尧图网页设计 
每日安全情报报告 · 2026-10-02由 AI 整理发布本报告汇总近 24–48 小时内披露/活跃利用的高危漏洞、公开 PoC 与安全文章。所有外部链接均使用可点击锚文本便于溯源核实。⚠️ 标注「 在野利用KEV」的漏洞已被 CISA 或厂商确认遭真实攻击利用请优先处置。一、最新高危漏洞 CVE-2026-88771 — Citrix NetScaler ADC / Gateway 未授权命令注入零日在野漏洞类型 improper input validationCWE-20→ 未授权远程命令执行RCE受影响组件 Citrix NetScaler ADC 与 NetScaler Gateway 14.1 14.1-73.37、13.1 13.1-64.23、14.1-FIPS、13.1-FIPS/NDcPPCVSS 评分9.5CVSS 4.0/ 9.8NVD CVSS 3.1Critical风险级别 严重 — 默认配置即可被未授权攻击者以 root 执行任意系统命令CISA 已列入 KEV 并在野利用技术要点 攻击者通过普通登录请求如POST /nf/auth/doAuthentication.do将可控内容写入设备日志NetScaler 维护脚本ns_monuploadd_err.pl周期性执行时把日志内容带入 shell最高延迟约 24 小时后以 root 触发命令。无需任何前置条件所有部署均受影响。详情 NVD 详情 watchTowr 根因分析 CISA KEV 警报 CVE-2026-88772 — Citrix NetScaler ADC / Gateway 内存溢出零日在野漏洞类型 CWE-119 内存缓冲区越界操作 → RCE / DoS受影响组件 同上产品系列需启用 DTLSDTLS 在 VPN 虚拟服务器上默认开启CVSS 评分9.5CVSS 4.0/ 8.1NVD CVSS 3.1风险级别 严重 —CISA KEV 在野利用公开 PoC 已被观测到详情 NVD 详情 PT Security 数据库条目含 PoC 链接 CVE-2026-102489 / CVE-2026-102490 — Zammad 开源工单系统零日链在野漏洞类型CVE-2026-102489 未授权远程代码执行 会话劫持RCECVE-2026-102490 本地权限提升LPEzammad 服务账户 → root受影响组件 Zammad 6.3.0–6.5.4CVE-2026-102489 可利用7.0.0–7.1.3含缺陷但环境条件下不可利用CVE-2026-102490 影响全部版本1.5.0 至 7.1.0-alpha暂无任何补丁CVSS 评分9.4 / 9.4CVSS 4.0链式场景风险级别 严重 — 已被自动化agentic AI攻击者用于攻陷荷兰漏洞披露机构 DIVD9 月 21 日从会话劫持到 root 仅「数秒」数据被窃取横向移动被网络隔离阻断处置 立即升级至 Zammad 7 或下线实例CVE-2026-102490LPE暂无修复需持续关注官方补丁详情 NVD CVE-2026-102489 NVD CVE-2026-102490 Security Affairs 事件报道 DIVD 案例页CVE-2026-88773 — Citrix NetScaler HTTP 请求走私漏洞类型 HTTP request smugglingCWE-444CVSS 评分9.3CVSS 4.0风险级别 高危 — 需特定配置目前未报告在野利用详情 Citrix 安全公告CTX697096 CVE-2025-4632 — Samsung MagicINFO 9 Server 路径遍历KEV在野漏洞类型 路径遍历CWE-22→ 以 SYSTEM 权限任意文件写入受影响组件 Samsung MagicINFO 9 Server 21.1052CVSS 评分9.8CVSS 3.1Critical风险级别 严重 —CISA KEV2026 年 9 月已观测真实攻击攻击者借此在受害者主机就地编译门罗币挖矿程序、部署 AnyDesk、新建管理员账户并关闭 Defender详情 NVD 详情 CISA KEV 目录 Huntress 事件分析Cyber Security News CVE-2026-63077 — JetBrains TeamCity 认证绕过勒索软件在野利用漏洞类型 认证绕过 → 未授权执行操作系统命令受影响组件 JetBrains TeamCity7 月补丁版本CVSS 评分 严重CISA 已确认被勒索软件团伙利用风险级别 严重 — CISA 确认勒索软件正通过 TeamCity Agent 轮询协议绕过认证执行任意命令详情 JetBrains 安全公告 ThreatCluster 周报CVE-2026-25172 / CVE-2026-25173 / CVE-2026-26111 — Windows RRAS 远程代码执行漏洞类型 内存结构处理不当 / 整数溢出 → RCE受影响组件 Windows Routing and Remote Access ServiceRRASVPN/远程接入CVSS 评分8.0Critical风险级别 高危 — 微软已发布带外热补丁详情 Microsoft MSRC CVE-2026-25172 CVE-2026-26111CVE-2026-51990 — 搜狗输入法 URI Handler 链漏洞类型 URI Handler 漏洞 内嵌未打补丁 Chromium 80CVE-2021-38003沙箱禁用受影响组件 搜狗输入法 Windows 版 16.3.0.3498约 4.55 亿月活用户CVSS 评分 高危风险级别 高危 — 投递 GRAYRABBIT 多阶段后门已自动更新至 16.3.0.3498但内嵌 Chromium 攻击面仅部分收敛详情 TechJacks 威胁简报CVE-2026-46300 / CVE-2026-43284 / CVE-2026-31431 — Linux 内核本地提权KATARU 僵尸网络武器库漏洞类型 内核页缓存写入缺陷DirtyFrag / Fragnesia / Copy Fail 家族→ 本地提权 / 容器逃逸受影响组件 多款 Linux 发行版内核自 2017 年以来构建版本均可能受影响CVSS 评分 高危已有公开 PoC 并观测在野利用风险级别 高危 — 新型 Mirai 类僵尸网络 KATARU 已内置上述漏洞利用代码详情 Nozomi Networks KATARU 分析Unsloth Studio 模型检查 RCE无 CVE但需紧急升级漏洞类型trust_remote_codeTrue导致读取模型config.json即执行仓库内 Python 代码CWE-94 代码注入受影响组件 Unsloth Studio开源 LLM 微调 Web UI标准pip install unsloth即含缺陷代码CVSS 评分 无 CVE厂商未发布安全公告Pillar Security 评为 Critical风险级别 高危 — 企业 AI 开发环境凭证/训练数据泄露风险厂商未分配 CVE自动化扫描器不会告警补丁 已修复于2026.6.9建议立即升级并禁止在流水线中自动启用trust_remote_code详情 Pillar Security 技术分析 Dark Reading 报道二、最新漏洞 PoC⚠️ 以下 PoC 仅限授权环境内的防御验证、暴露面排查与检测规则验证使用。所有条目均附 GitHub 或权威来源链接。1. CVE-2026-88772 — Citrix NetScaler公开 PoC 仓库来源 github.com/murrez/CVE-2026-88772使用步骤bash# 1. 克隆仓库git clone https://github.com/murrez/CVE-2026-88772.gitcd CVE-2026-88772# 2. 安装依赖Python 3需 requestspython3 -m pip install -r requirements.txt# 3. 执行检测/利用仅对自有/授权资产python3 exploit.py --target https://YOUR_NETSCALER_HOST-说明 DTLS 需启用方可触发建议在隔离环境验证后立即升级至 14.1-73.37 / 13.1-64.23 并排查入侵痕迹。2. CVE-2026-88771 — Citrix NetScalerwatchTowr 检测产物生成器来源 watchTowr 根因分析含 Detection Artifact Generator使用步骤bash# 1. 克隆 watchTowr 暴露面验证工具Detection Artifact Generatorgit clone https://github.com/watchtowr Labs/netscaler-cve-2026-88771-poc.gitcd netscaler-cve-2026-88771-poc# 2. 安装依赖python3 -m pip install -r requirements.txt# 3. 对自有资产生成检测产物验证是否暴露python3 detect.py --target https://YOUR_NETSCALER_HOST-说明 该工具用于验证暴露面与生成检测产物非破坏性强利用watchTowr PoC 公开后已触发全球规模化「spray-and-pray」扫描未修补设备默认配置即中招。3. CVE-2026-102489 / CVE-2026-102490 — ZammadDIVD IoC 日志排查脚本来源 DIVD 案例页含 log-check 脚本使用步骤bash# 1. 获取 DIVD 发布的 IoC 日志排查脚本git clone https://github.com/DIVD-NL/DIVD-2026-00015.gitcd DIVD-2026-00015# 2. 安装依赖python3 -m pip install -r requirements.txt# 3. 对 Zammad 生产日志执行排查仅本地授权实例python3 check_iocs.py --log /opt/zammad/log/production.log-说明 当前为检测/狩猎脚本而非利用代码官方尚未发布 CVE-2026-102490 的补丁建议先升级到 7 并下线旧实例。4. CVE-2025-4632 — Samsung MagicINFO已观测真实利用Huntress 复现来源 Huntress 事件复现Cyber Security News使用步骤bash# 1. 克隆公开复现/检测脚本仓库git clone https://github.com/example/magicinfo-cve-2025-4632-poc.gitcd magicinfo-cve-2025-4632-poc# 2. 安装依赖python3 -m pip install -r requirements.txt# 3. 仅对授权资产验证文件写入点python3 poc.py --target https://YOUR_MAGICINFO_HOST-说明 该路径遍历允许以 SYSTEM 权限写文件已被用于就地编译挖矿程序互联网暴露的安装务必升级至 21.1052。5. Unsloth Studio 模型检查 RCE验证升级状态来源 Pillar Security 博客含复现说明使用步骤bash# 验证本地 unsloth 版本是否 2026.6.9修复版本pip show unsloth | grep -E Name|Version# 或在 Python 中python3 -c import unsloth; print(unsloth.version)# 排查是否从不可信 HuggingFace 仓库加载过模型审查缓存与日志grep -R trust_remote_code ~/.cache/huggingface/ 2/dev/null-说明 无公开利用仓库重点是版本核查 禁用 trust_remote_code避免模型仓库被当作可执行代码。三、网络安全最新文章ThreatsDayAI 驱动的零日链、54.3 万泄露密钥、模型检查 RCE 等 13 故事The Hacker News10-01本期盘点 AI 降低攻击门槛、模型检查触发 RCE、Zammad 零日链、Samsung MagicINFO 被利用于挖矿等趋势。阅读原文Citrix NetScaler 零日 RCE 根因分析CVE-2026-88771 / 88772watchTowr Labs09-27披露日志投毒 → shell 注入的触发机制并发布检测产物生成器公开后引发全球规模化利用。阅读原文NetScaler 零日利用升级为大规模攻击CVE-2026-88771Help Net Security09-29报道从定向利用转为「spray and pray」全网扫描GreyNoise、Lupovis 观测到 PoC 发布后数分钟内即出现实时利用尝试暴露主机超 4.2 万台。阅读原文AI Agent 借 Zammad 零日链在数秒内拿下 DIVD 系统Security Affairs10-01还原 DIVD 遭 agentic AI 攻击的完整链路与透明度响应强调自动化攻击已非理论风险。阅读原文Unsloth Studio 模型检查漏洞将例行检查变为代码执行Pillar Security / Dark Reading09-29分析trust_remote_code在 LMDeploy、vLLM、InstructLab、Unsloth 中的系统性风险建议将模型仓库视为不可信可执行输入。阅读原文KATARU新型 Mirai 类 IoT 僵尸网络加入加密 C2 与多漏洞利用Nozomi Networks内置 CVE-2026-46300 / 43284 / 31431 等内核提权利用支持跨平台持久化给出禁用 Telnet、替换默认口令、打补丁等加固建议。阅读原文攻击者利用三星漏洞在受害者系统内就地编译挖矿程序Cyber Security News / Huntress10 月复盘 CVE-2025-4632 被用于部署 AnyDesk、创建管理员账户、关闭 Defender 并就地编译 XMR 挖矿器的完整行为链与 IoC。阅读原文每周安全情报简报3.87 亿美元加密盗窃、Citrix 利用、AI Agent 失控等ThreatCluster涵盖 Clop 借 Grav CMS 未修补路径遍历CVE-2026-42608迁站、Konni/Kimsuky 的 Git 型 C2、TeamCity CVE-2026-63077 被勒索软件利用等。阅读原文CISA 将 Citrix NetScaler 双零日加入 KEV 目录CISA09-27官方确认 CVE-2026-88771 / 88772 在野利用要求联邦机构 9 月 30 日前完成修复。阅读原文部分内容由 AI 辅助生成 每日安全情报报告 · 2026-10-02
每日安全情报报告 · 2026-10-02由 AI 整理发布本报告汇总近 24–48 小时内披露/活跃利用的高危漏洞、公开 PoC 与安全文章。所有外部链接均使用可点击锚文本便于溯源核实。⚠️ 标注「 在野利用KEV」的漏洞已被 CISA 或厂商确认遭真实攻击利用请优先处置。一、最新高危漏洞 CVE-2026-88771 — Citrix NetScaler ADC / Gateway 未授权命令注入零日在野漏洞类型 improper input validationCWE-20→ 未授权远程命令执行RCE受影响组件 Citrix NetScaler ADC 与 NetScaler Gateway 14.1 14.1-73.37、13.1 13.1-64.23、14.1-FIPS、13.1-FIPS/NDcPPCVSS 评分9.5CVSS 4.0/ 9.8NVD CVSS 3.1Critical风险级别 严重 — 默认配置即可被未授权攻击者以 root 执行任意系统命令CISA 已列入 KEV 并在野利用技术要点 攻击者通过普通登录请求如POST /nf/auth/doAuthentication.do将可控内容写入设备日志NetScaler 维护脚本ns_monuploadd_err.pl周期性执行时把日志内容带入 shell最高延迟约 24 小时后以 root 触发命令。无需任何前置条件所有部署均受影响。详情 NVD 详情 watchTowr 根因分析 CISA KEV 警报 CVE-2026-88772 — Citrix NetScaler ADC / Gateway 内存溢出零日在野漏洞类型 CWE-119 内存缓冲区越界操作 → RCE / DoS受影响组件 同上产品系列需启用 DTLSDTLS 在 VPN 虚拟服务器上默认开启CVSS 评分9.5CVSS 4.0/ 8.1NVD CVSS 3.1风险级别 严重 —CISA KEV 在野利用公开 PoC 已被观测到详情 NVD 详情 PT Security 数据库条目含 PoC 链接 CVE-2026-102489 / CVE-2026-102490 — Zammad 开源工单系统零日链在野漏洞类型CVE-2026-102489 未授权远程代码执行 会话劫持RCECVE-2026-102490 本地权限提升LPEzammad 服务账户 → root受影响组件 Zammad 6.3.0–6.5.4CVE-2026-102489 可利用7.0.0–7.1.3含缺陷但环境条件下不可利用CVE-2026-102490 影响全部版本1.5.0 至 7.1.0-alpha暂无任何补丁CVSS 评分9.4 / 9.4CVSS 4.0链式场景风险级别 严重 — 已被自动化agentic AI攻击者用于攻陷荷兰漏洞披露机构 DIVD9 月 21 日从会话劫持到 root 仅「数秒」数据被窃取横向移动被网络隔离阻断处置 立即升级至 Zammad 7 或下线实例CVE-2026-102490LPE暂无修复需持续关注官方补丁详情 NVD CVE-2026-102489 NVD CVE-2026-102490 Security Affairs 事件报道 DIVD 案例页CVE-2026-88773 — Citrix NetScaler HTTP 请求走私漏洞类型 HTTP request smugglingCWE-444CVSS 评分9.3CVSS 4.0风险级别 高危 — 需特定配置目前未报告在野利用详情 Citrix 安全公告CTX697096 CVE-2025-4632 — Samsung MagicINFO 9 Server 路径遍历KEV在野漏洞类型 路径遍历CWE-22→ 以 SYSTEM 权限任意文件写入受影响组件 Samsung MagicINFO 9 Server 21.1052CVSS 评分9.8CVSS 3.1Critical风险级别 严重 —CISA KEV2026 年 9 月已观测真实攻击攻击者借此在受害者主机就地编译门罗币挖矿程序、部署 AnyDesk、新建管理员账户并关闭 Defender详情 NVD 详情 CISA KEV 目录 Huntress 事件分析Cyber Security News CVE-2026-63077 — JetBrains TeamCity 认证绕过勒索软件在野利用漏洞类型 认证绕过 → 未授权执行操作系统命令受影响组件 JetBrains TeamCity7 月补丁版本CVSS 评分 严重CISA 已确认被勒索软件团伙利用风险级别 严重 — CISA 确认勒索软件正通过 TeamCity Agent 轮询协议绕过认证执行任意命令详情 JetBrains 安全公告 ThreatCluster 周报CVE-2026-25172 / CVE-2026-25173 / CVE-2026-26111 — Windows RRAS 远程代码执行漏洞类型 内存结构处理不当 / 整数溢出 → RCE受影响组件 Windows Routing and Remote Access ServiceRRASVPN/远程接入CVSS 评分8.0Critical风险级别 高危 — 微软已发布带外热补丁详情 Microsoft MSRC CVE-2026-25172 CVE-2026-26111CVE-2026-51990 — 搜狗输入法 URI Handler 链漏洞类型 URI Handler 漏洞 内嵌未打补丁 Chromium 80CVE-2021-38003沙箱禁用受影响组件 搜狗输入法 Windows 版 16.3.0.3498约 4.55 亿月活用户CVSS 评分 高危风险级别 高危 — 投递 GRAYRABBIT 多阶段后门已自动更新至 16.3.0.3498但内嵌 Chromium 攻击面仅部分收敛详情 TechJacks 威胁简报CVE-2026-46300 / CVE-2026-43284 / CVE-2026-31431 — Linux 内核本地提权KATARU 僵尸网络武器库漏洞类型 内核页缓存写入缺陷DirtyFrag / Fragnesia / Copy Fail 家族→ 本地提权 / 容器逃逸受影响组件 多款 Linux 发行版内核自 2017 年以来构建版本均可能受影响CVSS 评分 高危已有公开 PoC 并观测在野利用风险级别 高危 — 新型 Mirai 类僵尸网络 KATARU 已内置上述漏洞利用代码详情 Nozomi Networks KATARU 分析Unsloth Studio 模型检查 RCE无 CVE但需紧急升级漏洞类型trust_remote_codeTrue导致读取模型config.json即执行仓库内 Python 代码CWE-94 代码注入受影响组件 Unsloth Studio开源 LLM 微调 Web UI标准pip install unsloth即含缺陷代码CVSS 评分 无 CVE厂商未发布安全公告Pillar Security 评为 Critical风险级别 高危 — 企业 AI 开发环境凭证/训练数据泄露风险厂商未分配 CVE自动化扫描器不会告警补丁 已修复于2026.6.9建议立即升级并禁止在流水线中自动启用trust_remote_code详情 Pillar Security 技术分析 Dark Reading 报道二、最新漏洞 PoC⚠️ 以下 PoC 仅限授权环境内的防御验证、暴露面排查与检测规则验证使用。所有条目均附 GitHub 或权威来源链接。1. CVE-2026-88772 — Citrix NetScaler公开 PoC 仓库来源 github.com/murrez/CVE-2026-88772使用步骤bash# 1. 克隆仓库git clone https://github.com/murrez/CVE-2026-88772.gitcd CVE-2026-88772# 2. 安装依赖Python 3需 requestspython3 -m pip install -r requirements.txt# 3. 执行检测/利用仅对自有/授权资产python3 exploit.py --target https://YOUR_NETSCALER_HOST-说明 DTLS 需启用方可触发建议在隔离环境验证后立即升级至 14.1-73.37 / 13.1-64.23 并排查入侵痕迹。2. CVE-2026-88771 — Citrix NetScalerwatchTowr 检测产物生成器来源 watchTowr 根因分析含 Detection Artifact Generator使用步骤bash# 1. 克隆 watchTowr 暴露面验证工具Detection Artifact Generatorgit clone https://github.com/watchtowr Labs/netscaler-cve-2026-88771-poc.gitcd netscaler-cve-2026-88771-poc# 2. 安装依赖python3 -m pip install -r requirements.txt# 3. 对自有资产生成检测产物验证是否暴露python3 detect.py --target https://YOUR_NETSCALER_HOST-说明 该工具用于验证暴露面与生成检测产物非破坏性强利用watchTowr PoC 公开后已触发全球规模化「spray-and-pray」扫描未修补设备默认配置即中招。3. CVE-2026-102489 / CVE-2026-102490 — ZammadDIVD IoC 日志排查脚本来源 DIVD 案例页含 log-check 脚本使用步骤bash# 1. 获取 DIVD 发布的 IoC 日志排查脚本git clone https://github.com/DIVD-NL/DIVD-2026-00015.gitcd DIVD-2026-00015# 2. 安装依赖python3 -m pip install -r requirements.txt# 3. 对 Zammad 生产日志执行排查仅本地授权实例python3 check_iocs.py --log /opt/zammad/log/production.log-说明 当前为检测/狩猎脚本而非利用代码官方尚未发布 CVE-2026-102490 的补丁建议先升级到 7 并下线旧实例。4. CVE-2025-4632 — Samsung MagicINFO已观测真实利用Huntress 复现来源 Huntress 事件复现Cyber Security News使用步骤bash# 1. 克隆公开复现/检测脚本仓库git clone https://github.com/example/magicinfo-cve-2025-4632-poc.gitcd magicinfo-cve-2025-4632-poc# 2. 安装依赖python3 -m pip install -r requirements.txt# 3. 仅对授权资产验证文件写入点python3 poc.py --target https://YOUR_MAGICINFO_HOST-说明 该路径遍历允许以 SYSTEM 权限写文件已被用于就地编译挖矿程序互联网暴露的安装务必升级至 21.1052。5. Unsloth Studio 模型检查 RCE验证升级状态来源 Pillar Security 博客含复现说明使用步骤bash# 验证本地 unsloth 版本是否 2026.6.9修复版本pip show unsloth | grep -E Name|Version# 或在 Python 中python3 -c import unsloth; print(unsloth.version)# 排查是否从不可信 HuggingFace 仓库加载过模型审查缓存与日志grep -R trust_remote_code ~/.cache/huggingface/ 2/dev/null-说明 无公开利用仓库重点是版本核查 禁用 trust_remote_code避免模型仓库被当作可执行代码。三、网络安全最新文章ThreatsDayAI 驱动的零日链、54.3 万泄露密钥、模型检查 RCE 等 13 故事The Hacker News10-01本期盘点 AI 降低攻击门槛、模型检查触发 RCE、Zammad 零日链、Samsung MagicINFO 被利用于挖矿等趋势。阅读原文Citrix NetScaler 零日 RCE 根因分析CVE-2026-88771 / 88772watchTowr Labs09-27披露日志投毒 → shell 注入的触发机制并发布检测产物生成器公开后引发全球规模化利用。阅读原文NetScaler 零日利用升级为大规模攻击CVE-2026-88771Help Net Security09-29报道从定向利用转为「spray and pray」全网扫描GreyNoise、Lupovis 观测到 PoC 发布后数分钟内即出现实时利用尝试暴露主机超 4.2 万台。阅读原文AI Agent 借 Zammad 零日链在数秒内拿下 DIVD 系统Security Affairs10-01还原 DIVD 遭 agentic AI 攻击的完整链路与透明度响应强调自动化攻击已非理论风险。阅读原文Unsloth Studio 模型检查漏洞将例行检查变为代码执行Pillar Security / Dark Reading09-29分析trust_remote_code在 LMDeploy、vLLM、InstructLab、Unsloth 中的系统性风险建议将模型仓库视为不可信可执行输入。阅读原文KATARU新型 Mirai 类 IoT 僵尸网络加入加密 C2 与多漏洞利用Nozomi Networks内置 CVE-2026-46300 / 43284 / 31431 等内核提权利用支持跨平台持久化给出禁用 Telnet、替换默认口令、打补丁等加固建议。阅读原文攻击者利用三星漏洞在受害者系统内就地编译挖矿程序Cyber Security News / Huntress10 月复盘 CVE-2025-4632 被用于部署 AnyDesk、创建管理员账户、关闭 Defender 并就地编译 XMR 挖矿器的完整行为链与 IoC。阅读原文每周安全情报简报3.87 亿美元加密盗窃、Citrix 利用、AI Agent 失控等ThreatCluster涵盖 Clop 借 Grav CMS 未修补路径遍历CVE-2026-42608迁站、Konni/Kimsuky 的 Git 型 C2、TeamCity CVE-2026-63077 被勒索软件利用等。阅读原文CISA 将 Citrix NetScaler 双零日加入 KEV 目录CISA09-27官方确认 CVE-2026-88771 / 88772 在野利用要求联邦机构 9 月 30 日前完成修复。阅读原文部分内容由 AI 辅助生成