每日高危漏洞速报 2026-07-15（31 条）
每日高危漏洞速报 · 2026-07-15
共收录 31 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述 今日 31 条漏洞中，Microsoft 产品集中爆发，涵盖 SharePoint、DHCP 服务、RDP、SMB、VMSwitch、DNS 等核心组件，多为 9.8 分的远程代码执行或提权，暴露面广、应优先处置。其中 SharePoint 反序列化（CVE-2026-50522、CVE-2026-58644）与弱认证（CVE-2026-55040）三条均已在野利用，是当日最紧迫的修补目标。另有 Oracle E-Business Suite Payments 与 KNX 协议两条历史漏洞（评分为 0.0）同样处于在野利用状态，需核查是否在资产清单内。第三方生态方面，FortiClientEMS 证书校验缺陷、WordPress Podlove 任意文件上传与 ruby-jwt 空密钥绕过同样值得关注。
今日收录
- CVE-2026-57092 —
9.9— Windows VMSwitch 释放后重用，已授权攻击者可经网络提权。 - CVE-2026-59836 —
9.8— FortiClientEMS 证书验证不当（7.2–7.4.5），可致信息泄露。 - CVE-2026-49172 —
9.8— Windows FTP 服务堆溢出，未授权攻击者可通过网络执行代码。 - CVE-2026-49181 —
9.8— Windows DHCP 客户端整数下溢，未授权攻击者可经网络提权。 - CVE-2026-50522 —
9.8— SharePoint 反序列化不受信数据，未授权远程代码执行。[KEV] - CVE-2026-50694 —
9.8— Windows SSTP 释放后重用，未授权攻击者可远程执行代码。 - CVE-2026-58644 —
9.8— SharePoint 反序列化不受信数据，未授权远程代码执行。[KEV] - CVE-2026-50447 —
9.8— Windows 消息队列堆溢出，未授权攻击者可远程执行代码。 - CVE-2026-50487 —
9.8— Windows DNS 释放后重用，未授权攻击者可经网络提权。 - CVE-2026-50518 —
9.8— Windows DHCP 服务器堆溢出，未授权攻击者可远程执行代码。 - CVE-2026-56159 —
9.8— Windows DHCP 服务器堆溢出，未授权攻击者可远程执行代码。 - CVE-2026-56188 —
9.8— Windows Server 网络驱动竞态条件，可经网络执行代码。 - CVE-2026-56190 —
9.8— Windows RDP 使用未初始化资源，未授权攻击者可远程执行代码。 - CVE-2026-57089 —
9.8— Windows SMB srvnet.sys 释放后重用，未授权攻击者可远程执行代码。 - CVE-2026-57090 —
9.8— Windows Media Foundation 堆溢出，未授权攻击者可远程执行代码。 - CVE-2026-58594 —
9.8— Windows RDP 整数溢出，未授权攻击者可经网络执行代码。 - CVE-2026-58617 —
9.8— Microsoft 365 Copilot for iOS 访问控制不当，可经网络提权。 - CVE-2026-13001 —
9.8— WordPress Podlove 插件缺文件类型校验，可任意文件上传。 - CVE-2026-47429 —
9.8— Vitest Windows 下附件路径校验错误，可路径穿越（3.2.5 前）。 - CVE-2026-53633 —
9.8— Vitest 浏览器模式 cdp() 未校验，转发原始 CDP 方法。 - CVE-2026-38450 —
9.8— Aetopia DAM 项目名称与描述参数未过滤，可远程执行代码。 - CVE-2026-55008 —
9.6— Exchange Server 输入中和不当导致 XSS，可经网络实施欺骗。 - CVE-2026-59891 —
9.6— sigstore-js 凭据选取逻辑缺陷，可从 Docker 配置读取凭据。 - CVE-2026-50380 —
9.6— Windows GDI+ 堆溢出，未授权攻击者可经网络执行代码。 - CVE-2026-15773 —
9.6— Chrome Windows 150.0.7871.125 前核心 UAF，可沙箱逃逸。 - CVE-2026-49798 —
9.3— Windows 内核释放后重用，未授权攻击者可本地提权。 - CVE-2026-55040 —
9.1— SharePoint 认证机制薄弱，未授权攻击者可网络绕过安全特性。[KEV] - CVE-2026-52101 —
9.1— andreimarcu linux-server 的 uploadRemote 函数致敏感信息泄露。 - CVE-2026-45363 —
9.1— ruby-jwt 空密钥 HS256 校验失效，可接受伪造令牌。 - CVE-2026-46817 —
0.0— Oracle E-Business Suite Payments 权限管理不当，未授权 HTTP 攻击。[KEV] - CVE-2023-4346 —
0.0— KNX 协议连接授权锁定机制过严，可致攻击者清除全部设备。[KEV]