ShowDoc 是一款广泛使用的开源在线文档系统，主要用于管理 API 文档、数据字典和技术说明，支持公私有项目、成员协作、分享导出、历史版本及私有化部署。

近日，微步情报局监测到 ShowDoc 修复了一处未授权PHP代码注入漏洞。微步情报局已成功复现该漏洞。经分析，ShowDoc 未授权注册接口 registerByVerify 对 username 字段仅做 trim 处理而未过滤，攻击者利用注册接口提交构造的恶意用户名后，访问特定 URL 即可触发存储的恶意代码，从而在服务器上执行任意系统命令。（完整漏洞情报请查阅https://x.threatbook.com/v5/vul/XVE-2026-54414）

此漏洞无须用户权限，未授权的攻击者成功利用此漏洞可实现远程任意命令执行，并落地持久化 webshell，完全控制受影响系统。建议受影响用户尽快修复。

综合处置优先级：高风险

官方修复方案

https://github.com/star7th/showdoc/releases/tag/v3.9.3

临时缓解措施

防护设备添加规则，拦截 POST /server/index.php?s=/Api/User/registerByVerify 中 username 参数携带 <?、__halt_compiler、system( 等特征的请求。

微步漏洞情报于2026-08-25收录该漏洞。

微步下一代威胁情报平台NGTIP及X情报中心已于漏洞收录时向漏洞订阅用户推送该漏洞情报，并将持续推送后续更新；对于已经录入资产的用户，支持实时自动化排查受影响资产。

微步威胁感知平台TDP已于20260903支持检测，检测ID：S3100184125，模型/规则高于：20260903000000 可检出。

微步威胁防御系统OneSIG已支持防护，规则ID为：3100140972

近日，微步情报局监测到互联网披露了畅捷通T+ POSSyncService SQL注入漏洞。经分析，畅捷通T+ 的 POSSyncService.asmx 接口存在前台未授权SQL注入。该服务位于会话校验白名单且不受全局安全过滤覆盖，无需认证即可调用；其多个方法将用户输入直接拼接进 SQL 语句且未参数化，攻击者可未授权读取数据库敏感信息，造成数据泄露，部分接口可实现远程代码执行。

（完整漏洞情报请查阅https://x.threatbook.com/v5/vul/XVE-2026-57096）

该漏洞技术细节已在互联网公开，攻击者可据此快速复现并实施攻击，风险较高，建议受影响用户尽快修复。

综合处置优先级：高风险

官方修复方案

官方已发布修复补丁，请访问链接下载。

• T+13.0补丁包：https://www.chanjetvip.com/product/goods/detail?id=5c4e9022a070eb00134deb99

• T+Cloud专属云2026补丁包：https://www.chanjetvip.com/product/goods/download-version?v=1787929458&id=691a8277105535f71e241032

临时缓解方式

防护设备添加规则，拦截 /tplus/POSSyncService.asmx/* 路径携带 SQL 注入特征的请求。

微步漏洞情报于2026-09-01收录该漏洞。

微步下一代威胁情报平台NGTIP及X情报中心已于漏洞收录时间向漏洞订阅用户推送该漏洞情报，并将持续推送后续更新；对于已经录入资产的用户，支持实时自动化排查受影响资产。

微步威胁感知平台TDP已于20260901支持检测，检测ID：S3100183941，模型/规则高于：20260901000000

微步威胁防御系统OneSIG已支持防护规则ID为：3100172234

JeecgBoot 是北京国炫信息技术有限公司开发的企业级低代码开发平台,内置 JimuReport(积木报表)报表组件,支持在线报表设计与导出。

近日，JeecgBoot 官方发布安全更新，修复了JeecgBoot 积木报表 auto/export 远程代码执行漏洞，该漏洞由微步 XGPT 发现并报送 JeecgBoot 官方。经分析，JeecgBoot 内置 JimuReport(积木报表)组件的 auto/export 导出接口存在未授权远程代码执行漏洞,参数值以 = 开头时被内部表达式引擎按 Excel 公式解析,该引擎具备 Groovy 脚本能力且无过滤,可执行任意命令。（完整漏洞情报请查阅https://x.threatbook.com/v5/vul/XVE-2026-53510）

未授权攻击者可构造恶意参数，远程执行任意命令，完全控制受影响系统。建议受影响用户尽快修复。

综合处置优先级：高风险

官方修复方案

Nacos是阿里巴巴开源的动态服务发现、配置管理和服务管理平台，是微服务架构体系中的核心基础设施组件之一，通常在企业内网部署，承担服务注册中心和配置中心双重角色。

近日，Nacos官方发布安全更新，修复了Nacos权限绕过漏洞。 该漏洞由于Nacos 3.0.0 至 3.2.3 版本存在鉴权作用域错配漏洞，攻击者可在未授权状态下利用此漏洞自建管理员账户，进而完全接管服务端。（完整漏洞情报请查阅https://x.threatbook.com/v5/vul/XVE-2026-53002）

Nacos是内网高价值攻击入口，该漏洞利用门槛极低(无需凭证、默认配置可利用、可自动化批量扫描)，建议所有受影响版本用户立即升级至3.2.4 及以上版本；无法立即升级的，应设置 nacos.core.auth.enabled=true并配置 token密钥，同时将 8848/9848端口限制在可信网段内。

综合处置优先级：高风险

官方修复方案

官方已发布修复方案，请访问链接下载：
https://github.com/alibaba/nacos/releases/tag/3.2.4

临时缓解方式

1、网络收敛（立即可做，无业务影响） 8848/9848/9849 及 console 端口限制到可信网段（安全组/防火墙）。Nacos 属内网设施，任何公网暴露都应回撤。

2、开启 Open API 鉴权：

变更后重启生效。代价：所有 SDK 客户端必须改为携带用户名密码。灰度时先确认业务方，避免大面积拉取配置失败。

微步漏洞情报于2026-08-20收录该漏洞。

微步下一代威胁情报平台NGTIP及X情报中心已于漏洞收录时向漏洞订阅用户推送该漏洞情报，并将持续推送后续更新；对于已经录入资产的用户，支持实时自动化排查受影响资产。

微步威胁感知平台TDP已于 20260828 支持检测，检测ID：S3100182106，模型/规则高于：20260828000000 可检出。

结论：技术链真实，但不是新的 Log4Shell，多数生产环境不受影响。

1. 风险只存在于「用 Java 序列化接收远程日志」的少数接收端，不是「装了 log4j 就会被打」。建议按「有无序列化日志接收端」排查，而不是全公司升级 log4j。

2. 是否为Log4j-core的漏洞仍存在争议，根据官方Security文档来看可能属于被拒接的那一类。

3. 微步威胁感知平台TDP对此issue相关的利用链支持检测。

2026 年 8 月 24 日，Apache Log4j2 公开 issue 4255。随后出现公开 PoC 和媒体表述「Log4j 又一次 RCE」。

本质是：Log4j 提供的反序列化白名单工具 FilteredObjectInputStream（FOIS）里放行了 java.rmi.MarshalledObject。Log4j 自己的 LogEvent 序列化格式会在还原时调用 MarshalledObject.get()，用一条没有白名单的流再解一次。于是外层白名单被绕过。

公开 PoC 在「自建接收端 + Commons Collections 等 gadget」条件下可以打成命令执行。链是成立的。

结论：不是「日志里出现恶意字符串就 RCE」，而是「有一个收 Java 序列化日志的服务，且对端不可信」。

1. 存在接收端：对 TCP/HTTP/消息队列做 Java readObject()，对象是 LogEvent（接收日志，而不是往外发日志）。

2. 对端不可信：公网或内网任意主机能连这个口（无来源限制、无 mTLS）。

3. 要打成 RCE：接收端 classpath 上还要有反序列化 gadget（如 Commons Collections 3.2.1）。没有 gadget 最多是拒绝服务或伪造日志。

多数业务不受影响，包括：只写文件/控制台、JSON/HTTP/Syslog 收日志、仅配置了 SocketAppender 往外发、普通 logger.info(用户输入)。

https://logging.apache.org/security/faq.html#deserialization

Log4cxx, Log4j, and Log4net donot deserialize data fromany source as part of their normal operation.
The hardening utilities we ship are partial andnot exhaustive; bypasses are treated as opportunities for further hardening, notas vulnerabilities inthe project.
The application performing the deserialization is responsible for ensuring that thebyte stream originates froma trusted source.

值得一提的是：

Log4j2-core 里曾带 TcpSocketServer.createSerializedSocketServer。

（参考CVE-2017-5645），大约 2.15 起已从生产库移除。当前 log4j-core不再监听端口、不再从网络反序列化。目前受影响场景主要是：

• 仍跑 ≤2.14.x 并显式启动了 TcpSocketServer 的老部署；

• 拷了官方 samples 或自研了「FOIS / ObjectInputStream 收 LogEvent」的网关。

互联网公开的POC（含 HTTP POST /log 打 RCE）都是专门搭的接收端，不是「凡用 log4j 2.x 的系统」都受影响。

要做： 找出有没有「序列化 LogEvent 接收端」。

1. 源代码排查：搜 SerializedLayout、TcpSocketServer、ObjectInputStreamLogEventBridge。注意：FilteredObjectInputStream 几乎每个 log4j-api 都有，单独命中不算。

2. 运行中 JVM：jps / jcmd GC.class_histogram 看是否加载了接收端类；ss 看 Java 是否对外 listen，再对白名单和安全组。

部分决策建议：

• 没有接收端：不受影响

• 只有发送端：去排查接收端是否受影响

• 加载了接收端且对非信任网络开放：能关则关，这属于是误用 Java 序列化传日志的部署风险。

微步情报局检测到在北京时间8月20日15:11到17:25之间，知名rust基础包arrayref被供应链攻击，该包历史累计下载量为2.45亿次，是很多rust底层库的间接依赖包。攻击者疑似控制了arrayref包的维护者账号droundy的权限，利用该账号权限在rust的源码包社区crate.io投毒了arrayref，internment和append-only-vec。下游开发者项目只要引用了该投毒版本的基础包源码，就会在编译阶段导致开发者主机失陷。

被投毒的恶意版本在crates.io的总体公开暴露时间约为 2026 年 8 月 20 日 07:11—09:25 UTC（北京时间 15:11—17:25）。但已进入本地 Cargo 缓存、CI 缓存或 vendor 目录的恶意包仍可能在窗口结束后被构建并触发。主要风险包括构建主机受控、持久化、远程命令执行，以及构建环境可访问的代码仓库令牌、包发布凭据、云平台凭据、签名材料和 CI/CD Secrets 泄露。

2026 年 8 月 20 日，攻击者首先通过仿冒账号发布proc-macro1。该包名称和内容刻意模仿合法且广泛使用的 proc-macro2，但二者不存在正常继承或替代关系。经过分析发现，攻击者于 01:55 UTC 发布不含恶意构建脚本的 proc-macro1@1.0.106 作为前期伪装，随后于 07:11:15 UTC 发布携带恶意 build.rs 的 proc-macro1@1.0.107。

约四分钟后，即07:15:00UTC，维护者droundy名下的arrayref@0.3.10被发布。该版本在原有功能代码之外新增了对proc-macro1 ^1.0.107 的依赖。随后，同一维护者账号又于07:34:07 UTC和07:37:49 UTC分别发布internment@0.8.7、append-only-vec@0.1.9，并采用相同方式将恶意依赖引入下游构建链。（截至目前，恶意版本的包被移除。）

在发布 arrayref@0.3.10 后，攻击者还连续撤回了多个近期正常版本。Cargo 不会主动替换已由 Cargo.lock 固定的正常版本，但会对被撤回的依赖发出更新提示；如果开发人员或自动化流程执行 cargo update、重新生成锁文件，或者在没有锁文件的环境中进行全新构建，依赖解析可能转向当时仍可用的恶意版本。该行为利用了维护人员对依赖更新告警的正常响应，提高了恶意版本进入下游项目的概率。

本次攻击的核心执行入口位于 proc-macro1@1.0.107 的 build.rs。Cargo 在编译包含构建脚本的依赖时会自动编译并运行该脚本，因此下游应用无须导入或调用 proc-macro1 中的任何功能。恶意脚本会识别构建主机的操作系统和处理器架构，解码经过 Base64 拆分的下载地址，关闭 TLS 证书校验，并从 23.254.165.112:9089 下载平台对应的二阶段程序。

在 Linux 和 macOS 环境中，下载内容被写入 /tmp/rust-setup，赋予执行权限后以独立进程启动；在 Windows 环境中，脚本会在用户临时目录创建 rust-setup.ps1 和 rust-setup-launch.vbs，再通过 wscript.exe 隐藏启动 PowerShell。恶意进程在启动后脱离 Cargo 构建任务，使构建脚本能够正常退出，项目编译仍可能显示成功，从而降低攻击被开发人员或流水线直接发现的概率。载荷启动时会接收 23.254.165.112:443 作为 C2 地址。根据样本分析，相关载荷具备收集主机信息、枚举 Chromium 浏览器登录来源和扩展、建立用户级持久化，以及接收下载执行脚本或系统命令等能力。

Rust 官方随后删除了 arrayref@0.3.10、internment@0.8.7 和 append-only-vec@0.1.9，并恢复此前被恶意撤回的正常版本。其中，三个恶意版本分别在线约 86、90 和 107 分钟，最晚于 09:25:24 UTC 被删除。官方还删除了 proc-macro1、proc-macro-en、aovine、arone、aronenao 和 tinymember，并建议对这些攻击者控制或关联包的所有版本进行排查。

需要注意，07:11—09:25 UTC（北京时间 15:11—17:25）是恶意包可从 crates.io 获取的主要暴露窗口，并不等同于恶意代码只能在该时间段执行。已经进入本地 Cargo 缓存、CI 缓存、基础镜像或 vendor 目录的恶意包，仍可能在后续构建中触发。因此，Cargo.lock 命中只能证明恶意版本曾进入依赖解析结果，Cargo 缓存命中表明相关包曾被下载；只有结合构建日志、进程遥测、恶意网络连接、落地文件或持久化痕迹，才能进一步判断二阶段载荷是否实际执行。

IP：23.254.165.112

Hash：

25ad700976873c76af785cb99b33c48db7df8b81f21d1e9e06b3676b9a9373ae
61198155da51b838772eecf5bfaac6cbc4dcc388dccc56658fc28a8e831b34d4
408ef22050ffc5a67e005802809026b29f297a8019f8fda91a2afa8e877ba434
492f2ab86f8d8911adc79c10ec1541704f5311d207d9d799b0d2a57fcc6a4391
c9561a3b00a0fa38b7772675d987f84bd429c55cd024fc08a98245c2d1632848
74d3447e7cf99c99ea01a16332ec27432dfb0f491e10e67cd118065a60483306

本次事件影响范围覆盖所有直接或间接依赖受影响 crate，并在开发机、CI/CD Runner、发布服务器或其他构建环境中执行 Cargo 构建的项目。已确认被投毒的版本包括：

• arrayref@0.3.10

• internment@0.8.7

• append-only-vec@0.1.9

上述版本均会引入恶意依赖 proc-macro1@1.0.107。此外，proc-macro-en@1.0.10 被公开研究认为包含相同的恶意 build.rs。Rust 官方还要求排查 proc-macro1、proc-macro-en、aovine、arone、aronenao 和 tinymember 的所有版本。

恶意包在 crates.io 的主要公开暴露窗口为 2026 年 8 月 20 日 07:11—09:25 UTC，即北京时间 15:11—17:25。该时间只代表恶意包可从公开注册表获取的主要窗口，不代表攻击只能在此期间发生。若恶意包已进入开发机 Cargo 缓存、CI 缓存、vendor 目录、基础镜像或内部制品仓库，后续构建仍可能执行其中的恶意 build.rs。

五、排查方法

https://socket.dev/blog/popular-rust-crates-compromised

https://www.stepsecurity.io/blog/arrayref-rust-crate-supply-chain-attack

https://blog.rust-lang.org/2026/08/20/supply-chain-attack-on-arrayref/

Wireshark 是开源网络协议分析器，广泛用于捕获研判、现场抓包与协议排障，命令行端 tshark 亦常被流水线用于批量解析。

2026-08-20，Wireshark官方发布安全更新，修复了Wireshark Bluetooth AVRCP 解析器堆缓冲区溢出漏洞（CVE-2026-76917）。 该漏洞由微步 XGPT 发现并报送 Wireshark官方。

Bluetooth AVRCP 解析器拼装 vendor-dependent 分片时，用 32 位无符号局部累加器 length 对已保存各分片的载荷长度求和。解析器不限制 fragment->count，且求和过程无溢出检查。分片载荷总长超过 2³² 时，length 回绕成过小的值；随后调用wmem_alloc 按该值分配堆缓冲区，再按各分片真实长度把载荷写入，造成堆越界写。

/* packet-btavrcp.c — dissect_vendor_dependent() */
length = 0;
...
for (i_frame = 1; i_frame <= fragment->count; ++i_frame) {
    data_fragment = (data_fragment_t *)wmem_tree_lookup32_le(
        fragment->fragments, i_frame);
    if (data_fragment)
        length += data_fragment->length;   /* 32 位无符号，可回绕 */
}
reassembled = (uint8_t *) wmem_alloc(pinfo->pool, length);  /* 按回绕后的过小值分配 */
/* 随后仍按 data_fragment->length 逐片 memcpy 进 reassembled */

攻击者可通过诱导目标打开特制 pcap / pcapng，或在目标实时捕获蓝牙/HCI 流量时，以远程方式向被监测链路注入同类分片，触发上述堆越界写。该漏洞可导致解析进程崩溃，满足特定利用条件时可执行任意代码。建议受影响用户尽快修复。

（完整漏洞情报请查阅https://x.threatbook.com/v5/vul/XVE-2026-52993）

综合处置优先级：低风险

官方修复方案

官方已发布修复方案，请访问链接下载：
https://www.wireshark.org/security/wnpa-sec-2026-91

临时缓解方式

1、避免在受影响版本的 Wireshark / tshark 打开来源不可信的蓝牙或 HCI 捕获。

2、若需实时解析蓝牙或 HCI，应对捕获链路实施射频隔离，并禁止未授权设备向该链路注入 AVCTP / AVRCP。 

3、在已启用协议列表中临时关闭 Bluetooth AVRCP Profile(协议名 btavrcp)；tshark 使用 --disable-protocol btavrcp。

微步漏洞情报于2026-08-20收录该漏洞。

微步下一代威胁情报平台NGTIP及X情报中心已于漏洞收录时向漏洞订阅用户推送该漏洞情报，并将持续推送后续更新；对于已经录入资产的用户，支持实时自动化排查受影响资产。

PostgreSQL 是全球广泛应用的开源关系型数据库管理系统，以其功能丰富、标准兼容性强和高扩展性著称，广泛用于企业级数据存储与事务处理。

由于 PostgreSQL to_char(timestamptz) 函数存在堆缓冲区溢出漏洞，攻击者通过数据库认证后，可构造超长 POSIX 时区缩写造成内存损坏；满足特定利用条件时，可在数据库进程所属用户权限下执行任意代码。建议受影响用户尽快修复。

（完整漏洞情报请查阅https://x.threatbook.com/v5/vul/XVE-2026-48936）

综合处置优先级：中风险

官方修复方案

官方已发布修复方案，请访问链接下载：
https://www.postgresql.org/docs/release/14.24 ; https://www.postgresql.org/docs/release/15.19 ; https://www.postgresql.org/docs/release/16.15 ; https://www.postgresql.org/docs/release/17.11 ; https://www.postgresql.org/docs/release/18.5

临时缓解方式

1、限制数据库端口（常见 5432）仅对受信任内网或应用主机开放，避免暴露到不可信网络。

2、修改弱密码，仅保留业务所需账号。

微步漏洞情报于2026-08-13收录该漏洞。

微步下一代威胁情报平台NGTIP及X情报中心已于漏洞收录时向漏洞订阅用户推送该漏洞情报，并将持续推送后续更新；对于已经录入资产的用户，支持实时自动化排查受影响资产。

官方修复方案

Apple 建议所有用户尽快通过设置 > 通用 > 软件更新进行升级。

官方修复通告地址：

https://support.apple.com/en-us/128067

微步漏洞情报于 2026-07-27 收录该漏洞。

微步下一代威胁情报平台NGTIP及X情报中心已于漏洞收录时向漏洞订阅用户推送该漏洞情报，并将持续推送后续更新；对于已经录入资产的用户，支持实时自动化排查受影响资产。

官方修复方案

Apple 建议所有用户尽快通过设置 > 通用 > 软件更新进行升级。

官方修复通告地址：

https://support.apple.com/en-us/128067

微步漏洞情报于 2026-07-28 收录该漏洞。

微步下一代威胁情报平台NGTIP及X情报社区已于漏洞收录时向漏洞订阅用户推送该漏洞情报，并将持续推送后续更新；对于已经录入资产的用户，支持实时自动化排查受影响资产。

Fastjson2 是阿里巴巴开源的 Java JSON 解析库重构升级版,凭借高性能和简洁的 API 在国内 Java 生态中占主导地位,广泛应用于企业后端服务、微服务网关、数据接口层等核心场景。

今日，微步情报局监测到互联网披露了Fastjson2 远程代码执行漏洞。根因在于Fastjson2 虽然默认未开启 SupportAutoType ，但通过内置白名单哈希路径处理 JSON 中的 @type：校验仅将输入的增量 FNV-1a 哈希与默认接受哈希比对，命中后并不核对明文是否等于预期白名单类名，也不拦截 :、! 等协议字符，从而将完整类型名交给上下文 ClassLoader 的 loadClass。

攻击者仅需控制 JSON 请求体,无需目标系统存在任何已知危险类,即可触发远程代码执行,可能导致服务器被完全接管。建议受影响用户尽快修复。（完整漏洞情报请查阅https://x.threatbook.com/v5/vul/XVE-2026-42782）

综合处置优先级：高风险

官方修复方案

https://github.com/alibaba/fastjson2/pull/7695/changes

临时缓解建议

1、启用Fastjson2的安全模式：JVM 参数 -Dfastjson2.parser.safeMode=true

2、使用防护类设备拦截请求体中 key 包含 @type 字段的 JSON 数据

微步漏洞情报于2026-07-27收录该漏洞。

微步下一代威胁情报平台NGTIP及X情报社区已于漏洞收录时向漏洞订阅用户推送该漏洞情报，并将持续推送后续更新；对于已经录入资产的用户，支持实时自动化排查受影响资产。

微步威胁感知平台TDP默认支持检测，检测ID：S3100181052、S3100181042、S3100181053，S3100181015，模型/规则高于：20260720000000 可检出。

微步威胁防御系统OneSIG已支持防护规则ID为：3100181052、3100181042、3100181053、3100181015

微步云原生应用安全平台 OneCloud 已于2026-07-27支持检测该漏洞

NGINX 是一款广泛使用的开源高性能 HTTP 服务器及反向代理服务器。

近日，Nginx Open Source官方发布通告，修复了NGINX regex map 远程代码执行漏洞（CVE-2026-42533）。经分析，NGINX 在处理 map 指令正则匹配和字符串变量拼接时存在堆缓冲区溢出漏洞，远程未认证攻击者可通过构造 HTTP 请求触发任意代码执行。（完整漏洞情报请查阅https://x.threatbook.com/v5/vul/XVE-2026-38424）

该漏洞同时具备信息泄露能力，理论上可辅助绕过 ASLR。并在满足特定配置、目标内存布局和利用链稳定性等条件时进一步实现完整 RCE。建议受影响用户尽快修复。

综合处置优先级：高风险

使用单条 HTTP 请求触发漏洞，AddressSanitizer 捕获 CVE-2026-42533 的堆缓冲区越界写。

官方修复方案

官方已发布修复方案，请访问链接下载：
https://my.f5.com/manage/s/article/K000162097

官方临时缓解建议

无法立即升级时，建议将受影响配置中的未命名正则捕获改为命名正则捕获，并确保命名捕获变量仅在执行该正则匹配的同一配置块内引用。

1、微步漏洞情报于2026-07-20收录该漏洞。

2、微步下一代威胁情报平台NGTIP及X情报社区已于漏洞收录时向漏洞订阅用户推送该漏洞情报，并将持续推送后续更新；对于已经录入资产的用户，支持实时自动化排查受影响资产。

3、微步威胁感知平台TDP已于2026-07-21支持检测，检测ID：S3100181078，模型/规则高于：20260721000000可检出。

4、微步云原生应用安全平台OneCloud 已于2026-07-21支持检测该漏洞，并可通过识别 Nginx 配置特征精准判断漏洞的实际影响程度。

Fastjson 是 Alibaba 开源的一款基于 Java 的快速 JSON 解析器/生成器,广泛用于 Java 应用的 JSON 序列化与反序列化。

近日，微步情报局监测到互联网披露了Fastjson 远程代码执行漏洞。经分析，Fastjson <= 1.2.83 版本存在远程代码执行漏洞,远程攻击者通过向使用受影响版本 Fastjson 的应用发送特制的恶意 JSON 数据,无需依赖任何第三方类库,即可在目标服务器上执行任意代码。

此漏洞无须用户权限，攻击者成功利用此漏洞可远程攻击者可在未启用安全模式的目标服务器上执行任意代码,直接威胁系统机密性、完整性与可用性,可导致服务器被完全控制。建议受影响用户尽快修复。

综合处置优先级：高风险

临时缓解措施

1、官方暂未发布该漏洞补丁及修复版本,鉴于 fastjson 1.x 系列已停更，建议迁移至 Fastjson 2.x 版本

2、可通过以下任意一种方式启用 Fastjson 的安全模式(SafeMode):

• 代码启用： ParserConfig.getGlobalInstance().setSafeMode(true)

• JVM 启动参数启用： -Dfastjson.parser.safeMode=true

• 配置文件启用： fastjson.parser.safeMode=true

3、使用防护类设备拦截带有如下内容的POST、JSON请求：

·@type":"jar:file:.

·@type":"jar:http:..

微步漏洞情报于2026-07-20收录该漏洞。

微步威胁感知平台TDP已于2026-07-20支持检测，检测ID：S3100181015，模型/规则高于：20260720000000可检出。

Fastjson 是 Alibaba 开源的一款基于 Java 的快速 JSON 解析器/生成器,广泛用于 Java 应用的 JSON 序列化与反序列化。

近日，微步情报局监测到互联网披露了Fastjson 远程代码执行漏洞。经分析，Fastjson 1.2.68 至 1.2.83 版本存在远程代码执行漏洞,远程攻击者通过向使用受影响版本 Fastjson 的应用发送特制的恶意 JSON 数据,无需依赖任何第三方类库,即可在目标服务器上执行任意代码。

此漏洞无须用户权限，攻击者成功利用此漏洞可远程攻击者可在未启用安全模式的目标服务器上执行任意代码,直接威胁系统机密性、完整性与可用性,可导致服务器被完全控制。建议受影响用户尽快修复。

综合处置优先级：高风险

临时缓解措施

1、官方暂未发布该漏洞补丁及修复版本,鉴于 fastjson 1.x 系列已停更，建议迁移至 Fastjson 2.x 版本

2、可通过以下任意一种方式启用 Fastjson 的安全模式(SafeMode):

• 代码启用： ParserConfig.getGlobalInstance().setSafeMode(true)

• JVM 启动参数启用： -Dfastjson.parser.safeMode=true

• 配置文件启用： fastjson.parser.safeMode=true

微步漏洞情报于2026-07-20收录该漏洞。

微步威胁感知平台TDP已于2026-07-20支持检测，检测ID：S3100181015，模型/规则高于：20260720000000可检出。

Eclipse Jetty 是一款由 Eclipse Foundation 维护的开源 Java HTTP 服务器和 Servlet 容器,广泛应用于企业级 Java 应用、微服务架构、嵌入式 Web 服务器及各类开源框架(如 Spring Boot)中,支持 HTTP/1.1、HTTP/2、WebSocket 等协议。

近日，Jetty官方修复了由微步情报局发现的 Eclipse Jetty 12 路径穿越漏洞（CVE-2026-8384），Jetty 在处理带有路径参数（Path Parameter）的 HTTP URI 时的规范化（Normalization）机制缺陷，当 URI 中包含分号（;）分隔的路径参数结合目录遍历序列（../）时，Jetty 未能正确解析和规范化路径。（完整漏洞情报请查阅https://x.threatbook.com/v5/vul/XVE-2026-14084）

针对依赖 Jetty 路径信息的自定义业务逻辑（例如使用Jetty的安全约束SecurityHandler.PathMapped/ConstraintMapping 保护某些路径，或者应用代码用 Request.getPathInContext() 做路径鉴权），攻击者可利用该漏洞绕过受保护路径的安全约束，未授权访问原本需要认证或特定角色权限的资源。

目前暂未发现关于该漏洞的大规模利用行为，但该漏洞易被用于针对特定应用的定向攻击，建议受影响用户尽快修复。

综合处置优先级：高风险

官方修复方案

jetty官方已发布修复通告，请受影响的用户升级至12.0.35、12.1.9及以上版本。通告链接为：
https://github.com/jetty/jetty.project/security/advisories/GHSA-w7x5-g22v-xqhr

临时缓解措施

1、在应用层避免直接信任 Request.getPathInContext()、canonicalPath() 等单一路径结果作为安全决策依据

2、使用反向代理、网关、负载均衡或安全防护系统拒绝包含 ;/../、;x/../、;/./、;x/./ 等路径参数的请求

微步漏洞情报于2026-04-16收录该漏洞。

微步下一代威胁情报平台NGTIP及X情报社区已向漏洞订阅用户推送该漏洞情报，并将持续推送后续更新；对于已经录入资产的用户，支持实时自动化排查受影响资产。

微步威胁感知平台TDP默认支持检测。

libseccomp 是 Linux 系统中广泛使用的 seccomp 过滤器编译库，为容器运行时（如Docker、containerd）、沙箱应用及安全敏感服务提供系统调用访问控制能力。

近日，微步安全大模型 XGPT 发现 libseccomp 存在三个安全漏洞，分别涉及过滤器规则合并逻辑错误、整数溢出及双重释放问题：

1. GHSA-4q85-33p6-j5g6 为过滤器规则合并缺陷，该漏洞源于 libseccomp 在构建过滤器树时，_db_tree_add() 函数存在复制粘贴错误，导致在合并同一系统调用的多条 64 位参数比较规则时，false-path动作字段未被正确更新。攻击者可利用此缺陷绕过本应生效的 seccomp 限制，执行被安全策略禁止的系统调用，例如可能实现容器逃逸或权限提升。

2. GHSA-46fr-jh49-xvhx 与 GHSA-2hqh-5c36-grrm 两个漏洞均涉及 BPF 指令计数溢出问题：struct bpf_program.blk_cnt 字段为 16 位无符号整数，当生成的过滤器包含超过 65,535 条 BPF 指令时发生回绕，导致堆腐败及双重释放，进而导致编译过滤器崩溃（DoS）,可能在特定条件下实现代码执行。

官方修复方案

官方已发布修复版本，请升级至 libseccomp v2.6.1 或更高版本。
https://github.com/seccomp/libseccomp/releases/tag/v2.6.1

临时缓解措施

1. 审查现有 seccomp 策略，识别并重写存在冲突的 SCMP_CMP_LT 或 SCMP_CMP_LE 规则

2. 不要在特权进程中编译不受信任的 seccomp 配置文件

3. 对用户提供的 seccomp 配置设置规则数量上限（建议不超过 10,000 条）

微步漏洞情报于2026年7月2日收录该漏洞。

微步下一代威胁情报平台NGTIP及X情报社区已于漏洞收录时向漏洞订阅用户推送该漏洞情报，并将持续推送后续更新；对于已经录入资产的用户，支持实时自动化排查受影响资产。

官方修复方案

Apple 建议所有用户尽快通过设置 > 通用 > 软件更新进行升级。官方修复通告地址：：
https://support.apple.com/en-us/127594

微步漏洞情报于2026-06-29收录该漏洞。

微步下一代威胁情报平台NGTIP及X情报社区已于漏洞收录时向漏洞订阅用户推送该漏洞情报，并将持续推送后续更新；对于已经录入资产的用户，支持实时自动化排查受影响资产。

NGINX 是全球最流行的 Web 服务器和反向代理服务器，广泛应用于 API 网关与负载均衡等场景。

近期，微步情报局发现NGINX存在远程代码执行漏洞，该漏洞由微步旗下安全大模型XGPT挖掘。

该漏洞源于 nginx proxy_v2 与 gRPC 模块在进行 HPACK Header 编码时，错误估算字符串长度整数所需缓冲区大小，导致在特定非默认配置下分配的堆缓冲区小于实际写入长度，进而触发堆越界写，可造成 nginx worker 进程崩溃，并存在进一步导致信息泄露或远程代码执行的风险。

漏洞利用需同时满足以下条件：

1. 目标需同时启用 HTTP/2 上游转发

2. 配置超大请求头缓冲区（MB级别）

3. 关闭非法 Header 过滤

受影响的配置文件如下所示：

# 1. 启用 HTTP/2 上游转发
proxy_http_version2;
# 或 gRPC 场景：
# grpc_pass backend;
# 2. 允许超大请求头
large_client_header_buffers44m;
# 报告复现环境中使用的是：
# large_client_header_buffers 12 5m;
# 3. 允许非法 Header 名通过
ignore_invalid_headersoff;

综合处置优先级：中风险

官方修复方案

官方已发布修复方案，请访问链接下载：
https://my.f5.com/manage/s/article/K000161584

临时缓解措施

1. 移除配置中的 ignore_invalid_headers off，恢复默认的非法 Header 过滤行为

2. 将 large_client_header_buffers 的单个 buffer 大小降低到 2MB 以下

微步漏洞情报于2026-06-17收录该漏洞。

微步下一代威胁情报平台NGTIP及X情报社区已于漏洞收录时向漏洞订阅用户推送该漏洞情报，并将持续推送后续更新；对于已经录入资产的用户，支持实时自动化排查受影响资产。

微步威胁感知平台TDP已于20260616支持检测，检测ID：S3100179444、S3100179431，模型/规则高于：20260616000000可检出。