代码执行漏洞

Important

Microsoft Office

CVE-2025-62553

Microsoft Excel远程代码执行漏洞

Important

Microsoft Office

CVE-2025-62555

Microsoft Word远程代码执行漏洞

Important

Microsoft Office

CVE-2025-62556

Microsoft Excel远程代码执行漏洞

Important

Microsoft Office

CVE-2025-62558

Microsoft Word远程代码执行漏洞

Important

Microsoft Office

CVE-2025-62559

Microsoft Word远程代码执行漏洞

Important

Microsoft Office

CVE-2025-62560

Microsoft Excel远程代码执行漏洞

Important

Windows

CVE-2025-62567

Windows Hyper-V拒绝服务漏洞

Important

Windows

CVE-2025-62569

Microsoft Brokering File System权限提升漏洞

Important

Windows

CVE-2025-62570

Windows Camera Frame Server Monitor信息泄露漏洞

Important

Windows

CVE-2025-62565

Windows File Explorer权限提升漏洞

Important

Windows

CVE-2025-64661

Windows Shell权限提升漏洞

Important

Other

CVE-2025-64671

GitHub Copilot for Jetbrains远程代码执行漏洞

Important

Microsoft Office

CVE-2025-64672

Microsoft SharePoint Server欺骗漏洞

Important

Windows

CVE-2025-64678

Windows Routing and Remote Access Service (RRAS)远程代码执行漏洞

Important

Windows

CVE-2025-64679

Windows DWM Core Library权限提升漏洞

Important

Windows

CVE-2025-64680

Windows DWM Core Library权限提升漏洞

Important

Windows

CVE-2025-62221

Windows Cloud Files Mini Filter Driver权限提升漏洞

Important

Windows

CVE-2025-54100

PowerShell远程代码执行漏洞

Important

Microsoft Edge (Chromium-based)

CVE-2025-62223

Microsoft Edge (Chromium-based) for Mac欺骗漏洞

Low

END

         

        

声明

本安全公告仅用来描述可能存在的安全问题，绿盟科技不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，绿盟科技以及安全公告作者不为此承担任何责任。            

绿盟科技拥有对此安全公告的修改和解释权。如欲转载或传播此安全公告，必须保证此安全公告的完整性，包括版权声明等全部内容。未经绿盟科技允许，不得任意修改或者增减此安全公告内容，不得以任何方式将其用于商业目的。            

绿盟科技CERT∣微信公众号

绿盟科技CERT公众号.jpg

长按识别二维码，关注网络安全威胁信息

阅读原文

跳转微信打开

]]> Thu, 11 Dec 2025 11:43:00 +0800 【处置手册】React/Next.js远程代码执行漏洞（CVE-2025-55182/CVE-2025-66478） https://mp.weixin.qq.com/s?__biz=Mzk0MjE3ODkxNg==&mid=2247489458&idx=1&sn=b8d1d093a18a06d85074f785729bdc99 近日，绿盟科技CERT监测到React与Next.js发布安全公告，修复了React/Next.js远程代码执行漏洞。CVSS评分10.0，目前漏洞细节与PoC/EXP已公开，且存在大规模在野利用，请相关用户尽快采取措施进行防护。 原创 NS-CERT 2025-12-05 19:04 四川

近日，绿盟科技CERT监测到React与Next.js发布安全公告，修复了React/Next.js远程代码执行漏洞。CVSS评分10.0，目前漏洞细节与PoC/EXP已公开，且存在大规模在野利用，请相关用户尽快采取措施进行防护。

通告编号:NS-2025-0053-1

2025-12-05

TAG：

React、Next.js、远程代码执行、CVE-2025-55182、CVE-2025-66478

漏洞危害：

攻击者利用此漏洞，可实现远程代码执行。

版本：1.1

1

漏洞概述

近日，绿盟科技CERT监测到React与Next.js发布安全公告，修复了React/Next.js远程代码执行漏洞（CVE-2025-55182/CVE-2025-66478）；由于React Server Components在处理HTTP请求时存在不安全地反序列化，未经身份验证的攻击者可通过构造特制表单调用Node.js内置模块，从而在目标服务器上执行任意代码 ，由于Next.js使用的App Router内嵌了React的DOM包，因此也受该漏洞影响。CVSS评分10.0，目前漏洞细节与PoC/EXP已公开，且存在大规模在野利用，请相关用户尽快采取措施进行防护。

React是Facebook推出的开源JavaScript库，采用声明式编程范式，让开发者能够高效地创建可交互的Web应用界面。

Next.js是Node.js生态中基于React的开源Web框架，其通过Server Actions功能提供了后端开发能力。

绿盟科技已成功复现此漏洞：

参考链接：

https://nextjs.org/blog/CVE-2025-66478

https://react.dev/blog/2025/12/03/critical-security-vulnerability-in-react-server-components

SEE MORE →

2影响范围

受影响版本

  • React Server = 19.1.0

  • React Server = 19.1.1

  • React Server = 19.2.0

  • 14.3.0-canary.77 <= Next.js <= 15.0.4

  • 15.1.0 <= Next.js <= 15.1.8

  • 15.2.0 <= Next.js <= 15.5.6

  • 16.0.0 <= Next.js <= 16.0.6

  • Dify <= 1.10.1

  • NextChat

注：react-router, waku, @parcel/rsc, @vitejs/plugin-rsc、rwsdk和RedwoodJS (RSC模式)等依赖React的框架/工具可能也受影响。

不受影响版本

  • React Server = 19.0.1

  • React Server = 19.1.2

  • React Server = 19.2.1

  • Next.js = 13.x

  • Next.js <= 14.3.0-canary.76

  • Next.js >= 15.0.5

  • Next.js >= 15.1.9

  • Next.js >= 15.2.6

  • Next.js >= 15.3.6

  • Next.js >= 15.4.8

  • Next.js >= 15.5.7s

  • Next.js >= 15.6.0-canary.58

  • Next.js >= 16.0.7

  • Dify >= 1.10.1-fix.1

注：仅使用Client Components (Pages Router) 和Edge Runtime的Next.js应用不受影响。

3漏洞排查

3.1 人工检测

相关用户可通过排查项目是否使用了React Server Component(RSC)：

1、判断应用是否使用next, Dify，react-router, waku, @parcel/rsc, @vitejs/plugin-rsc和rwsdk等框架组件

2、检查代码中是否使用了use server/use client

若确定使用了React Server Component(RSC)，可执行以下命令查看版本是否在受影响范围：

npm list react-server-dom-webpack react-server-dom-turbopack react-server-dom-parcel

3.2  工具检测

绿盟科技自动化渗透测试工具（EZ）已支持Next.js与Dify等框架的服务识别和CVE-2025-55182/CVE-2025-66478漏洞风险检测，可直接使用web模块进行扫描。（注：企业版请联系绿盟销售人员获取）

工具下载链接：https://github.com/m-sec-org/EZ/releases

新用户请注册M-SEC社区（https://msec.nsfocus.com）申请证书进行使用：

注：社区版本将于近日发布上述功能

3.3  产品检测

绿盟科技远程安全评估系统（RSAS）、WEB应用漏洞扫描系统(WVSS)与网络入侵检测系统（IDS）已具备上述漏洞的扫描与检测能力，请有部署以上设备的用户升级至最新版本。

升级包版本号

升级包下载链接

RSAS V6系统插件包

V6.0R02F01.4307

https://update.nsfocus.com/update/listRsasDetail/v/vulsys

RSAS V6 Web插件包

V6.0R02F00.3807

https://update.nsfocus.com/update/listRsasDetail/v/vulweb

WVSS V6插件升级包

V6.0R03F00.389

https://update.nsfocus.com/update/listWvssDetail/v/6/t/plg

IDS

5.6.11.43026

https://update.nsfocus.com/update/listNewidsDetail/v/rule5.6.10

5.6.10.43026

https://update.nsfocus.com/update/listNewidsDetail/v/rule5.6.11

2.0.0.43026

https://update.nsfocus.com/update/listNewidsDetail/v/rule5.6.11_v2

关于RSAS的升级配置指导，请参考如下链接：

https://mp.weixin.qq.com/s/SgOaCZeKrNn-4uR8Yj_C3Q

4暴露面风险排查

4.1 云端检测

绿盟科技外部攻击面管理服务（EASM）支持CVE-2025-55182/CVE-2025-66478漏洞风险的互联网资产排查，目前已帮助服务客户群体完成了暴露面排查，在威胁发生前及时进行漏洞预警与闭环处置。

image.png

感兴趣的客户可通过联系绿盟当地区域同事或发送邮件至rs@nsfocus.com安排详细的咨询交流。

4.2 本地排查

绿盟科技CTEM解决方案可以主动+被动方式进行React相关资产和CVE-2025-55182/CVE-2025-66478漏洞风险的发现和排查：

用户使用外部攻击面发现功能将CVE-2025-55182/CVE-2025-66478漏洞线索同步至云端，通过资产测绘的方式获取目标单位的受影响资产。

通过指纹识别或PoC扫描进行测绘：

支持调用各类漏洞扫描设备：

5漏洞防护

5.1 官方升级

目前官方已发布新版本修复了上述漏洞，请受影响的用户尽快升级版本进行防护，下载链接：

React：https://github.com/facebook/react/releases

Next.js：https://github.com/vercel/next.js/tags

Dify：https://github.com/langgenius/dify/releases

5.2 产品防护

针对上述漏洞，绿盟WEB应用防护系统（WAF）、绿盟科技网络入侵防护系统（IPS）、绿盟综合威胁探针（UTS）、绿盟安全管理平台（ESP-H）与绿盟智能安全运营平台（ISOP）已发布规则升级包，请相关用户升级规则包至最新版，以形成安全产品防护能力。

安全防护产品

升级包版本号

升级包下载链接

规则编号

WAF

6.0.8.1.72517

https://update.nsfocus.com/update/listWafV68Detail/v/rule

[27007078]

6.0.7.3.72517

https://update.nsfocus.com/update/listWafV67Detail/v/rule6070

6.0.7.0.72517

https://update.nsfocus.com/update/listWafSpecialDetail/v/all

IPS

5.6.11.43026

https://update.nsfocus.com/update/listNewipsDetail/v/rule5.6.11

[29515]

5.6.10.43026

https://update.nsfocus.com/update/listNewipsDetail/v/rule5.6.10

2.0.0.43026

https://update.nsfocus.com/update/listNewidsDetail/v/rule5.6.11_v2

UTS

5.6.10.43026

https://update.nsfocus.com/update/listBsaUtsDetail/v/rule2.0.0

[29515]

2.0.0.43026

https://update.nsfocus.com/update/listBsaUtsDetail/v/rule2.0.1

ESP-H

1.0.0.1.2092890

https://update.nsfocus.com/update/listesphDetail/v/V3.0R01F00NG 

[491417]

ISOP

1.0.0.1.2092890

https://update.nsfocus.com/update/listisopdetail/v/V3.0R01F00NG 

[491417]

产品规则升级的操作步骤详见如下链接：

IPS：https://mp.weixin.qq.com/s/DxQ3aaap8aujqZf-3VbNJg

5.3 临时防护措施

若相关用户暂时无法进行升级操作，可通过下列措施进行临时缓解：

1、在不影响业务的前提下，修改配置禁用React Server Components功能；

2、对Server Function端点进行访问限制。

3、使用安全设备添加自定义规则进行检测与拦截。

END

         

        

声明

本安全公告仅用来描述可能存在的安全问题，绿盟科技不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，绿盟科技以及安全公告作者不为此承担任何责任。            

绿盟科技拥有对此安全公告的修改和解释权。如欲转载或传播此安全公告，必须保证此安全公告的完整性，包括版权声明等全部内容。未经绿盟科技允许，不得任意修改或者增减此安全公告内容，不得以任何方式将其用于商业目的。            

绿盟科技CERT∣微信公众号

绿盟科技CERT公众号.jpg

长按识别二维码，关注网络安全威胁信息

阅读原文

跳转微信打开

]]> Fri, 05 Dec 2025 19:04:00 +0800 AI赋能EASM与MDR服务，React漏洞风险排查的最优解 https://mp.weixin.qq.com/s?__biz=Mzk0MjE3ODkxNg==&mid=2247489458&idx=2&sn=88878abfe7ae0df5e8e92b9a6e96010d 近日，绿盟科技CERT监测到React与Next.js发布安全公告，修复了React/Next.js远程代码执行漏洞； CVSS评分10.0。具体受影响版本与漏洞防护措施，详见绿盟科技CERT发布的漏洞通告。 原创 NS-CERT 2025-12-05 19:04 四川

近日，绿盟科技CERT监测到React与Next.js发布安全公告，修复了React/Next.js远程代码执行漏洞； CVSS评分10.0。具体受影响版本与漏洞防护措施，详见绿盟科技CERT发布的漏洞通告。

全文共1214字，阅读大约需4分钟。

一

漏洞简讯

近日，绿盟科技CERT监测到React与Next.js发布安全公告，修复了React/Next.js远程代码执行漏洞（CVE-2025-55182/CVE-2025-66478）； CVSS评分10.0，目前漏洞细节与PoC已公开，请相关用户尽快采取措施进行防护。具体受影响版本与漏洞防护措施，详见绿盟科技CERT发布的漏洞通告：

https://mp.weixin.qq.com/s/WZcYAVjIMBPH6yYVPmfYxA

二

漏洞排查难点

1

难测绘：React组件受影响版本指纹特征不明显，有大量的误报存在。

2

难定位：组件使用在各种各样的开/闭源系统当中，要想摸清需逐个开源项目筛查。

3

难扫描：漏洞点比较另类，目前POC只是特殊情况才能验证有效，当前只能通过扫描+本地确认的方式确认影响。

三

AI智能体与NSGPT风云卫深度赋能EASM与MDR服务全流程

01 漏洞预警阶段

通过漏洞预警智能体分钟级生成了漏洞报告、POC及并进行持续监测。

02 资产测绘阶段

资产测绘智能体加持的EASM服务，在4小时内根据漏洞预警结果对在服持续监测百万级 WEB资产进行重新资产测绘、漏洞评估与验证，最终排查出56个可能会受影响客户共计658个资产。

03 修复建议阶段

针对漏洞影响和实际情况智能体给出针对性的修复建议。

04 威胁狩猎阶段

MDR服务威胁狩猎智能体，秒级生成威胁狩猎规则并在4个小时内主动对在服客户近一个月日志进行回溯，成功发现42个客户曾受到攻击，最早攻击时间为11月28日凌晨00点26分。

05 风险通告与处置闭环阶段

绿盟小鹰数字人第一时间通知到可能受影响的客户，并协助客户处置闭环。

四

AI为EASM服务和MDR服务添翼

通过AI智能体与NSGPT风云卫赋能，绿盟科技将AI技术深度融入EASM服务和MDR服务全流程，为客户提供极速服务能力。在此次React漏洞应急响应中，AI能力展现出显著成效：

1

极致的响应时效：一小时内完成漏洞预警闭环和POC生成，秒级生成威胁狩猎规则，从漏洞披露到给客户发送服务报告仅用时2小时。

2

受影响资产极速定位：通过AI智能体，EASM服务4小时内完成所有在服客户风险资产资产测绘、漏洞评估与验证。

3

攻击行为精准捕获：通过NSGPT风云卫大模型处理日志速度较人工提升20~30倍，让MDR服务4小时内完成所有在服客户1个月内的日志回溯，攻击行为识别准确率达到98.5%。

五

免费申请React漏洞排查服务

EASM和MDR服务AI智能体，在本次React漏洞应急响应中成效显著。现在你只需要扫描下方二维码，就能体验到EASM极速的互联网资产风险测绘和定位服务，以及MDR 7*24小时AI+专家的主动威胁狩猎服务。

扫描二维码，即刻免费体验React漏洞排查服务

阅读原文

跳转微信打开

]]> Fri, 05 Dec 2025 19:04:00 +0800 【复现+支持检测】React/Next.js远程代码执行漏洞（CVE-2025-55182/CVE-2025-66478） https://mp.weixin.qq.com/s?__biz=Mzk0MjE3ODkxNg==&mid=2247489437&idx=1&sn=7f614ffd54ef7ad00b9119bafda9f9c7 近日，绿盟科技CERT监测到React与Next.js发布安全公告，修复了React/Next.js远程代码执行漏洞（CVE-2025-55182/CVE-2025-66478）。CVSS评分10.0，目前漏洞细节与PoC已公开。 原创 NS-CERT 2025-12-04 12:37 四川

近日，绿盟科技CERT监测到React与Next.js发布安全公告，修复了React/Next.js远程代码执行漏洞（CVE-2025-55182/CVE-2025-66478）。CVSS评分10.0，目前漏洞细节与PoC已公开。

通告编号:NS-2025-0053

2025-12-04

TAG：

React、Next.js、远程代码执行、CVE-2025-55182、CVE-2025-66478

漏洞危害：

攻击者利用此漏洞，可实现远程代码执行。

版本：1.0

1

漏洞概述

近日，绿盟科技CERT监测到React与Next.js发布安全公告，修复了React/Next.js远程代码执行漏洞（CVE-2025-55182/CVE-2025-66478）；由于React Server Components在处理HTTP请求时存在不安全地反序列化，未经身份验证的攻击者可通过构造特制表单调用Node.js内置模块，从而在目标服务器上执行任意代码 ，由于Next.js使用的App Router内嵌了React的DOM包，因此也受该漏洞影响。CVSS评分10.0，目前漏洞细节与PoC已公开，请相关用户尽快采取措施进行防护。

React是Facebook推出的开源JavaScript库，采用声明式编程范式，让开发者能够高效地创建可交互的Web应用界面。

Next.js是Node.js生态中基于React的开源Web框架，其通过Server Actions功能提供了后端开发能力。

绿盟科技已成功复现此漏洞：

参考链接：

https://nextjs.org/blog/CVE-2025-66478

https://react.dev/blog/2025/12/03/critical-security-vulnerability-in-react-server-components

SEE MORE →

2影响范围

受影响版本

  • React Server = 19.0.0

  • React Server = 19.1.0

  • React Server = 19.1.1

  • React Server = 19.2.0

注：包括react-server-dom-webpack/react-server-dom-parcel/react-server-dom-turbopack

  • 15.0.0 <= Next.js <= 15.0.4

  • 15.1.0 <= Next.js <= 15.1.8

  • 15.2.0 <= Next.js <= 15.5.6

  • 16.0.0 <= Next.js <= 16.0.6

  • Next.js >= 14.3.0-canary.77

注：react-router, waku, @parcel/rsc, @vitejs/plugin-rsc、rwsdk和RedwoodJS (RSC模式)等依赖React的框架/工具也可能受影响。

不受影响版本

  • React Server = 19.0.1

  • React Server = 19.1.2

  • React Server = 19.2.1

  • Next.js = 13.x

  • Next.js = 14.x

  • Next.js >= 15.0.5

  • Next.js >= 15.1.9

  • Next.js >= 15.2.6

  • Next.js >= 15.3.6

  • Next.js >= 15.4.8

  • Next.js >= 15.5.7

  • Next.js >= 16.0.7

注：仅使用Client Components (Pages Router) 和Edge Runtime的Next.js应用不受影响。

3漏洞排查

相关用户可通过排查项目是否使用了React Server Component(RSC)：

1、判断应用是否使用next, react-router, waku, @parcel/rsc, @vitejs/plugin-rsc和rwsdk

2、检查代码中是否使用了use server/use client

若确定使用了React Server Component(RSC)，进一步查看版本是否在受影响范围。

4暴露面风险排查

4.1 云端检测

绿盟科技外部攻击面管理服务（EASM）支持CVE-2025-55182/CVE-2025-66478漏洞风险的互联网资产排查，目前已帮助服务客户群体完成了暴露面排查，在威胁发生前及时进行漏洞预警与闭环处置。

感兴趣的客户可通过联系绿盟当地区域同事或发送邮件至rs@nsfocus.com安排详细的咨询交流。

4.2 工具排查

绿盟科技自动化渗透测试工具（EZ）已支持Next.js的服务识别和CVE-2025-55182漏洞风险检测，可直接使用web模块进行扫描。（注：企业版请联系绿盟销售人员获取）

工具下载链接：https://github.com/m-sec-org/EZ/releases

新用户请注册M-SEC社区（https://msec.nsfocus.com）申请证书进行使用：

注：社区版本将于近日发布上述功能

5漏洞防护

5.1 官方升级

目前官方已发布新版本修复了上述漏洞，请受影响的用户尽快升级版本进行防护，下载链接：

https://github.com/facebook/react/releases

 https://github.com/vercel/next.js/tags

5.2 临时防护措施

若相关用户暂时无法进行升级操作，可通过下列措施进行临时缓解：

1、在不影响业务的前提下，修改配置禁用React Server Components功能；

2、对Server Function端点进行访问限制。

END

         

        

声明

本安全公告仅用来描述可能存在的安全问题，绿盟科技不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，绿盟科技以及安全公告作者不为此承担任何责任。            

绿盟科技拥有对此安全公告的修改和解释权。如欲转载或传播此安全公告，必须保证此安全公告的完整性，包括版权声明等全部内容。未经绿盟科技允许，不得任意修改或者增减此安全公告内容，不得以任何方式将其用于商业目的。            

绿盟科技CERT∣微信公众号

绿盟科技CERT公众号.jpg

长按识别二维码，关注网络安全威胁信息

阅读原文

跳转微信打开

]]> Thu, 04 Dec 2025 12:37:00 +0800 【漏洞通告】Cursor远程代码执行漏洞（CVE-2025-62354） https://mp.weixin.qq.com/s?__biz=Mzk0MjE3ODkxNg==&mid=2247489427&idx=1&sn=0de2d32a84d3e3685723814776d55971 近日，绿盟科技CERT监测到HiddenLayer发布漏洞报告，披露了Cursor远程代码执行漏洞（CVE-2025-62354）。CVSS评分9.8，目前漏洞利用细节已公开，请相关用户尽快采取措施进行防护。 原创 NS-CERT 2025-11-28 18:18 四川

近日，绿盟科技CERT监测到HiddenLayer发布漏洞报告，披露了Cursor远程代码执行漏洞（CVE-2025-62354）。CVSS评分9.8，目前漏洞利用细节已公开，请相关用户尽快采取措施进行防护。

通告编号:NS-2025-0052

2025-11-28

TAG：

Cursor、远程代码执行、CVE-2025-62354

漏洞危害：

攻击者利用此漏洞，可实现远程代码执行。

版本：1.0

1

漏洞概述

近日，绿盟科技CERT监测到HiddenLayer发布漏洞报告，披露了Cursor远程代码执行漏洞（CVE-2025-62354）；由于Cursor在autorun模式下对终端命令的检查函数存在逻辑缺陷，未经身份验证的攻击者可通过构造特制的恶意输入绕过预设的allowlist白名单限制，从而在目标主机上实现远程代码执行。CVSS评分9.8，目前漏洞利用细节已公开，请相关用户尽快采取措施进行防护。

Cursor是一款基于VS Code开发的AI代码编辑器，深度集成了大模型，支持自然语言生成代码、自动补全、错误修复、代码重构等功能。

参考链接：

https://hiddenlayer.com/sai_security_advisor/2025-11-cursor

SEE MORE →

2影响范围

受影响版本

  • 1.3.4 <= Cursor < 2.0

不受影响版本

  • Cursor >= 2.0

3漏洞防护

3.1 官方升级

目前官方已发布新版本修复了该漏洞，请受影响的用户尽快升级版本进行防护，下载链接：https://cursor.com/cn/downloads

3.2 其他防护措施

若相关用户暂时无法进行升级操作，可使用下列措施进行临时缓解：在Cursor设置中关闭Auto-Run Mode功能

END

         

        

声明

本安全公告仅用来描述可能存在的安全问题，绿盟科技不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，绿盟科技以及安全公告作者不为此承担任何责任。            

绿盟科技拥有对此安全公告的修改和解释权。如欲转载或传播此安全公告，必须保证此安全公告的完整性，包括版权声明等全部内容。未经绿盟科技允许，不得任意修改或者增减此安全公告内容，不得以任何方式将其用于商业目的。            

绿盟科技CERT∣微信公众号

绿盟科技CERT公众号.jpg

长按识别二维码，关注网络安全威胁信息

阅读原文

跳转微信打开

]]> Fri, 28 Nov 2025 18:18:00 +0800 【漏洞通告】Fortinet FortiWeb身份验证绕过与命令注入漏洞 https://mp.weixin.qq.com/s?__biz=Mzk0MjE3ODkxNg==&mid=2247489417&idx=1&sn=08bf5aa3fb48b70cdd6a884ad30b4659 近日，绿盟科技CERT监测到Fortinet发布安全公告，修复了FortiWeb身份验证绕过与命令注入漏洞（CVE-2025-64446/CVE-2025-58034），目前漏洞细节与PoC已公开，且发现在野利用，请相关用户尽快防护。 原创 NS-CERT 2025-11-20 18:15 四川

近日，绿盟科技CERT监测到Fortinet发布安全公告，修复了FortiWeb身份验证绕过与命令注入漏洞（CVE-2025-64446/CVE-2025-58034），目前漏洞细节与PoC已公开，且发现在野利用，请相关用户尽快防护。

通告编号:NS-2025-0051

2025-11-20

TAG：

Fortinet FortiWeb、CVE-2025-64446、CVE-2025-58034

漏洞危害：

攻击者利用此漏洞，可实现身份验证绕过与命令注入。

版本：1.0

1

漏洞概述

近日，绿盟科技CERT监测到Fortinet发布安全公告，修复了FortiWeb身份验证绕过与命令注入漏洞（CVE-2025-64446/CVE-2025-58034）；组合利用可实现未授权远程代码执行，目前漏洞细节与PoC已公开，且发现在野利用，请相关用户尽快采取措施进行防护。

CVE-2025-64446：由于FortiWeb的GUI存在相对路径遍历缺陷，未经身份验证的攻击者可通过构造特制的请求在系统上执行管理命令，从而获得目标设备管理权限。CVSS评分9.1。

CVE-2025-58034：由于FortiWeb的API与CLI对操作系统命令中使用的特殊元素验证不当，经过身份验证的攻击者可通过构造特制的HTTP请求或CLI输入在系统上执行任意命令。CVSS评分7.2。

FortiWeb是Fortinet的Web应用防火墙，可保护关键业务Web应用免受针对已知和未知漏洞的攻击。

参考链接：

https://fortiguard.fortinet.com/psirt/FG-IR-25-910

https://fortiguard.fortinet.com/psirt/FG-IR-25-513

SEE MORE →

2影响范围

受影响版本

  • 8.0.0 <= FortiWeb <= 8.0.1

  • 7.6.0 <= FortiWeb <= 7.6.5

  • 7.4.0 <= FortiWeb <= 7.4.10

  • 7.2.0 <= FortiWeb <= 7.2.11

  • 7.0.0 <= FortiWeb <= 7.0.11

不受影响版本

  • FortiWeb >= 8.0.2

  • FortiWeb >= 7.6.6

  • FortiWeb >= 7.4.11

  • FortiWeb >= 7.2.12

  • FortiWeb >= 7.0.12

3暴露面风险排查

3.1 云端检测

绿盟科技外部攻击面管理服务（EASM）支持CVE-2025-64446与CVE-2025-58034漏洞风险的互联网资产排查，目前已帮助服务客户群体完成了暴露面排查，在威胁发生前及时进行漏洞预警与闭环处置。

感兴趣的客户可通过联系绿盟当地区域同事或发送邮件至rs@nsfocus.com安排详细的咨询交流。

3.2 工具排查

绿盟科技自动化渗透测试工具（EZ）支持Fortinet FortiWeb的指纹识别排查，用户可直接使用web模块进行扫描检测：

工具下载链接：https://github.com/m-sec-org/EZ/releases

 新用户请注册M-SEC社区（https://msec.nsfocus.com）申请证书进行使用：

4漏洞防护

4.1 官方升级

目前官方已发布新版本修复上述漏洞，请受影响的用户尽快更新进行防护，下载链接：https://fortiweb.ru/en/download/FortiWeb

END

         

        

声明

本安全公告仅用来描述可能存在的安全问题，绿盟科技不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，绿盟科技以及安全公告作者不为此承担任何责任。            

绿盟科技拥有对此安全公告的修改和解释权。如欲转载或传播此安全公告，必须保证此安全公告的完整性，包括版权声明等全部内容。未经绿盟科技允许，不得任意修改或者增减此安全公告内容，不得以任何方式将其用于商业目的。            

绿盟科技CERT∣微信公众号

绿盟科技CERT公众号.jpg

长按识别二维码，关注网络安全威胁信息

阅读原文

跳转微信打开

]]> Thu, 20 Nov 2025 18:15:00 +0800