每日高危漏洞速报 2026-01-26（6 条）
每日高危漏洞速报 · 2026-01-26
共收录 6 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述
当日 6 条漏洞中有 5 条已被在野利用（KEV），整体风险显著偏高，应优先处置。SmarterTools SmarterMail 同日收录两个 KEV（任意文件上传、密码重置接口认证绕过），均可被未认证攻击者直接利用，邮件服务器暴露面风险突出。GNU InetUtils telnetd 的 -f root 参数注入可实现远程认证绕过，属于影响面广、利用门槛极低的老旧协议组件问题；Microsoft Office 安全特性绕过同样已被在野利用，终端侧需尽快打补丁。此外，Linux 内核 SUID 本地提权与 Apache Continuum 命令注入（已停止支持）建议纳入资产清点，前者对多租户主机威胁较大。
今日收录
- CVE-2016-15057 —
9.9— Apache Continuum 全版本命令注入，已停止支持且无官方修复，建议停用或隔离。 - CVE-2018-14634 —
暂无评分— Linux 内核 create_elf_tables 整数溢出，本地用户借 SUID 程序可提权至 root。[KEV] - CVE-2025-52691 —
暂无评分— SmarterMail 危险类型文件上传限制缺失，未认证攻击者可向服务器任意路径写入文件。[KEV] - CVE-2026-23760 —
暂无评分— SmarterMail 密码重置 API 认证绕过，force-reset-password 接口允许匿名请求。[KEV] - CVE-2026-24061 —
暂无评分— GNU InetUtils telnetd 参数注入，USER 环境变量传入 "-f root" 可远程绕过认证。[KEV] - CVE-2026-21509 —
暂无评分— Microsoft Office 安全特性绕过，因信任不可信输入致攻击者可绕过安全决策。[KEV]