文章总结： 2026年7月6日高危漏洞速报：AdobeColdFusion一次性修复7个CVSS10.0满分漏洞，CVE-2026-48282已遭野外利用；curl超级Cookie注入漏洞CVE-2026-8924CVSS9.1影响数十亿嵌入设备；CursorIDE零点击RCE漏洞DuneSlideCVSS9.8可完全接管开发者主机；CitrixBleedCVE-2026-8451补丁发布24小时即被利用；WinRAR堆溢出漏洞CVE-2026-14191CVSS7.8影响数十亿用户。建议立即升级相关软件并采取防护措施。 综合评分： 86 文章分类： 漏洞预警,漏洞分析,应急响应,安全工具,红队

7月6日高危CVE漏洞速报

探知安全

2026年7月6日 10:08 江西

在小说阅读器读本章

去阅读

安全速报

【安全速报】07月06日高危漏洞紧急预警

2026年07月06日  |  探知安全

本期重大威胁：Adobe ColdFusion一次性修复7个CVSS 10.0满分漏洞，CVE-2026-48282披露数小时即遭野外利用；curl超级Cookie注入漏洞CVE-2026-8924 CVSS 9.1影响数十亿嵌入设备；Cursor IDE零点击RCE漏洞DuneSlide CVE-2026-50548/50549 CVSS 9.8可完全接管开发者主机；CitrixBleed CVE-2026-8451 NetScaler内存越界读取补丁发布24小时即被利用；WinRAR堆溢出漏洞CVE-2026-14191 CVSS 7.8影响数十亿用户，请立即升级修复。

漏洞详情

| | | | | — | — | — | | 严重 | CVE-2026-48282 | CVSS 10.0 |

Adobe ColdFusion路径遍历满分RCE CVSS 10.0——7个满分漏洞批量修复·披露数小时即遭野外利用

Adobe于7月首个补丁日发布紧急安全更新，一次性修复ColdFusion产品线8个严重漏洞，其中6个达到CVSS 10.0满分，另有2个CVSS 9.3高危漏洞。最引人关注的是CVE-2026-48282路径遍历漏洞，CVSS评分满分10.0——安全公告发布后数小时内即被检测到野外利用尝试，攻击者来自印度IP（103.207.14.220），试图通过路径遍历读取系统文件。漏洞本质是未认证文件上传功能存在路径遍历缺陷，默认配置下虽禁用上传但一旦启用，攻击者可以NT AUTHORITY\SYSTEM权限将恶意文件写入磁盘执行任意代码。此外CVE-2026-48276/48277/48281/48283/48316均为满分RCE漏洞，CVE-2026-48313/48315为CVSS 9.3。Adobe同时宣布自7月14日起将安全公告频率从每月一次改为每月两次，首席安全官表示：公开漏洞披露与主动利用之间的窗口正在从数天压缩到数小时。受影响版本为ColdFusion 2023 Update 21之前及ColdFusion 2025 Update 10之前版本。ColdFusion历史上已有16个KEV条目，是企业安全团队的噩梦级产品。

影响范围

Adobe ColdFusion 2023 Update 21之前、ColdFusion 2025 Update 10之前版本（全球数千企业和政府机构部署，金融/医疗/教育行业广泛使用）

修复建议：立即升级ColdFusion至最新补丁版本（2023 Update 21 / 2025 Update 10）；如文件上传功能非必须请保持禁用状态；部署WAF规则过滤路径遍历攻击载荷；审计服务器Web目录是否存在未授权cfm/cfc/jsp等文件；限制ColdFusion管理控制台仅内网白名单IP访问

| | | | | — | — | — | | 严重 | CVE-2026-8924 | CVSS 9.1 |

curl超级Cookie注入漏洞CVSS 9.1——尾随点域名绕过公域后缀列表·数十亿嵌入设备面临跨域数据泄露

curl项目披露了一个潜伏多年的Cookie解析逻辑缺陷（CVE-2026-8924），CVSS评分9.1。该漏洞允许恶意HTTP服务器通过在域名末尾添加尾随点（trailing dot）的方式，设置绕过公域后缀列表（Public Suffix List）检查的’超级Cookie’。攻击者控制的源站可向curl注入可被所有子域读取的跨域Cookie，导致跨域数据泄露和会话劫持。curl是全球最广泛使用的网络传输库，嵌入在数万种应用、容器镜像、嵌入式系统和物联网设备中，保守估计影响数十亿台设备。从Web浏览器底层到CI/CD流水线，从移动应用到路由器固件，任何使用libcurl进行HTTP通信的软件都可能受此漏洞影响。该漏洞已于6月24日修复并分配CVE，7月4日-5日开始被安全社区广泛讨论，目前暂无公开PoC但利用难度较低且影响面极大。由于curl的广泛嵌入性，大量软件需要等待上游厂商集成更新，修复周期可能非常漫长。

影响范围

curl/libcurl受影响版本（嵌入于数万种应用、容器、嵌入式系统、IoT设备；全球数十亿设备受影响；包括但不限于Linux/macOS系统组件、Docker镜像、移动应用SDK等）

修复建议：升级curl至已修补版本（7月最新发布）；识别组织中所有使用libcurl的应用程序和系统清单；对于嵌入式/IoT设备联系厂商获取固件更新；部署网络层监控异常Cookie注入行为；关注供应链中依赖curl的第三方组件更新状态

| | | | | — | — | — | | 严重 | CVE-2026-50548 | CVSS 9.8 |

Cursor AI IDE零点击远程代码执行DuneSlide漏洞CVSS 9.8——提示注入触发沙箱逃逸·开发者主机完全沦陷

Cato Networks于2026年7月披露了Cursor AI代码编辑器中的两个关键零点击远程代码执行漏洞，统称为DuneSlide（CVE-2026-50548零点击RCE、CVE-2026-50549沙箱逃逸至主机RCE），两个漏洞CVSS评分均为9.8。攻击者通过提示注入手段，在用户Agent处理克隆仓库、浏览网页或审查Pull Request时，注入恶意指令驱动AI Agent执行任意Shell命令。攻击向量广泛：恶意仓库的README.md或源文件、被Agent浏览的恶意网页、受控MCP服务器的工具响应、甚至Pull Request中的代码差异均可成为注入载体。CVE-2026-50549的沙箱逃逸链式利用更可将代码执行从沙箱环境突破至主机操作系统，完全接管开发者机器——窃取源代码、API密钥、SSH私钥、云服务凭证等。Cursor已于4月2日在3.0版本中修复，但CVE编号于6月5日才分配，7月初才由安全公司公开披露。所有Cursor 2.x及以下版本均受影响，尽管补丁已存在数月，大量开发者可能尚未升级。该漏洞标志着AI编码工具的安全风险从理论走向现实。

影响范围

Cursor AI代码编辑器3.0之前所有版本（全球数百万AI辅助开发者；攻击向量：恶意仓库/网页/MCP响应/Pull Request差异）

修复建议：立即升级Cursor至3.0或更高版本；谨慎克隆和处理来自不受信源的代码仓库；审查.cursor/rules和MCP配置文件中是否存在可疑注入指令；避免让AI Agent自动浏览不受信的网页链接；定期审计开发环境的SSH密钥和云服务凭证是否泄露

| | | | | — | — | — | | 严重 | CVE-2026-8451 | CVSS 8.5 |

CitrixBleed——NetScaler ADC/Gateway内存越界读取·补丁发布24小时即遭利用·凭证证书明文泄露

Citrix NetScaler ADC及Gateway设备存在严重的内存越界读取漏洞（CVE-2026-8451），被安全社区命名为CitrixBleed。6月30日Citrix发布安全补丁后，仅24小时内即被检测到野外利用尝试，攻击者利用Lupovis蜜罐系统验证了漏洞利用效果。未认证的远程攻击者可通过构造特制HTTP请求触发内存越界读取，获取系统内存中的敏感信息，包括但不限于SSL/TLS私钥、会话凭证、管理员认证令牌、VPN用户凭据等。虽然该漏洞是信息泄露而非直接RCE，但泄露的凭证可直接用于后续横向移动和权限提升攻击，实际危害不亚于RCE。NetScaler作为企业边界网络的关键基础设施，广泛部署于政府、金融、医疗、教育等行业，一旦凭证泄露攻击者可伪装为合法用户访问内网资源。此漏洞再次证明了网络边界设备漏洞的极速利用趋势——从补丁发布到野外利用的窗口已被压缩至24小时以内。建议所有NetScaler用户将此视为最高优先级安全事件。

影响范围

Citrix NetScaler ADC/Gateway受影响版本（全球数千企业部署，政府/金融/医疗/教育行业关键网络基础设施）

修复建议：立即应用Citrix官方安全补丁升级至最新版本；轮换所有NetScaler设备的管理员凭据和SSL/TLS证书私钥；审计设备访问日志中是否存在异常HTTP请求和未授权访问记录；临时措施：如条件允许限制管理接口仅可信IP访问；监控NetScaler设备异常出站流量和内存读取行为

| | | | | — | — | — | | 高危 | CVE-2026-14191 | CVSS 7.8 |

WinRAR堆溢出远程代码执行CVSS 7.8——RAR5恢复卷解析越界写入·数十亿用户需手动更新

WinRAR 7.23版本修复了一个RAR5恢复卷（.rev文件）解析过程中的堆缓冲区溢出漏洞（CVE-2026-14191），CVSS评分7.8。漏洞位于recvol5.cpp的RecVolumes5::ReadHeader函数中，在分配RecItems向量大小时存在越界写入缺陷。攻击者可构造恶意RAR压缩包（包含特制的.rev恢复卷文件），当用户使用WinRAR或UnRAR打开该压缩包时触发堆溢出，导致任意代码执行并完全控制受害者计算机。WinRAR全球拥有超过5亿用户，尤其在中文用户群体中极为普及，且WinRAR不提供自动更新功能——用户必须手动下载新版本进行覆盖安装。这意味着大量用户将长期暴露于此漏洞之下，企业环境中的修补尤其困难。该漏洞可与钓鱼邮件结合，攻击者发送恶意RAR附件诱骗用户打开，触发后即可在受害者系统上执行任意命令，窃取数据或部署勒索软件。7月2日漏洞公开披露，7月3日Malwarebytes发出安全警告，建议所有用户立即升级。

影响范围

WinRAR/UnRAR 7.23之前所有版本（全球5亿+用户，中文用户占比极高；无自动更新机制，企业环境修补困难）

修复建议：立即从WinRAR官网手动下载并安装WinRAR 7.23或更高版本；企业环境通过软件分发系统推送更新；教育用户勿打开来源不明的RAR附件；部署邮件网关过滤含.rev附件的可疑邮件；考虑迁移至7-Zip等替代解压软件

紧急提醒

本期最高优先级：Adobe ColdFusion CVE-2026-48282 CVSS满分10.0已确认野外利用，6个满分漏洞批量修复，所有ColdFusion用户必须立即升级；curl CVE-2026-8924 CVSS 9.1影响数十亿嵌入设备且修复周期漫长；Cursor IDE DuneSlide零点击RCE CVSS 9.8，AI编码工具安全风险从理论走向现实；CitrixBleed CVE-2026-8451补丁24小时即被利用，边界设备极速利用已成常态；WinRAR CVE-2026-14191影响数十亿用户且无自动更新。本期五个漏洞覆盖企业应用、网络基础设施、开发工具链和终端软件，攻击面极广，建议安全团队启动应急响应流程逐项排查修复。

处置建议

① Adobe ColdFusion用户立即升级至ColdFusion 2023 Update 21 / 2025 Update 10，审计服务器web目录是否存在未授权文件，部署WAF防御路径遍历攻击

② 全面清查组织中使用libcurl的应用和系统清单，优先升级curl至最新修补版本，关注嵌入式/IoT设备固件更新状态

③ Cursor IDE用户立即升级至3.0或更高版本，审查AI Agent配置文件中是否存在可疑注入指令，避免Agent自动浏览不受信内容

④ Citrix NetScaler用户立即应用官方安全补丁，轮换所有设备凭证和SSL证书私钥，审计设备访问日志

⑤ WinRAR用户立即手动下载安装WinRAR 7.23或更高版本，企业通过软件分发系统批量推送，教育用户勿打开来源不明的RAR附件

觉得有用？点击右下角在看，让更多人看到

探知安全 · 每日推送最新漏洞资讯

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：探知安全 《7月6日高危CVE漏洞速报》