每日高危漏洞速报 2026-04-16（7 条）
每日高危漏洞速报 · 2026-04-16
共收录 7 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述 当日收录 7 条漏洞，评分全部在 9.6 以上；本批没有发现已被在野利用（KEV）的记录，但 Cisco 产品占其中 4 条，是本次最值得优先关注的厂商。Cisco ISE 出现 3 条条件与影响相同的远程命令执行漏洞，都需要攻击者先通过认证，因此一旦凭据泄露，攻击者就能取得设备底层操作系统的控制权；再结合 Cisco Webex Control Hub 的 SSO 集成漏洞，未认证的攻击者即可冒充任意用户，仅凭这一点就构成身份体系的整体性风险。两条 WordPress 插件漏洞均可通过未认证的 AJAX 请求或令牌缺陷把权限提升到管理员级别，由于电商和库存场景中这类插件使用广泛，需要优先排查。Chrome 的 ANGLE 堆溢出可在用户仅访问一个精心构造的 HTML 页面时，实现从渲染进程逃逸出浏览器沙箱。整体建议按 Webex、ISE、Chrome、WordPress 插件的顺序排定修复优先级。
今日收录
- CVE-2026-20147 —
9.9— Cisco ISE 与 ISE-PIC 中，已认证的远程攻击者可在底层操作系统执行任意命令。 - CVE-2026-20180 —
9.9— Cisco ISE 中，已认证的远程攻击者可在底层操作系统执行任意命令。 - CVE-2026-20186 —
9.9— Cisco ISE 中，已认证的远程攻击者可在底层操作系统执行任意命令。 - CVE-2026-20184 —
9.8— Cisco Webex Control Hub 的 SSO 集成中，未认证的远程攻击者可以冒充服务内任意用户。 - CVE-2026-4880 —
9.8— WordPress Barcode Scanner 插件因令牌认证不安全，可被用于权限提升。 - CVE-2026-3596 —
9.8— WordPress Riaxe Product Customizer ≤2.1.2 未认证 AJAX 动作可致权限提升。 - CVE-2026-6296 —
9.6— Chrome 147.0.7727.101 前 ANGLE 堆溢出，恶意 HTML 页面可致沙箱逃逸。