每日高危漏洞速报 2026-05-20（10 条）
每日高危漏洞速报 · 2026-05-20
共收录 10 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述
当日共收录 10 条漏洞，其中 6 条已列入 KEV（已被在野利用），在野利用是当前最主要的威胁来源。这 6 条中，4 条为 2008–2010 年的 Microsoft/Adobe 老旧漏洞（Windows Server 服务 RPC 溢出、DirectShow quartz.dll、IE 释放后重用、Acrobat/Reader 堆溢出），至今仍被活跃利用，说明未下线旧系统的暴露面风险依然突出；另 2 条为 2026 年 Microsoft Defender 的本地提权与拒绝服务问题。3 条 WordPress 插件漏洞 CVSS 均为 9.8，分别是任意文件上传、注册提权与 PHP 对象注入，均可直接导致站点被接管，应优先安排修复。需注意 KEV 条目在源数据中评分为 0.0，这仅表示缺失 CVSS 评分，并不代表风险低。
今日收录
- CVE-2026-6555 —
9.8— ProSolution WP Client ≤2.0.0 任意文件上传，数组校验不匹配只检查首个文件。 - CVE-2026-7284 —
9.8— Easy Elements for Elementor ≤1.4.4 可经用户注册流程提升权限。 - CVE-2026-7637 —
9.8— Boost ≤2.0.3 反序列化 STYXKEY-BOOST_USER_LOCATION Cookie 导致 PHP 对象注入。 - CVE-2008-4250 —
0.0— Windows Server 服务处理特制 RPC 请求时缓冲区溢出，可远程执行代码。 [KEV] - CVE-2009-1537 —
0.0— DirectShow 的 quartz.dll QuickTime 解析器 NULL 字节覆写，恶意文件可远程执行代码。 [KEV] - CVE-2009-3459 —
0.0— Adobe Acrobat/Reader 堆缓冲区溢出，特制 PDF 触发内存破坏并可执行代码。 [KEV] - CVE-2010-0249 —
0.0— IE 释放后重用，访问已删除对象关联指针可远程执行任意代码。 [KEV] - CVE-2010-0806 —
0.0— IE 释放后重用，对象删除后访问无效指针导致远程代码执行。 [KEV] - CVE-2026-41091 —
0.0— Microsoft Defender 链接跟随缺陷，获授权的本地攻击者可提升权限。 [KEV] - CVE-2026-45498 —
0.0— Microsoft Defender 未明确描述的缺陷，可被用于造成拒绝服务。 [KEV]