【安全速报】10月14日高危漏洞紧急预警

探知安全
探知安全

探知安全

2026年10月14日 10:16
江西

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

【安全速报】10月14日高危漏洞紧急预警

2026年10月14日  |  探知安全

今日焦点

过去 72 小时是「补丁日撞上零日链」的一周。微软 10 月 13 日的补丁日刷新历史纪录，一次修了 1411 个漏洞（不同口径 1407–1413），其中一个 Windows Shell 的 Mark of the Web 绕过（CVE-2026-96951，CVSS 8.8）已经在真实攻击中被使用——这不是「高危需关注」，是「已经在打你」；同一天 CISA 把它和 Ivanti Connect Secure 的认证绕过（CVE-2026-104935，8.6）一起塞进 KEV，联邦截止日都定在 10 月 16 日，也就是本周五。Ivanti 这条更值得细读：Volexity 抓到 UTA0576 用三个零日串成一条链（认证绕过 + 文件写 + 一个还没修的提权），在完全打过补丁的 22.8R2.4 上打通了免认证 root，然后直奔 LAPS 口令、BitLocker 恢复密钥和域凭据——攻击者 10 月 3 日就开始了。另一头是两条「满分却没补丁」的现实：WordPress 的 Bricksforge 插件（CVE-2026-85097，CVSS 10.0）补丁发出当天就被扫，Patchstack 抓到 63 个源 IP 在跑自动化；GitLab 自建版 CI/CD 正则编译器整数溢出（CVE-2026-97229，CVSS 10.0）Rapid7 已复现真实 RCE。而最扎心的一组是 SOHO 路由器集群：11 个 CVE、三家厂商、峰值满分 10.0、公开 PoC 已有、一个补丁都没有，其中一台 TRENDnet 早在 2011 年就 EOL 了。建议优先排查：Ivanti Connect Secure（务必走完取证再打补丁）、运行 Bricksforge 或自建 GitLab 的站点、以及资产清单里那批根本没人管的 EOL 路由器。

漏洞详情

严重CVE-2026-104935CVSS 8.6

Ivanti Connect Secure 认证绕过：三个零日串成免认证 root，打的是完全打过补丁的设备（CVSS 8.6·10/13 披露同日入 KEV·联邦截止 10/16·含一个尚未修复的提权）

Ivanti 于 10 月 13 日发布安全公告，披露 Ivanti Connect Secure（ICS）认证绕过漏洞 CVE-2026-104935（CWE-290 认证绕过 by Spoofing），Ivanti 作为 CNA 给出的 CVSS v3.0 评分为 8.6，向量 CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:L——无权限、无交互、可远程，导致攻击者能在设备上执行任意命令。分数只是「高危」而非「严重」，但 Volexity 的取证把这三个字的分量补齐了：10 月 5 日 Volexity 在一家网络监控客户处发现异常，顺藤摸到一台当时完全打过补丁（22.8R2.4，Build 19097）的 ICS 被攻陷。倒查后确认，未知行为体 UTA0576 自 10 月 3 日起就在反复利用一条由三个零日组成的链：welcome.cgi 的认证绕过（可将请求路由到任意 CGI 文件，含受认证保护的那些）、wu.cgi 的文件写、以及一个关于 dsinvoked 代理如何信任 DSCache 配置数据的提权漏洞——攻击者用它修补 cgi-server 进程内存中的 /home/lib/libdsplibs.so，改写 DSCache 里某个既有维护任务，让它去启动 Perl 解释器而不是原本的脚本，于是 dsinvoked 以 root 身份执行了恶意 Perl。提权脚本成功后会检查 /etc/shadow 是否可读来确认，然后把 DSCache 条目和 libdsplibs.so 恢复原状，并清理 /home/runtime/dlogs/debuglog 与 /var/log/audit/audit.log 中的相关记录——这就是为什么 Ivanti 官方 Integrity Checker 工具查不出来。拿到 root 后 UTA0576 的动作非常明确：抽取设备上存的 LDAP 域凭据、导出有限量的 AD 元数据、部署自研的 Kerberos 工具（支持 Kerberoast 攻击与凭据验证）和自研 Python LDAP 工具（用一个被控的 AD 服务账号去搜 LAPS 本地管理员口令、BitLocker 恢复密钥和任何含密码的属性）、抓取 LDAP 流量做嗅探、从 log.events.vc0 里提取用户名并写入 /tmp/pu.txt、执行密码喷洒。Volexity 判断这是为横向移动做准备的，且明确指出没有发现一阶段木马或 Web Shell——攻击者每执行一条命令都要重跑一遍完整利用链，因此每条命令的结果都通过 HTTP 响应回显。攻击基础设施为 108.165.147[.]64（Evoxt VPS，9/30–10/7 期间运行 OpenVPN）。三个零日中，前两个同属 CVE-2026-104935，提权那个 Ivanti 尚未修复，计划后续版本处理。

影响范围

ICS 25.1.1.1 及更早（适用代码线）、25.1.2.2 及更早、22.8R2.4 及更早；修复版本为 25.1.1.2、25.1.3.0 / 25.1.3.1、22.8R2.5。厂商确认 22.7.x 及更早版本不受影响。Volexity 建议直接升级 25.1.1 及更早、25.1.2、22.8R2.4 三类设备到最新版。

修复建议：立刻按 Ivanti 公告升级，Rapid7 建议走紧急通道、脱离正常补丁周期。关键动作是先取证再升级——由于攻击者会清理审计日志且 Integrity Checker 查不出问题，Volexity 建议做网络与内存取证确认是否被入侵：监控大量指向 /dana-na/auth/url_default/welcome.cgi 的请求，恶意请求的头部会带 X-DSCGI-PATH: /home/webserver/htdocs/dana/fb/smb/wu.cgi 或 X-DSCGI-PATH: /home/runtime/tmp/<MD5(filename)>；Volexity 同时建议监控 URL 路径与 X-DSCGI-PATH 不匹配的请求，因为攻击者大概率会换路径。检查 /tmp/ 目录有无后渗透痕迹，检查 /home/etc/pulse/、/home/etc/、/home/*.cfg、/home/runtime 的配置是否被读取，审计日志里 10 月 3 日前后有无对应记录。怀疑已失陷的设备按 Ivanti 的恢复步骤处置（22.8x 与 25x 各有独立文档），并假定域凭据、LAPS 口令、BitLocker 恢复密钥、VPN 隧道内全部会话都已泄露——全面轮换，不要只改 VPN 设备本身。

严重CVE-2026-96951CVSS 8.8

微软补丁日 1411 个漏洞，唯一一个「已在野利用」的零日是 Windows Shell 的 Mark of the Web 绕过（CVSS 8.8·10/13 新披露同日入 KEV·联邦截止 10/16）

微软 10 月 13 日的补丁日刷新了自己的历史纪录，共修复 1411 个漏洞（微软自己的「风险群组」说明覆盖 1118 个，Tenable 计数 1407，itsecuritynews 记 1413——差异主要来自月初已提前发布的漏洞以及 Azure Linux/Mariner 内置开源组件的计数方式）。其中 70 个为严重（Critical），57 个是远程代码执行，另有 3 个零日。而唯一被微软确认已在野利用的那个，是 Windows Shell 的安全功能绕过漏洞 CVE-2026-96951（CVSS v3.0 8.8，定级 Important，CISA 记录关联 CWE-77 命令注入），10 月 13 日进入 KEV，联邦截止 10 月 16 日，且标注需按 BOD 26-04 做取证分类（CISA 目录描述为「Microsoft Windows Command Injection Vulnerability」，允许未授权攻击者通过网络绕过安全功能）。它的实际效果是绕过 Mark of the Web（MOTW）——那个 Windows 给所有从互联网下载的文件打上的隐藏标记，也是 SmartScreen 警告横幅和 Office 受保护视图的触发依据。绕过后，用户打开钓鱼邮件或聊天软件里传来的附件时，那条橙色安全警告根本不会出现。微软未披露利用方式也未署名报告方，这在实践中通常意味着利用细节仍敏感。值得注意的是，这已是 2026 年 Windows Shell 第三个被在野利用的漏洞（前两个是 2 月补丁日的 CVE-2026-21510 和 4 月的 CVE-2026-32202）。另两个零日是公开披露但未见利用：CVE-2026-108398（.NET Framework 安全功能绕过，8.8，Google Project Zero 的 James Forshaw 报告，搜索路径不当可绕过 WDAC/App Control for Business，需已有立足点）和 CVE-2026-92707（MessagePack-CSharp 拒绝服务）。同一批还有 Outlook 的 5 个免交互 RCE（70242、97749、97016、88156、70291），在预览窗格即可触发；Windows Server 2012 不获修复，2012 R2 获修复。Outlook.com 云服务此前也受 CVE-2026-96951 影响，已在数周前的构建中修复。

影响范围

Windows 10、Windows 11 及所有受支持 Windows Server 版本（Windows Server 2012 除外，不获修复；2012 R2 获修复）。10 月共涉及 301 个产品与组件，漏洞数量集中在 Windows 文件系统/存储/备份（136）、Office 文档与邮件客户端（135）、Windows 图形/媒体/内容处理（131）、内核权限边界（109）等风险群组。本期 Windows 11 24H2 Home & Pro 到期停止服务，Windows Server 2022 进入扩展支持。

修复建议：CVE-2026-96951 排在所有队列最前面——「已被利用」永远优先于「严重等级」。全网部署 10 月累积更新，并配套启用 WDAC 策略监控（本期 CVE-2026-108398 与 WDAC 相关）。CVE-2026-92707 要特别注意：光打 Windows 更新修不了它，应用需自行升级 MessagePack-CSharp 依赖，要向开发团队或供应商确认。在 1411 个漏洞规模下不要逐条人工过，改为按微软新引入的 15 个「风险群组（risk cohorts）」做问答式分诊——先问自己暴露在哪类面（RDP？DNS/DHCP？文件服务器？远程接入？），再对应到该群组内的 136、76、103、65 个 CVE 批量处理。补丁无法及时覆盖的资产，记录责任人、原因、补偿控制、暴露状态与目标日期；无记录的例外等于无人负责的漏洞。

严重CVE-2026-85097CVSS 10.0

WordPress Bricksforge 插件满分漏洞：补丁还没发就已经被 63 个 IP 扫（CVSS 10.0·补丁前 1 天开始利用·两天内 63 源 IP）

Bricksforge 是 Bricks 可视化建站器的商业增强插件（提供高级表单、动画、动态数据与后台定制），约 6000 个网站在用，集中在代理商建站、营销落地页和内容型业务站。Patchstack 于 10 月 7 日 21:47 UTC 首次观测到针对 CVE-2026-85097 的利用尝试，而插件 10 月 8 日才发布修复——漏洞类型是未经身份验证的任意 PHP 代码执行，CVSS 满分 10.0，10 月 8 日由 Patchstack 公开披露。根因是上传与提交两个阶段之间的校验不一致：文件首次上传时插件会检查 MIME 类型（这一步是对的），但表单提交时却信任浏览器传来的元数据，其中包含 temporaryFileUploads 参数里的 url 字段。攻击链完整形态是：先从免认证 AJAX 端点 bricksforge_regenerate_nonce 取一个合法 nonce → 上传一个 GIF/PHP polyglot（既是有效图片又内嵌 PHP 代码）的文件，它能通过 MIME 校验并落到 /wp-content/uploads/bricksforge/tmp/ 临时目录 → 提交表单，temporaryFileUploads 一部分指向那个看起来无害的 GIF，另一部分把目标 URL 指定成以 .php 结尾 → 插件把文件内容写到该位置，浏览器一访问就是 Web Shell。Patchstack 观测到几乎全部攻击打在 POST /wp-json/bricksforge/v1/form_submit，少量走 /wp-admin/admin-ajax.php 的 bricksforge_form_submit action，95% 被捕获请求的服务端路径以 .gif 或 .png 结尾却配了个 PHP 目标 URL。攻击者在系统性测试绕过：.php5、.phtml、大小写变体、URL 编码与双重编码，两组自动化模式清晰可见——一组 44 个 IP 在数秒内发出 56 个完全相同的请求，另一组 3 个 IP 对同一临时文件尝试了 25 种扩展名与编码变体。累计 63 个独立源 IP，其中 6 个贡献约 46% 的请求。Patchstack 判断这是分布式代理基础设施驱动的自动化利用，未归因到具体行为体，但漏洞本身已「从披露态毕业为共享利用技术」。

影响范围

Bricksforge 3.1.8.9 及更早版本受影响；3.x 分支修复于 3.1.8.10，4.x 分支修复于 4.0.1（Bricksforge 于 10 月 8 日发布的 4.0.0 大版本线）。约 6000 个活跃安装，代理商建站与营销站往往不在中心 IT 视野内。

修复建议：立即升级到 3.1.8.10 或 4.0.1；如果用的是托管自动更新，务必确认更新已实际应用而非排队——「补丁可用」和「补丁已打上」之间的窗口正是攻击者当前作业的地方。无法立即更新的站点，可用 Patchstack 提供的 RapidMitigate 流量层规则临时拦截。排查日志：搜索 /wp-json/bricksforge/v1/form_submit 或 bricksforge_form_submit 请求中出现 temporaryFileUploads 参数的记录，看 nonce 请求后是否紧跟文件上传；重点检查 /wp-content/uploads/bricksforge/tmp/ 及 /wp-content/uploads/2026/10/ 下有无意外 PHP 文件，Patchstack 特别点名目标文件名模式 login_admin_*.php。发现可疑 PHP 文件即视为站点已失陷，启动事件响应并轮换凭据（WordPress 管理员口令、数据库口令、主机口令全都要换）。同时说明：本期另有 WPC Product Bundles for WooCommerce 与 Ninja Forms 插件的利用报告，一并清点更新。

严重CVE-2026-97229CVSS 10.0

GitLab 自建版 CI/CD 正则编译器整数溢出：Rapid7 已复现真实 RCE，官方定级满分（CVSS 10.0·10/12 修复·需能提交 .gitlab-ci.yml）

GitLab 于 10 月 12 日发布补丁，修复其自建（self-managed）CE / EE 版本中的 CVE-2026-97229——CI/CD Regular Expression Compiler 的整数溢出漏洞，GitLab 给出 CVSS 满分 10.0，向量为远程、低复杂度、无需权限、无需用户交互。官方公告原文：\"GitLab has remediated an issue that, under certain conditions, could have allowed an unauthenticated user to execute arbitrary code on the GitLab server via a specially crafted regular expression in a CI/CD configuration, due to insufficient regular expression validation.\"该漏洞同时影响 CE 与 EE。10 月 13 日 Rapid7 研究员在未打补丁的官方 GitLab CE 19.4.1 镜像上复现了真实的任意代码执行，而同样的输入在已修复的 19.4.2 镜像上无效。但 Rapid7 同时给出一个比厂商评分更严格的前提：\"attacker must first be able to commit a malicious CI/CD configuration file .gitlab-ci.yml, and a repository path containing UTF-8 characters to a branch in a public project.\"换句话说，厂商的「无需权限、无需交互」成立，但确实需要能把恶意配置文件提交进公开项目的分支——在允许普通用户创建公开项目的自建实例上，一个普通账号就能满足。Rapid7 明确表示截至发稿没有确认的在野利用。漏洞由 HackerOne researcher joaxcar 报告，同一位研究者还报告了 CVE-2026-7767（GitLab Kubernetes 代理的中危开放重定向，可导致敏感认证令牌被发往非预期服务器）。这已是 GitLab 近期第三个关键漏洞——今年 8 月的 CVE-2026-19478 就是那个无需认证即可修改或删除公开项目与用户数据的严重代码注入。

影响范围

GitLab CE 与 EE，19.2 分支 < 19.2.8、19.3 分支 < 19.3.5、19.4 分支 < 19.4.2。GitLab.com 已运行修复版本，GitLab Dedicated 客户无需操作。

修复建议：所有自建实例立即升级到 19.4.2 / 19.3.5 / 19.2.8 之一——GitLab 官方措辞是 \"strongly recommend that all self-managed GitLab installations be upgraded ... immediately\"，Rapid7 建议脱离正常补丁周期紧急升级。同时把权限基线调一调：收紧「普通账号可创建公开项目」这一前置条件，对自建实例而言这条不是产品缺陷而是配置选择；审计近期新增的公开项目与分支，检查 CI 日志中异常的流水线耗时（正则编译类漏洞常表现为任务卡死）；如资产清单里有 CVE-2026-19478 未修补的实例，一并升级。

高危CVE-2026-39919CVSS 9.8

Ghostscript 堆缓冲区溢出：一个 PDF 就能拿下渲染服务器，WordPress 缩略图是常见入口（CVSS 9.8·Wordfence 与 Argus 联合发现·修复版 10.08.0）

Ghostscript 解释器与渲染引擎存在严重堆缓冲区溢出 CVE-2026-39919（CVSS 9.8），攻击者通过特制 PDF 文件即可触发远程代码执行。Defiant 的 Wordfence 研究员于 8 月 23 日使用其 AI 系统 Argus 发现该问题，10 月 13 日公开。研究者利用 Argus 构造了两个 exploit，并证明该漏洞可向一个 256 字节的缓冲区写入 1024 字节，破坏内存结构；漏洞位于解释器与渲染引擎本身，因此在任何把 PDF 交给 Ghostscript 处理的工作流中都可能被触达——包括经 PHP Imagick 与 ImageMagick 生成 PDF 缩略图的场景，WordPress 的部分 PDF 缩略图路径就在其中。研究者同时指出，payload 可针对目标环境做适配，这意味着风险不局限于某一种狭窄配置；不过在标准 Linux 发行版的实验室测试中，他们无法稳定达成代码执行，只在专门搭建的测试服务器上成功——这也解释了为何它至今未被利用。Wordfence 表示发稿时未观察到在野利用。Artifex 已在 Ghostscript 10.08.0 中修复，并向旧版本回合补丁。

影响范围

Ghostscript 9.21 至 10.07.1 全部版本。间接影响面大得多：任何调用 Ghostscript 处理 PDF 的服务——ImageMagick / PHP Imagick 链路、使用 gs 命令行做转换或预览的文档流水线、WordPress 及各类 CMS/论坛的 PDF 缩略图生成、报表与发票 PDF 渲染模块。

修复建议：升级到 Ghostscript 10.08.0 或回合补丁版本，并注意重新构建使用 Ghostscript 的容器镜像（很多团队只改代码不动镜像，结果生产环境仍在跑旧库）。在完成升级前，关闭 PDF 渲染与 PDF 上传功能是比「验证自己不受影响」更可靠的选择。同时检查历史上是否有人上传过 PDF 并生成缩略图——若生成目录下的缩略图被当成静态文件直接提供访问，需要一并纳入排查。顺带一提，本期 Wordfence 数据还显示 2026 年第二季度发布的 WordPress 相关漏洞超过 2000 个，高危占比环比上升，建站插件的漏洞节奏只会更密，插件清单治理该提上日程了。

高危CVE-2026-108907 等 11 个峰值 CVSS 10.0

SOHO 路由器集群 11 个漏洞、三家厂商峰值满分、公开 PoC 已有、一个补丁都没有（峰值 CVSS 10.0·多 CVE 无补丁·部分硬件 2011 年已 EOL）

这是一组同期披露的家用/小型办公室路由器漏洞，横跨 Linksys E1700（5 个）、Netcore 磊科 NR268（2 个）、Edimax BR-6208AC（4 个），共 11 个 CVE，峰值 CVSS 10.0，公开的概念验证利用代码已存在多个，而三家厂商均未发布任何修复固件。逐条看：Linksys E1700（固件 1.0.0.4.003）的 CVE-2026-108892（CVSS 10.0）是 /goform/ssid1MACFilter 中 ssid1MACFilter 函数的栈缓冲区溢出（CWE-121），经 newap_text_%d 参数可远程无认证触发且有公开利用代码；同机另有四个 9.9 分的命令注入——CVE-2026-108893（setVlan）、108894（addStaticRoute）、108895（setDMZ）、108896（setLinksysIpv6）。Netcore NR268（固件 1.7.121109）的 CVE-2026-108907（CVSS 10.0，CWE-287）是 CGI 执行组件 user\_ok 函数的认证不当：根因是逻辑错误——读取 /tmp/passwd 凭据缓存失败时 get\_password() 返回 -1，user\_ok() 把这个错误值当成认证成功直接返回 1，即认证失败开放（fail open）。触发条件包括 /tmp/passwd 缺失、损坏或缺少 name=/password= 条目，且凭据缓存重建失败；一旦处于该状态，任何 HTTP Basic 认证头在 /router/*.cgi 端点上都会被接受，特权操作（重启、恢复出厂、改凭据、上传固件）全部可用，公开分析报告与 PoC 均已存在，厂商在被提前告知后未作任何回应。另有 CVE-2026-108929（9.9，CWE-88）是 /router/DDNSset.cgi 中 execvp 的参数注入，经 Hostname 参数向命令注入额外参数。Edimax BR-6208AC 的 CVE-2026-108917 与 108918（均 CVSS 10.0）是 formAutoFWupgrade 与 formWlanMP 的 OS 命令注入，另有 CVE-2026-108914 / 108915（均 9.9）是 formWlSiteSurvey 与 formWlanMP 的缓冲区溢出。厂商响应尤其值得记录：TRENDnet 在 CVE-2026-108804（TEW-751DR / TEW-752DRU / TEW-733GR，CVSS 10.0 命令注入）的通告里直白写道 \"As this router was EOL'd in 2011, we have no way of testing if such vulnerability exists. We will notify our customers of a potential vulnerability on this product.\"——2011 年就停止支持的老设备，2026 年还挂在网络里。

影响范围

Linksys E1700（固件 1.0.0.4.003）、Netcore NR268（固件 1.7.121109）、Edimax BR-6208AC、TRENDnet TEW-751DR / TEW-752DRU / TEW-733GR。这些设备的共同画像是：远程员工家庭网络、小型分支机构、临时站点——绝大多数不在资产台账里，也几乎肯定不在 EDR 覆盖范围内。未知在野利用，未进 CISA KEV。

修复建议：既然三家厂商都不会出补丁，「等更新」不是选项。先做三件立刻能做的事：一是排查资产，在台账、网段扫描、DHCP/ARP 记录里找这几款型号，重点问远程员工和分支；二是封管理面，WAN 侧一律禁止访问 Web 管理界面，LAN 侧只允许可信管理主机访问；三是关功能，不用就关——Linksys E1700 的 Mac Filter、Netcore NR268 的 DDNS、Edimax 的固件升级与 WLAN 功能。同时为 /goform/ssid1MACFilter、/router/DDNSset.cgi 及 Edimax 各 form handler 加告警。有了公开利用代码，机会主义扫描通常在数天内就会到达，域隔离（把这类路由器放独立 VLAN 加严格防火墙）并规划硬件更换才是根治方案。另外顺手解决一个老问题：如果你登不进管理面板是因为不知道密码，那这是另一个必须马上处理的问题——默认凭据和网络设备弱口令始终是最常被利用的入口之一。

紧急提醒

本期最高优先级是 Ivanti Connect Secure CVE-2026-104935，原因有三层，而分数只是其中最不重要的一层。第一层是「已经在打」：Volexity 确认 UTA0576 从 10 月 3 日就在利用，受害设备是当时完全打过最新补丁的 22.8R2.4——这意味着任何以「我打了最近一次补丁」为依据的排除判断在这里都是错的。第二层是「目标是身份而不是隧道」：这条链的目标非常明确，直奔 LAPS 本地管理员口令、BitLocker 恢复密钥、域凭据和 Kerberos 凭据。VPN 网关被拿下意味着隧道内所有会话、所有经它接入的会话凭据都应视为已泄露，补上设备那个洞并不能把已经流出的凭据收回来。域内横向移动的准备工作已经做完，且 Volexity 判断攻击者在行动中使用了大语言模型辅助利用开发与后渗透。第三层是「你能查的东西被删了」：攻击者会还原 DSCache 与 libdsplibs.so、会清 debuglog 与 audit.log，官方 Integrity Checker 明确查不出这类入侵，因此打补丁之前必须先做网络与内存取证——顺序反了，唯一能证明它没被打过的证据就没了。排查优先级建议：第一顺位是 ICS 设备（不管补丁打没打），第二顺位是同期挂着的 Windows 终端（CVE-2026-96951 已确认在野利用），第三顺位是 WordPress 与 GitLab 这类「补丁刚出就被扫」的应用面，第四顺位是那批没人管的 SOHO 路由器。

处置建议

① Ivanti Connect Secure 先取证、再打补丁：导出并离线保存设备日志，监控指向 /dana-na/auth/url_default/welcome.cgi 且带 X-DSCGI-PATH 头（尤其 /home/webserver/htdocs/dana/fb/smb/wu.cgi 或 /home/runtime/tmp/<MD5>）的请求，监控 URL 与该头不匹配的请求，检查 /tmp/、/home/etc/pulse/、/home/runtime、log.events.vc0 有无异常；然后升级到 25.1.1.2 / 25.1.3.0、25.1.3.1 / 22.8R2.5；怀疑已失陷的按厂商恢复步骤处置，并假定域凭据、LAPS 口令、BitLocker 恢复密钥已泄露，全面轮换。注意提权漏洞尚未修复，升级不等于封顶。

② Windows 终端今明两天必须打上 10 月累积更新，CVE-2026-96951 已在野利用且联邦截止 10 月 16 日；CVE-2026-92707 需让开发方单独升级 MessagePack-CSharp 依赖，系统补丁修不了。1411 个漏洞不要逐条过，用微软的 15 个风险群组按「我们暴露在 RDP / DNS-DHCP / 文件存储 / 远程接入哪一面」批量分诊；无法及时打的资产登记责任人与目标日期。

③ 有 Bricksforge 的站点立刻升级到 3.1.8.10 或 4.0.1，并确认托管自动更新是「已应用」而非「排队」；无法更新的用 Patchstack RapidMitigate 临时拦截；排查 temporaryFileUploads 请求、/wp-content/uploads/bricksforge/tmp/ 与 login_admin_*.php；发现即视为失陷并轮换凭据。同期把 WPC Product Bundles 与 Ninja Forms 一并更新。

④ 自建 GitLab 升级到 19.4.2 / 19.3.5 / 19.2.8，GitLab.com 与 Dedicated 无需动；收紧「普通账号可创建公开项目」这一前置条件，审计近期新增公开项目与分支的 CI 日志；确认今年 8 月的 CVE-2026-19478 是否已修补。

⑤ 凡有 Ghostscript 的服务升级到 10.08.0 并重新构建容器镜像；升级前关闭 PDF 渲染与上传功能；同时排查历史上生成过 PDF 缩略图的位置，确认缩略图是否可被直接访问。

⑥ SOHO 路由器立即摸底：清点 Linksys E1700、Netcore NR268、Edimax BR-6208AC、TRENDnet TEW-751DR / TEW-752DRU / TEW-733GR，重点覆盖远程员工与分支；禁止 WAN 侧访问管理界面，LAN 侧限可信管理主机；关闭 Mac Filter、DDNS、固件升级等非必要功能；为相关端点加告警；不要等补丁，纳入硬件更换计划。

觉得有用？点击右下角在看，让更多人看到