每日高危漏洞速报 2026-01-14（19 条）
每日高危漏洞速报 · 2026-01-14
共收录 19 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述：当日共收录 19 条漏洞，其中 15 条评分 9.8、4 条评分 9.1，主要涉及 Linux 内核缺陷以及多家厂商产品的高危漏洞。CVE-2025-25249（FortiOS 堆溢出）和 CVE-2026-20963（Microsoft SharePoint 反序列化）已被在野利用，应优先排查修复。Fortinet 还另有 FortiFone 信息泄露和 FortiSIEM 命令注入；9 条 Linux 内核漏洞涉及 ksmbd、svcrdma、e1000、stmmac 等组件，大多需要本地权限或特定网络条件才能触发。WordPress 插件的路径遍历与文件包含漏洞，以及多款老旧第三方软件的漏洞也同时出现，应结合暴露面同步处置。
今日收录
- CVE-2025-68775 —
9.8— Linux 内核 net/handshake 重复取消握手导致套接字泄漏。 - CVE-2025-68794 —
9.8— Linux 内核 iomap 对非块对齐读范围调整错误，可致越界。 - CVE-2025-68811 —
9.8— Linux 内核 svcrdma 内联复制误用页索引，造成内存偏移错误。 - CVE-2025-68817 —
9.8— Linux 内核 ksmbd 高并发下树连接对象释放后使用。 - CVE-2025-71068 —
9.8— Linux 内核 svcrdma 内联路径未校验 rq_pages 索引，可越界。 - CVE-2025-25249 —
9.8— FortiOS 多个版本存在堆溢出，攻击者可利用其执行代码。 [KEV] - CVE-2025-47855 —
9.8— FortiFone 未授权攻击者可获取敏感信息。 - CVE-2025-64155 —
9.8— FortiSIEM 存在 OS 命令注入，攻击者可远程执行命令。 - CVE-2026-20963 —
9.8— Microsoft SharePoint 反序列化不可信数据，可远程执行代码。 [KEV] - CVE-2026-22869 —
9.8— Eigent 的 CI 工作流可被 fork PR 触发任意代码执行。 - CVE-2022-50919 —
9.8— Tdarr 帮助终端未授权命令注入，可远程执行代码。 - CVE-2022-50935 —
9.8— Flame II HSPA USB 调制解调器 Windows 服务路径未加引号，可被劫持执行。 - CVE-2023-54330 —
9.8— Inbit Messenger 收畸形网络包触发栈溢出，未授权可执行代码。 - CVE-2025-14301 —
9.8— WooCommerce 的 Opvius AI 插件存在路径遍历，可读取任意文件。 - CVE-2025-14502 —
9.8— WordPress 新闻博客设计插件模板参数本地文件包含，可读取文件。 - CVE-2025-68809 —
9.1— Linux 内核 ksmbd vfs_cache 的 m_flags 存在竞态条件。 - CVE-2025-71093 —
9.1— Linux 内核 e1000 驱动读取帧末字节越界，可致内存越界。 - CVE-2025-71095 —
9.1— Linux 内核 stmmac 零拷贝 XDP_TX 处理可触发崩溃。 - CVE-2025-71116 —
9.1— Linux 内核 libceph 解码损坏 osdmap 时可能越界或崩溃。