文章总结： 本期涵盖IvantiEPMM、SolarWinds及PLY等多个高危RCE漏洞，以及Grist和vm2沙箱逃逸漏洞，攻击者可远程执行代码或窃取数据。物理门禁Dormakaba及区块链SagaEVM亦遭披露严重缺陷。建议尽快应用官方补丁，升级至修复版本，废弃不维护组件，并审查网络配置与日志以防范利用。 综合评分： 90 文章分类： 漏洞预警,漏洞分析,应用安全

每日安全动态推送(26/2/2)

原创

admin admin

腾讯玄武实验室

2026年2月2日 16:22 北京

•  Ivanti EPMM 零日远程代码执行漏洞遭利用 https://sectoday.tencent.com/event/Mb4zEZwBnYhVxRrj9tzs

Ivanti 披露了其 Endpoint Manager Mobile (EPMM) 中两个关键的零日远程代码执行 (RCE) 漏洞，编号为 CVE-2026-1281 与 CVE-2026-1340。这两个漏洞的 CVSS 评分为 9.8，允许未经身份验证的攻击者远程执行任意代码，从而访问敏感信息、篡改设备配置，甚至控制整个移动设备管理 (MDM) 基础设施。CISA 已将 CVE-2026-1281 加入其已知被利用漏洞 (KEV) 目录，并要求联邦机构在 2026 年 2 月 1 日前完成修复。Ivanti 已发布热补丁和升级版本以缓解风险，并建议用户进行日志分析、网络隔离和配置审查以检测潜在的利用行为。

•  PLY 中通过 picklefile 参数的未记录远程代码执行漏洞 https://sectoday.tencent.com/event/IQ3pD5wBVJfJhgnJ7cvP

在废弃的 Python PLY 库中发现了一个关键的远程代码执行（RCE）漏洞（CVE-2025-56005），该漏洞源于 yacc() 函数中未在文档中说明的 ‘picklefile’ 参数，该参数通过 Python 的 pickle 模块反序列化不可信数据。攻击者可在解析器初始化期间执行任意代码。由于该项目已不再维护，因此不会提供官方补丁。建议开发者避免使用 picklefile 参数，并检查代码是否存在注入风险。该漏洞的 CVSS 评分为 9.8，表明其严重性极高。

•  Grist 沙箱逃逸漏洞（CVE-2026-24002） https://sectoday.tencent.com/event/WQ79E5wBVJfJhgnJ-1QS

Grist 电子表格工具中发现一个关键沙箱逃逸漏洞（CVE-2026-24002），CVSS 评分为 9.1。该漏洞允许攻击者通过合法的数据处理路径逃逸 Pyodide 沙箱，实现远程代码执行（RCE）。攻击者可利用恶意公式或脚本执行任意系统命令或 JavaScript，可能导致数据泄露、凭证窃取和横向移动。此漏洞由 Cyera Research Labs 发现，Grist 安全团队已发布修复版本 1.7.9，并默认启用 Deno 运行时以增强安全性。受影响用户应立即升级并避免禁用新沙箱机制。

•  SolarWinds Web Help Desk 远程代码执行漏洞 https://sectoday.tencent.com/event/E6DqD5wB5M25NX6PQj4Z

SolarWinds Web Help Desk 被发现存在多个关键漏洞，其中最严重的是 CVE-2025-40551，该漏洞允许未经身份验证的攻击者通过 Java 反序列化实现远程代码执行（RCE）。该漏洞涉及 AjaxProxy 组件中的反序列化缺陷、硬编码凭证、跨站请求伪造（CSRF）及请求过滤器绕过等技术。攻击者可通过修改 URI 并注入恶意 gadget 来绕过安全控制，从而执行任意代码。SolarWinds 已发布修复补丁，建议用户立即升级至 WHD 2026.1 以缓解风险。

•  vm2 沙箱逃逸漏洞（CVE-2026-22709） https://sectoday.tencent.com/event/UL7YDpwBnYhVxRrjfbU_

Node.js 沙箱库 vm2 中发现了一个关键的沙箱逃逸漏洞（CVE-2026-22709），攻击者可以利用该漏洞绕过安全限制并执行任意代码。该漏洞源于对全局 Promise 对象处理不当，攻击者能够访问 Function 构造器，从而实现对底层系统的任意代码执行。漏洞影响版本 3.10.0，已在 3.10.2 中修复。由于缺乏替代方案，vm2 仍然被广泛使用，尽管此前曾被弃用并停止维护。此次漏洞再次凸显了 JavaScript 沙箱隔离的困难，维护者建议用户升级版本，并考虑使用如 isolated-vm 或 Docker 等更安全的替代方案。

•  SagaEVM漏洞攻击事件：因EVM预编译漏洞导致700万美元损失 https://www.halborn.com/blog/post/explained-the-sagaevm-hack-january-2026

本文深入剖析了SagaEVM遭受700万美元黑客攻击的技术根源，揭示了一个因继承自Ethermint EVM的预编译桥漏洞所引发的稳定币无限铸造问题，为DeFi项目在使用分叉代码时的安全性提供了重要警示。

•  Dormakaba Kaba exos 9300 物理门禁系统漏洞披露 https://sectoday.tencent.com/event/CqDqD5wB5M25NX6PID4h

SEC Consult 披露了 Dormakaba Kaba exos 9300 物理门禁系统中多个严重漏洞，包括未认证的 SOAP API 访问、硬编码凭证、不安全的密码派生函数以及权限提升漏洞。攻击者可以远程或通过本地访问系统，篡改访问日志、控制门禁控制器，并未经授权访问数据库或重设系统配置。漏洞影响多个固件版本，部分漏洞已分配 CVE 编号，包括 CVE-2025-59090 至 CVE-2025-59096。厂商已发布修复补丁和缓解建议。

* 查看或搜索历史推送内容请访问： https://sectoday.tencent.com/ * 新浪微博账号： 腾讯玄武实验室 https://weibo.com/xuanwulab * 微信公众号： 腾讯玄武实验室

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：腾讯玄武实验室 admin admin《每日安全动态推送(26/2/2)》