【安全速报】10月12日高危漏洞紧急预警

探知安全
探知安全

探知安全

2026年10月12日 14:56
江西

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

【安全速报】10月12日高危漏洞紧急预警

2026年10月12日  |  探知安全

今日焦点

过去 72 小时最刺眼的信号不是\"谁又出了个洞\"，而是\"补上去的洞还在漏\"。SonicWall SMA1000 预认证 SSRF（CVE-2026-102255）10 月 6 日才发布通告、厂商明确写着\"无在野利用证据\"，24 小时后已被蜜罐捕获真实攻击请求——利用链直指设备内部 CouchDB 的默认口令 admin:admin；Citrix NetScaler 则在两周内第三次发补丁，上期（10 月 9 日）大家刚升到 14.1-73.41 / 13.1-64.28 的设备，作为 SAML IdP 依然在 CVE-2026-107406 的受害范围内，必须再升一次到 73.46 / 64.29。另一头，国家级行为体 Flax Typhoon（Integrity Technology Group）把 2015 年的 ProFTPD 满分漏洞（CVE-2015-3306，CVSS 10.0）、2021 年的 ONLYOFFICE 目录穿越（CVE-2021-3199，9.8）等五个\"上古\"漏洞一次性扫进 KEV，联邦机构只有 3 天窗口；开源侧 GhostAction 伪装成\"安全审计\"的 GitHub Actions 工作流，一天半内经两个被劫持的维护者账号注入 346 个仓库，把整个 Git 历史里的 AWS / Anthropic / OpenAI 密钥全部刨走。建议优先排查：公网暴露的 SonicWall SMA1000（无 workaround，必须换固件）、跑 SAML IdP 的 NetScaler，以及所有引用过 ProFTPD / Struts / BIND / Strapi / ONLYOFFICE 的自建服务。

漏洞详情

严重CVE-2026-102255CVSS 10.0

SonicWall SMA1000 预认证 SSRF：通告说\"无在野利用\"，24 小时后蜜罐就抓到了（CVSS 10.0·补丁发布 3 天内已被利用尝试·无 workaround）

SonicWall SMA1000 Appliance Work Place（Extraweb）接口存在预认证服务器端请求伪造漏洞 CVE-2026-102255（CVSS 3.1 10.0，CWE-918 SSRF + CWE-441 混淆代理），通告 SNWLID-2026-0017，10 月 6 日发布，原文写着\"目前没有证据表明本次修复涉及的漏洞正在被利用\"。Previdian 创始人 Ryan Dewhurst 随后对 BleepingComputer 确认，其蜜罐网络在通告发布后 24 小时内就观测到针对性利用请求。攻击链已高度具体化：构造 HTTP OPTIONS 请求打到 SMA1000 的 WorkPlace Extraweb 接口，触发 SSRF 让设备自己去访问 127.0.0.1:5984 的内置 CouchDB 服务，再尝试遍历 CouchDB design document 并调用其 _rewrite 函数，HTTP Basic 认证头里带的是默认凭据 admin:admin。也就是说，攻击者不需要任何凭据就能让这台公网 VPN 网关变成自己的内部代理，直接触达只监听回环的管理面。Shadowserver 统计公网暴露的 SMA1000 超过 400 台，而 MSSP、大型企业与政府机构大量依赖它做远程接入。同一通告还包含三个需认证漏洞：CVE-2026-102256（命令注入 7.8）、CVE-2026-102257（Zip Slip 7.2，ZDI 致谢 Brian Mariani）、CVE-2026-102258（存储型 XSS 5.5）。今年这已是 SMA1000 第四次在 Work Place / 代理层开预认证 SSRF 门：7 月的 CVE-2026-15409 / 15410 被 UTA0533 与 INC 用于 MFA 种子窃取和勒索软件落地，9 月的 CVE-2026-83548 / 83549 复刻同一形状，四年内 CISA 已把 19 个 SonicWall 漏洞列入 KEV，其中 13 个与勒索软件有关。

影响范围

SMA 6210、7210、8200v 三款机型，固件 12.4.3-03526 及更早、12.5.0-02952 及更早；修复版本 12.4.3-03670 与 12.5.0-03082。SonicWall SMA 100 系列防火墙上运行的 SSL-VPN 不受影响。

修复建议：升级固件到 12.4.3-03670 或 12.5.0-03082——SonicWall 未提供任何 workaround，不要浪费时间找。升级前把管理界面访问限制到可信 IP；若设备在 10 月 6 日至升级之间暴露在公网，务必审计 Work Place / Extraweb 日志，查找针对 /cgi-bin/workplace 的异常 OPTIONS 请求、指向 127.0.0.1:5984 的连接、_rewrite 调用以及带 admin:admin Basic 认证头的记录；同时把设备自身承载的所有内部服务的默认口令全部改掉，并把该设备出站流量纳入监控——SSRF 被利用时，日志里看起来就是设备在\"自己跟自己通信\"，正是大多数监控规则选择忽略的形态。

严重CVE-2026-107406CVSS 9.5

Citrix NetScaler SAML 内存溢出：两周内第三个 SAML 洞，上期补丁版作为 IdP 仍然中招（CVSS 9.5·10/8 新披露·厂商称未发现未缓解利用）

Citrix 于 10 月 8 日发布安全通告 CTX697191，披露 NetScaler ADC 与 NetScaler Gateway SAML 组件内存溢出漏洞 CVE-2026-107406（CWE-119，Citrix 官方 CVSS v4.0 评分 9.5），可导致远程代码执行或拒绝服务，触发前提是设备被配置为 SAML 服务提供方（SP）或身份提供方（IdP）——正是企业单点登录的典型场景；Secure Private Access Hybrid 部署中使用了 NetScaler 实例的同样受影响。Citrix 官方立场为\"截至通告发布时未发现任何未缓解的利用\"，但两周内 NetScaler 已被打过两轮紧急补丁（CTX697096、CTX697174），NHS England 安全运营中心 10 月 9 日直言\"很可能已被利用\"，理由是此前几个 NetScaler 漏洞都是 PoC 公开后数小时内就被打。本条最关键的细节：上一期速报（10 月 9 日）建议大家为 CVE-2026-88779 升到的 14.1-73.41 与 13.1-64.28，只要设备扮演 SAML IdP 角色，仍处于本漏洞的受影响区间内，必须再次升级到 14.1-73.46 / 13.1-64.29。换句话说，\"上周刚补过\"在 NetScaler 上已经不构成安全论据。漏洞由 JPMorgan Chase XOR 团队的 Michael Tucker、Chew Keong Tan、Alex Bernier 与 Maxim Suhanov 报告。另需注意：新版本默认拒绝未签名的 SAML assertion，升级前务必确认 IdP 侧已开启签名，否则会直接出现登录失败。

影响范围

NetScaler ADC / Gateway 14.1 分支（< 14.1-73.37）与 13.1 分支（< 13.1-64.23，及对应 FIPS / NDcPP 线）在 SP 或 IdP 任一角色下均受影响；IdP 专属受影响区间为 14.1-73.37 至 14.1-73.41、13.1-64.23 至 13.1-64.28。12.1 与 13.0 分支已 EOL，无修复，须迁移至 14.1。

修复建议：升级至 14.1-73.46、13.1-64.29、14.1-73.46 FIPS 或 13.1-37.283（FIPS / NDcPP）及以上，一次覆盖三期通告。用 show version 确认版本号真的变了；用 grep 查配置中的 add authentication samlAction（SP）与 add authentication samlIdPProfile（IdP）判断自己是否落在 IdP 专属区间；升级后开启 Enhanced ISN Generation（CVE-2026-88778 需要该设置，且每个 admin partition 都要单独配置）；运行 Citrix 的 IoC 扫描并订阅其更新。若设备已有入侵迹象，直接新建替换，不要通过 HA 从可疑节点同步恢复，并轮换设备上保存的全部密钥与证书。

高危CVE-2015-3306 / 2021-3199 / 2016-3081 / 2023-22894 / 2015-5477CVSS 4.9–10.0

Flax Typhoon 一次扫进五个\"上古\"漏洞：2015 年的满分 ProFTPD 还在被国家级利用（多国联合通告 AA26-281A·10/8 入 KEV·联邦 3 天窗口）

CISA 于 10 月 8 日同批把五个跨度八年的漏洞收入 KEV，起因是中国关联组织 Flax Typhoon（Integrity Technology Group）被确认在真实攻击中成功利用。同日由澳大利亚、加拿大、日本、新西兰、西班牙、英国、美国联合发布通告 AA26-281A，给出上下文：这些组织使用自动化扫描、僵尸网络与手工利用从全球目标（包含美国关键基础设施）窃取数据，附录 B 列出的正是从其扫描脚本中提取的\"成功利用\"CVE。五个漏洞分别是：ProFTPD mod\_copy 的 CVE-2015-3306（CVSS 3.1 满分 10.0，≤ 1.3.5 经 SITE CPFR / CPTO 免认证读写任意文件，1.3.5a 起修复）、ONLYOFFICE Document Server 的 CVE-2021-3199（9.8，< 5.6.3 图片上传参数 /.. 目录穿越，启用 JWT 时可致 RCE）、Apache Struts 的 CVE-2016-3081（8.1，2.3.19–2.3.28 开启 DMI 时经 method: 前缀链式 OGNL 执行 RCE，原 CVSSv2 为 9.3）、ISC BIND 的 CVE-2015-5477（7.5，9.x < 9.9.7-P2 与 9.10.x < 9.10.2-P3 经畸形 TKEY 查询打崩 named）、Strapi 的 CVE-2023-22894（4.9，≤ 4.5.5 经查询过滤器向已认证管理后台用户泄露敏感用户数据，CISA 条目明确注明可与 CVE-2023-22621 串联成 RCE——分数低但链条才是重点）。除 BIND 那条被 CISA 标注 forensicTriage: No 外，其余四条均为 Yes：打完补丁还得回头查是否已被入侵。攻击链中还包含针对 Microsoft Exchange 的密码喷洒、借助 VPN 软件做持久化，以及脚本化邮件与凭据外传。这次联邦窗口只有 3 天，依据是 2026 年 6 月发布的 BOD 26-04 分级指令——满足\"可远程利用 / 无需认证 / 可完全沦陷 / 可自动化\"的漏洞直接给 3 天加取证义务。

影响范围

ProFTPD ≤ 1.3.5；ONLYOFFICE Document Server < 5.6.3（需开启 JWT）；Apache Struts 2.3.19–2.3.28 且启用 Dynamic Method Invocation；ISC BIND 9.9.x < 9.9.7-P2、9.10.x < 9.10.2-P3；Strapi ≤ 4.5.5。另注意通告同时点名的三个已入 KEV 相关项：Shellshock、Ivanti Pulse、GitLab RCE。

修复建议：五项全部升级到修复版本（Struts 若无法升级，至少关闭 DMI 并迁移到受支持分支）；Strapi 条目 CISA 自己都写了\"产品可能已 EOL/EoS，建议停止使用\"，那就该换 CMS 而不是继续修。修复完成后按 KEV 的 forensicTriage 要求做一次完整排查：日志侧重点看 Exchange 的密码喷洒、VPN 客户端的异常安装记录，以及是否存在批量邮件外传脚本。ProFTPD / BIND / 老 Struts 这类\"装一次就再也不动\"的组件是本次五个漏洞的共同画像，公网可达实例一律从清单里清掉。

高危供应链事件·无 CVE 编号影响面最广

GhostAction 回归：伪装\"安全审计\"的 GitHub Actions 工作流，挖走整个 Git 历史里的云与 AI 密钥

这条没有 CVE 编号，但影响面可能是本期最广的。10 月 8 日，GhostAction 凭据窃取行动利用两个被劫持的开源维护者 GitHub 账号，向其有写权限的仓库批量注入恶意工作流 .github/workflows/security-audit.yml。据 Step Security：13:20 UTC 起使用 pyxel 作者 Takashi Kitao 的账号推送到 27 个仓库；约 8 小时后，Uber athenadriver 原作者 Henry Wu 的账号被用于 21:10–21:26 的 16 分钟窗口内向 318 个仓库推送同一文件（其中 39 个源项目、279 个 fork）。GitGuardian 引 Socket 的口径是 346 个仓库，而 Socket 更进一步称自 10 月 7 日以来已有 500 多个 GitHub 账号提交了该工作流，波及数以万计的仓库。攻击链起点大概率是 infostealer 日志或凭据泄露中的 PAT，提交直接落在默认分支、无 PR 无评审——因为被劫持的账号本身就是有写权限的维护者。新变化在于这版工作流 fetch-depth: 0 拉全量历史，除仓库具名 Actions secrets 外，还用 13 组正则扫工作区与完整 Git 历史，正则目标包括 AWS 密钥、GitHub / GitLab token、Google / Firebase 密钥、Slack、SendGrid，以及本轮新增的 Anthropic、OpenAI、OpenRouter AI 密钥；还做了 AWS Access Key ID 与 Secret 的配对包裹。数据以明文 HTTP POST 发往硬编码 IP 193.32.204.199，该 IP 同时被 GreyNoise 与 Shodan 观测为活跃扫描器。Step Security 已确认 uber/athenadriver 存在真实外传：工作流启动 4 秒后服务端即回执确认。作为参照，该行动 2025 年 9 月首次曝光时波及 817 个仓库、327 个用户、3,325 个密钥；本轮 8/31–9/30 期间 GitGuardian 记录到 772 个公开仓库、2,577 个密钥。截至 10 月 9 日尚未发现用被窃发布凭据推送的恶意包版本。

影响范围

两个维护者命名空间下全部仓库及其 fork（henrywoo 命名空间的 279 个 fork 同样带此工作流，若启用了 Actions，后续 push 会持续触发凭据收割）；私有 fork 与下游镜像风险最高，因为真实凭据往往提交在那里。审计搜索指标：.github/workflows 下的 AKIA_CTX_START、c=monami、工作流文件中出现 193.32.204.199、以及直接提交到默认分支的新建\"审计类\"工作流。

修复建议：搜到即视为已失陷：撤销被劫持的 GitHub 凭据、轮换全部曾触达该仓库的凭据、从所有分支删除恶意工作流，并同步检查 fork（私有 fork 与镜像优先）；把 CI 工作流文件的变更当作特权变更对待，加 PR 评审与审计；为 CI 使用短期、窄作用域凭据。Step Security 的关键提醒值得单独记住：轮换配置的 Actions secrets 已经不能覆盖这次暴露——几年前提交后又被删除的密钥，翻历史一样能翻出来。

高危CVE-2026-34197CVSS 8.8

Hitachi Energy SOI 电站监控平台 RCE：Jolokia 管理接口直连 Spring 上下文加载，能源关键基础设施在 KEV 上

Hitachi Energy SOI（Substation Online Intelligence，变电站在线监控与管理平台）内置的 Apache ActiveMQ 组件存在代码注入漏洞 CVE-2026-34197（CVSS v3.1 8.8，向量 AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H，CWE-94 + 输入校验不当）。链路并不隐晦：ActiveMQ Classic 在 Web 控制台的 /api/jolokia/ 暴露 Jolokia JMX-HTTP 桥，而默认 Jolokia 访问策略允许对所有 org.apache.activemq:* 的 MBean 执行 exec 操作，其中包括 BrokerService.addNetworkConnector(String) 与 BrokerService.addConnector(String)。已认证攻击者用构造的 discovery URI 调用这些操作，使 VM 传输的 brokerConfig 参数经 ResourceXmlApplicationContext 加载远程 Spring XML 应用上下文；由于 Spring 在 BrokerService 校验配置之前就实例化了全部单例 bean，攻击者的 XML 文档可以通过 Runtime.exec() 之类的 bean 工厂方法在 broker 的 JVM 里执行任意代码。这条漏洞本身披露于 2026 年 4 月 7 日，CISA 在 4 月 16 日就收入 KEV 并确认在野利用，FIRST EPSS 给出的 30 天内被利用概率为 15.5%（其他跟踪源口径差异较大）。10 月 6 日 CISA 发布 ICS 通告 ICSA-26-279-04 再次放大可见度，Hitachi Energy 原始通告编号为 8DBD000244（9 月 29 日）。SOI 的定位让它格外敏感：JMS broker 是 SOI 各组件之间的消息主干，broker 上的代码执行意味着可读取运行消息流量、可篡改或注入消息，并以此为跳板进入相邻控制网主机。

影响范围

Hitachi Energy SOI 2.0.0 至 2.2.0（含）；底层 Apache ActiveMQ Classic < 5.19.4 与 6.0.0 至 < 6.2.3 同样受影响，全球公网暴露的 ActiveMQ 控制台规模在数万级别。

修复建议：应用 Hitachi Energy SOI EP2 累计补丁（将 SOI Core 的 broker 升级到 ActiveMQ 5.19.5，同时升级管理脚本、OpenJDK 11 运行时与 WildFly 模块内的 ActiveMQ 客户端库）；若使用原生 ActiveMQ，则升到 5.19.4 或 6.2.3。过渡期缓解：限制 /api/jolokia/ 与 Web 控制台的网络可达范围、收紧 Jolokia 访问策略使 org.apache.activemq:* 上的 exec 被拒（尤其 addNetworkConnector / addConnector）、强制强认证；日志侧排查对这两个方法的 Jolokia 调用与异常的 VM 传输连接器新增记录。

紧急提醒

本期最高优先级是 SonicWall SMA1000 的 CVE-2026-102255。它危险在三点叠加：第一，满分 10.0 且预认证、无需任何凭据，触发 SSRF 只需要一个 OPTIONS 请求；第二，这类远程接入网关就是设计给公网用的，\"先关掉暴露面\"这条常规建议在这里不成立，你只能换固件；第三，厂商在通告里明确说了\"无在野利用证据\"，而这恰恰提醒我们——漏洞被公布的时刻，扫描已经在路上了，蜜罐 24 小时抓到请求只是观测到，不是开始。观察到的利用链用设备自己的内部 CouchDB 默认口令 admin:admin 完成后续动作，说明它假定的是未加固部署；但触发 SSRF 本身不需要口令，所以不能因为\"我们改过默认密码\"就降级处理。

其次请把所有 NetScaler 设备的口径统一到\"以 14.1-73.46 / 13.1-64.29 为准\"，而不是\"我上周升过了\"。两周三个 SAML 相关的洞、上期补丁版这次又落在 IdP 受害区间内，说明对这类身份网关按季度窗口打补丁在数学上就是错的——它大部分时间都处于暴露状态。处置时请把 NetScaler 当成 Tier 0 基础设施对待：先公网网关、再取证、后升级，升级完成后立刻确认版本号真的变了。

处置建议

①SonicWall SMA1000 立即升级固件到 12.4.3-03670 或 12.5.0-03082（无 workaround），并把管理界面限制到可信 IP；同时导出 10 月 6 日至今的 Work Place / Extraweb 日志，检索指向 127.0.0.1:5984 的连接、_rewrite 调用与 admin:admin Basic 认证头。

②所有 NetScaler 升到 14.1-73.46 / 13.1-64.29（含 FIPS / NDcPP 对应版本），不要停在 73.41 / 64.28；用 show version 复核版本，用 samlAction / samlIdPProfile 确认 SAML 角色，升级前确认 IdP 侧已开启断言签名；12.1 / 13.0 分支规划迁移到 14.1；升级后开启 Enhanced ISN Generation 并运行 Citrix IoC 扫描。

③清点五项\"上古\"组件：ProFTPD（≥ 1.3.5a）、ONLYOFFICE（≥ 5.6.3）、Struts（关闭 DMI 或升级）、BIND（9.9.7-P2 / 9.10.2-P3）、Strapi（≥ 4.5.6 或停止使用）；逐台确认公网可达性，能下线的一律下线。修复后按 KEV 取证要求回溯：Exchange 密码喷洒、VPN 客户端异常安装、批量邮件外传脚本。

④全网搜索 GitHub 工作流污染：在 .github/workflows 下检索 AKIA_CTX_START、c=monami、硬编码 IP 193.32.204.199，以及直接推到默认分支的新建\"审计类\"工作流；命中即撤销维护者凭据、轮换该仓库触达过的全部凭据（含 AI 服务 Key），并清理所有 fork 与私有镜像——私有仓库才是真正提交了密钥的地方。

⑤电力与工业场景：SOI 2.0.0–2.2.0 打 SOI EP2，原生 ActiveMQ 升 5.19.4 / 6.2.3；收紧 Jolokia 策略使 org.apache.activemq:* 的 exec 不可用，限制 /api/jolokia/ 可达范围，回溯 broker 日志里的 addNetworkConnector / addConnector 调用。

⑥顺手加固 FortiGate：FBI 与美国特勤局联合通告的 FortiBleed 行动已波及 194 个国家 86,644 台设备，主武器不是新 CVE，而是撞库/喷洒 + 破解 FortiOS 旧版 SHA-256 口令哈希。请重点排查是否有陌生管理员账号（forticloud-sync、fgtsecure、forti\_support2、Technical\_support）、异常 REST API Key 与配置变更，终止现存管理与 VPN 会话，重置全部凭据，启用抗钓鱼 MFA，并把管理面彻底移出公网。

觉得有用？点击右下角在看，让更多人看到