文章总结： 本文预警7月首周十大高危漏洞，涵盖AdobeColdFusion满分未授权RCE、两个遭勒索利用的Defender0day提权、Gitea容器逃逸及Rancher接管K8s等。多数漏洞已在野利用或公开PoC。建议立即排查并更新ColdFusion、SharePoint、EBS、Rancher等核心组件补丁，关注Chromium浏览器更新，并排查第三方运维供应链安全。 综合评分： 84 文章分类： 漏洞预警,漏洞分析,应急响应,供应链安全,WEB安全

7月第一周CVE高危漏洞预警

原创

信息安全新动态 信息安全新动态

信息安全新动态

2026年7月6日 09:12 江西

在小说阅读器读本章

去阅读

一、漏洞情况概述

这一周，统计了六家主要厂商的漏洞公告，Adobe 在 7 月 1 日一口气修了 7 个 CVSS 10.0 满分漏洞，全部是不需要登录就能远程执行代码的类型。Google Chrome 151 单次更新塞了 382 个修复。微软一周之内确认了两个 Defender 0day—— 其中一个已经被勒索软件用上了。Oracle、Splunk、Rancher、Gitea，但凡你能叫出名字的基础设施组件，这周都发了高危补丁。

下面是从这周公开的漏洞里筛出来的 10 个影响范围最大、最可能被优先利用的。每个都标注了危害程度、利用状态和修复建议。按优先级来。

二、漏洞汇总表

三、漏洞详情

1. Adobe ColdFusion：7 个满分漏洞，全是未授权 RCE

【CVSS 10.0】 | 标签：7 月 1 日补丁、不需认证、企业政府重灾区

Adobe 在 7 月 1 日发的这波补丁含金量极高：ColdFusion 2023 和 2025 两个版本一共修了 7 个 CVSS 10.0 满分漏洞，全部允许未认证的远程攻击者执行任意代码。漏洞类型包括路径穿越（CVE-2026-48282）、任意文件上传（CVE-2026-48276/48283）、输入验证缺陷（CVE-2026-48277/48281/48316）。另外 Adobe Campaign Classic 还有一个 CVSS 10.0 的授权缺陷（CVE-2026-48286）。

ColdFusion 的历史利用记录极其恶劣 ——CISA KEV 目录里已经有16 个 ColdFusion 相关漏洞，这个数字在所有产品里排前列。Adobe 给了 72 小时紧急修复建议，而且宣布从 7 月 14 日开始把补丁日改成每两周一次，原因很直白：AI 能加速漏洞发现，攻击者也在用 AI。

2. CVE-2026-45659 SharePoint：CISA 连夜加进 KEV

【CVSS 8.8】 | 标签：7 月 1 日入 KEV、在野利用确认、反序列化 RCE

这个漏洞其实微软 5 月就修了，但 CISA 在 7 月 1 日才确认野外利用并将它加入 KEV 目录。它是一个反序列化漏洞，攻击者通过构造恶意数据包即可在 SharePoint 服务器上执行远程代码，CVSS 8.8，攻击复杂度低。

最讽刺的是，微软最初把利用评估标为 “不太可能（less likely）”—— 结果 CISA 直接打脸，联邦机构被要求 7 月 4 日前完成修补。SharePoint 在企业内网的部署密度极高，通常是内网横向移动的绝佳跳板。

3. CVE-2026-48558 SimpleHelp：满分认证绕过，MSP 供应链全线告急

【CVSS 10.0】 | 标签：6 月 29 日入 KEV、满分漏洞、MSP 供应链

SimpleHelp 是一个被大量 MSP（托管服务商）使用的远程支持工具，攻击者利用这个认证绕过漏洞可以完全不用密码就进入客户的管理后台。一旦拿到 SimpleHelp 的控制权，攻击者可以顺藤摸瓜进入 MSP 管理的所有下游客户系统 —— 典型的供应链攻击。

CISA 6 月 29 日加入 KEV 目录，3 天修复期，7 月 2 日截止。更有意思的是，野外攻击已经在利用这个漏洞投递 TaskWeaver 恶意软件加载器。如果你公司用了第三方 IT 运维，建议立刻问他们 SimpleHelp 版本。

4. CVE-2026-46817 Oracle EBS：6 月最后一个周末被大规模扫描

【CVSS 9.8】 | 标签：在野利用确认、未认证远程接管、Payments 模块

Oracle E-Business Suite 的 Payments 模块存在一个权限管理和认证缺陷，CVSS 9.8，攻击者无需任何凭据即可远程接管整个 EBS 系统。安全公司 Defused Cyber 在 6 月 27-28 日的周末捕获了大量活跃利用流量。

EBS 是 Oracle 最核心的 ERP 产品线，通常承载企业的财务、采购、人力资源等数据。一台 EBS 被打穿，基本等于企业的数字心脏被捅了一刀。如果你跑的是 EBS 12.2，确认一下是否装了 2026 年 4 月的补丁。

5. CVE-2026-33825 BlueHammer:你家 Windows 自带的杀毒软件被勒索软件当跳板了

【CVSS 7.8】| 标签：勒索软件利用确认、Defender 提权、补丁 4 月已出

BlueHammer 是一个 Microsoft Defender 的本地提权漏洞，利用 TOCTOU 竞争条件让低权限用户拿到 SYSTEM 权限。微软 4 月就发了补丁，但 CISA 在 7 月 1 日确认该漏洞已被勒索软件团伙武器化后重新列入 KEV。

问题出在：很多人根本没打这个补丁。Defender 默认启用，Windows Update 默认更新，听起来万无一失 —— 但如果更新策略被延迟，或者服务器被运维关了自动更新，这个洞照样开着。勒索软件最喜欢的组合就是：一个提权漏洞 + 一个未修补的 Windows。

6. CVE-2026-50656 RoguePlanet：一周内第二个 Defender 0day

【CVSS 7.8】 | 标签：0day 确认、补丁开发中、PoC 公开

继 BlueHammer 之后，微软在 6 月确认了 Defender 的第二个 0day——RoguePlanet。同样是 TOCTOU 竞争条件导致的本地提权，CVSS 7.8。安全研究员 Chaotic Eclipse 在 6 月 10 日就公开了可用 PoC。

两个 Defender 0day 在 48 小时内接连爆出，这在 Windows 安全史上极为罕见。Defender 跑在 SYSTEM 权限下、部署在每一台 Windows 上、内核级深度挂钩 —— 一旦被攻破就是全系统沦陷。目前微软还在开发补丁，没有正式修复。临时措施：确保 Defender 签名更新到最新。

7. CVE-2026-58053 Gitea act_runner：你关了 privileged 也没用，照样逃逸

【CVSS 9.9】 | 标签：PoC 公开、容器逃逸、打破安全认知

很多运维团队有一个信仰：Docker 容器只要关了–privileged、禁掉危险挂载，就不会被逃逸。CVE-2026-58053 直接把这个认知打碎了。

Gitea 的 CI/CD 组件 act_runner 在处理 workflow 配置时，把container.options原封不动传给了 Docker 引擎，攻击者可以通过向恶意仓库提交特制 workflow，在非特权容器里逃逸到宿主机拿到root 权限。CVSS 9.9，影响范围包括所有使用 Gitea Actions 的私有部署。

8. Chrome 151：一次修了 382 个洞，15 个允许远程代码执行

【严重】 | 标签：6 月 30 日发布、史上最大单次更新、15 个严重 RCE

Chrome 151 的更新日志厚度堪比一本小书 —— 一次修复 382 个漏洞，其中15 个是严重级别，覆盖 V8 引擎、WebGL、WebRTC、GPU 合成器、扩展 API 等全攻击面。剩下的还有 67 个高危。Google 将此次发布称为 “有史以来最大的单版本安全更新”。

Chrome 一般会自动更新，但企业环境里如果通过组策略管理，务必检查一下推送状态。Edge、Opera、Brave 等 Chromium 系浏览器后续也会跟进。

9. CVE-2026-20251 Splunk Secure Gateway：PoC 已公开

【高危】 | 标签：PoC 公开、反序列化 RCE

Splunk Secure Gateway 存在一个反序列化远程代码执行漏洞，CVSS 评分高，而且 PoC 已经公开 —— 这意味着脚本小子级别的攻击即将开始。Splunk 在企业里的角色是日志聚合和 SIEM，通常能接触到全公司的日志流，一旦沦陷，攻击者可以看到一切。

10. CVE-2026-41053 Rancher：GitHub 认证缓存错误，任何登录用户都能接管 K8s

【CVSS 8.8】 | 标签：K8s 认证绕过

Rancher 的 GitHub 认证提供者存在一个认证缓存逻辑错误 —— 只要任何一个用户登录了，后续的认证请求都会被错误地视为已通过。这意味着攻击者只需要在目标 Rancher 实例上拥有一个任意 GitHub 账号，就可以绕过认证，拿到所有被管理 Kubernetes 集群的控制权。

如果你在用 Rancher 管理生产 K8s 集群，这个必须马上修。

声明

转载声明：本平台部分公开资料源于互联网，转载是为传递信息和网络分享，不代表平台观点，也不保证真实性、不提供建议。除原创及特别说明外，推送内容来自网络和主流媒体，版权归原作者。若发现侵权，请联系我们，将尽快核实并删除。

网络安全，人人有责

信息安全新动态

微信号丨ThinventS2

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：信息安全新动态 信息安全新动态 信息安全新动态《7月第一周CVE高危漏洞预警》