每日高危漏洞速报 2026-04-15（10 条）
每日高危漏洞速报 · 2026-04-15
共收录 10 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述
当日 10 条漏洞中 4 条已被在野利用（KEV），风险重心明显偏向可远程触达的网络边界设备：Fortinet FortiSandbox 命令注入、Windows IKE 扩展双重释放均为 9.8 分且已遭利用，应列为首要修补目标。另一条在野利用的 FortiOS 路径遍历（CVE-2025-61624）虽评分仅 6.5，但 FortiOS 覆盖面广、边界暴露度高，处置优先级不应按分数排序。此外 Unisys WebPerfect、NuGet Gallery、OAuth2 Proxy 及多个 WordPress 插件在身份认证与文件处理环节存在高危缺陷，内网与供应链侧同样需关注。
今日收录
- CVE-2026-39906 —
10.0— Unisys WebPerfect 遗留 .NET Remoting TCP 通道可被未认证远程泄露机器账户 NTLMv2 哈希。 - CVE-2026-39808 —
9.8— FortiSandbox 4.4.0–4.4.8 存在 OS 命令注入，可远程执行任意代码。 [KEV] - CVE-2026-39813 —
9.8— FortiSandbox 4.4/5.0 系列路径遍历，构造 HTTP 请求可提升权限。 - CVE-2026-33824 —
9.8— Windows IKE 扩展双重释放，未认证攻击者可经网络远程执行代码。 [KEV] - CVE-2026-1555 —
9.8— WordPress WebStack 主题上传函数缺失类型校验，可上传任意文件。 - CVE-2026-3461 —
9.8— WordPress Visa Acceptance 插件支付函数缺陷，可绕过认证。 - CVE-2026-39399 —
9.6— NuGet Gallery 后端处理 .nuspec 文件存在缺陷，攻击者可构造恶意包利用。 - CVE-2026-34457 —
9.1— OAuth2 Proxy 7.15.2 之前版本特定配置下可被绕过认证。 - CVE-2025-61624 —
6.5— FortiOS 7.2/7.4/7.6 多版本路径遍历，可越权访问受限目录。 [KEV] - CVE-2026-32202 —
4.3— Windows Shell 防护机制失效，未认证攻击者可远程实施欺骗。 [KEV]