每日高危漏洞速报 2026-03-18（4 条）
每日高危漏洞速报 · 2026-03-18
共收录 4 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述
当日收录 4 条漏洞，其中仅 Synacor Zimbra Collaboration Suite 的 Classic UI 跨站脚本被标记为在野利用；该条 NVD 评分为 0.0，影响面仍需结合厂商公告与资产排查核实，建议作为首要处置项。其余三条均为 9.0 分以上的高危缺陷，涉及 pyOpenSSL 这一被广泛依赖的加密封装库、IBM Db2 Recovery Expert 数据传输完整性校验以及 ONNX 模型加载接口，一旦命中，均可能造成数据篡改或安全控制绕过。整体看，风险集中在基础库与数据/机器学习平台，修复应优先从对外暴露的 Zimbra 邮件门户与使用上述组件的服务入手。
今日收录
- CVE-2026-27459 —
9.8— pyOpenSSL 22.0.0 至 26.0.0 之前版本中，当用户向set_cookie_generate_callback传入的回调返回 cookie 值时存在缺陷。 - CVE-2026-3856 —
9.1— IBM Db2 Recovery Expert 5.5 IF 2 数据传输完整性校验机制不安全，攻击者可篡改或损坏数据。 - CVE-2026-28500 —
9.1— ONNX 1.20.1 及以下版本onnx.hub.load()因校验不当存在安全控制绕过。 - CVE-2025-66376 —
0.0— Zimbra ZCS Classic UI 中，攻击者可在邮件 HTML 中滥用 CSS@import指令实施跨站脚本攻击。[KEV]