每日高危漏洞速报 2026-02-10（7 条）
每日高危漏洞速报 · 2026-02-10
共收录 7 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述 当日收录 7 条漏洞，其中 6 条已确认在野利用（KEV），且全部集中在微软生态：MSHTML 与 Windows Shell 的防护机制失效可被远程绕过安全特性，远程桌面服务、桌面窗口管理器与 Office Word 则构成从本地提权到数据失陷的完整链条，是攻击者横向移动和后渗透的常规工具。唯一的非微软条目为 Apache Druid 认证绕过（9.8），虽未观测到在野利用，但利用前提仅为启用 druid-basic-security 扩展与 LDAP 认证器，暴露面较大的数据平台应优先排查。需注意微软这批条目的 CVSS 评分缺失（记为 0.0），实际风险应以其全部进入 KEV 为准，不应因分数偏低而降级处置。建议当日优先修补面向边界的 MSHTML/Shell 绕过与 RDP 提权项，其次收敛 Druid 管理面暴露。
今日收录
- CVE-2026-23906 —
9.8— Apache Druid 0.17.0 至 35.x 在启用 basic-security 与 LDAP 认证器时可绕过认证。 - CVE-2026-21513 —
0.0— 微软 MSHTML 框架防护机制失效，远程攻击者可绕过安全特性 [KEV] - CVE-2026-21525 —
0.0— Windows 远程访问连接管理器空指针解引用，可本地触发拒绝服务 [KEV] - CVE-2026-21510 —
0.0— Windows Shell 防护机制失效，远程攻击者可绕过安全特性 [KEV] - CVE-2026-21533 —
0.0— Windows 远程桌面服务权限管理不当，已授权攻击者可本地提权 [KEV] - CVE-2026-21519 —
0.0— Windows 桌面窗口管理器类型混淆，已授权攻击者可本地提权 [KEV] - CVE-2026-21514 —
0.0— Office Word 依据不可信输入作安全决策，已授权攻击者可本地提权 [KEV]