每日高危漏洞速报 2026-06-04（6 条）
每日高危漏洞速报 · 2026-06-04
共收录 6 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述
当日 6 条漏洞中，仅 Cisco Unified Communications Manager（含 SME）的 CVE-2026-20230 已被在野利用，属未认证远程攻击面，应作为首要修补对象。两条评分 9.8 的 WordPress 插件漏洞（ad manager wd、Hybrid Composer）均无需认证即可利用，插件类资产暴露面广、修复滞后，实际风险不容低估。另有三条 9.x 漏洞分别涉及 docker-wkhtmltopdf-aas 的命令注入与 Linux 内核 netfilter、inet 子系统的报文处理缺陷，前者构造 POST 请求即可执行任意命令，后者需关注内核版本跟进。整体看，未认证远程利用与已知在野攻击并存，建议优先处置 KEV 条目与对外暴露的插件/容器服务。
今日收录
- CVE-2026-20230 —
8.6— Cisco Unified CM 及 SME 存在未认证远程攻击者可利用的漏洞。[KEV] - CVE-2026-36576 —
9.8— docker-wkhtmltopdf-aas 的 app.py 存在命令注入，构造 POST 请求即可执行任意命令。 - CVE-2019-25727 —
9.8— WordPress 插件 ad manager wd 1.0.11 未授权，操纵 path 参数可下载任意敏感文件。 - CVE-2019-25738 —
9.8— WordPress Hybrid Composer 1.4.6 未授权，经 hc_ajax_save_option 可篡改站点配置。 - CVE-2026-46244 —
9.1— Linux 内核 nft_inner 解析内层 IPv6 报文时 inner_thoff 状态失步。 - CVE-2026-46266 —
9.1— Linux 内核 IPPROTO_RAW 套接字未按规范丢弃入站 ICMP 报文。