每日高危漏洞速报 2026-04-27（6 条）
每日高危漏洞速报 · 2026-04-27
共收录 6 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述 当日 6 条高价值漏洞全部集中在 Apache 生态的 Java 集成中间件，5 条 CVSS ≥9.8，且均为反序列化、消息头注入一类可直接导向远程代码执行或属性篡改的高危缺陷。其中 CVE-2026-40453 与 CVE-2026-41409 分别是对 CVE-2025-27636、CVE-2024-52046 历史补丁的绕过，说明既有修复并不彻底，已升级过旧版本的环境仍需再次修补。受影响面覆盖 Apache Camel 的 coap、mail、jms/sjms 组件与 Apache MINA 核心缓冲区解析逻辑，凡对外接收消息或反序列化对象的部署都应列为优先项。当日收录条目暂未标记在野利用，但反序列化白名单绕过类问题利用门槛低，建议按已知被利用的优先级排期。
今日收录
- CVE-2026-33453 —
10.0— Apache Camel camel-coap 组件动态属性修改管控不当，恶意消息头可篡改消息属性。 - CVE-2026-40453 —
9.9— CVE-2025-27636 修复不完整，大小写变体头名仍可绕过 Camel 头过滤器。 - CVE-2026-40860 —
9.8— camel-jms 与 camel-sjms 反序列化 JMS ObjectMessage 载荷，可致远程代码执行。 - CVE-2026-41635 —
9.8— Apache MINA 静态类与原始类型分支不校验类名，可绕过反序列化白名单。 - CVE-2026-41409 —
9.8— CVE-2024-52046 补丁不完整，类名白名单在静态初始化后才生效。 - CVE-2026-33454 —
9.4— Camel-Mail 头部过滤策略仅覆盖 out 方向，入站邮件可注入消息头。