每日高危漏洞速报 2026-02-13（5 条）
每日高危漏洞速报 · 2026-02-13
共收录 5 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述
当日收录 5 条漏洞，其中 4 条为 9.8 分以上的高危远程代码执行或越界类问题，集中在自动化爬虫框架、C2 工具、Kubernetes 可观测组件与 Linux 内核等基础设施层面。最需要优先处理的是 BeyondTrust Remote Support / Privileged Remote Access 的 OS 命令注入：该漏洞尚未评分，但已确认在野利用，且无需认证即可远程触发，属于可直接被攻击者大规模扫描利用的边界设备风险。Crawl4AI 以 10.0 分居首：其 Docker API 部署默认暴露的 /crawl 端点允许直接注入 Python 代码，如果部署在公网上，就等同于直接获得服务器权限。emp3r0r 与 Inspektor Gadget 分别涉及命令与字符串注入，nvmet-tcp 的问题出在 NVMe over TCP 目标端。建议先修补 BeyondTrust，再清理对外暴露的 Crawl4AI 实例。
今日收录
- CVE-2026-26216 —
10.0— Crawl4AI 0.8.0 前版本 Docker 部署的 /crawl 端点接受 hooks 参数并执行其中的 Python 代码，可远程代码执行。 - CVE-2026-26068 —
9.9— emp3r0r 3.21.1 前版本在 check-in 时接受不可信的 Transport、Hostname 元数据并拼接使用，可被注入。 - CVE-2026-25996 —
9.8— Inspektor Gadget 的 eBPF 事件字符串字段在列输出模式下未做处理，可造成输出注入。 - CVE-2026-23112 —
9.8— Linux 内核 nvmet-tcp 构建 PDU iovec 时缺少边界检查，异常 PDU 长度可越界访问 cmd->req.sg。 - CVE-2026-1731 —
0.0— BeyondTrust RS/PRA 存在 OS 命令注入，未认证远程攻击者可执行任意命令。 [KEV]