每日高危漏洞速报 2026-09-08（12 条）
每日高危漏洞速报 · 2026-09-08
共收录 12 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述
当日收录 12 条高价值漏洞，核心风险来自 Ivanti Neurons for ITSM 集中披露的 6 个 9.9/9.8 分远程代码执行漏洞（授权缺失与反序列化）。其中两条更是无需认证即可触发，若对外暴露应最优先修补。另有 4 条已被在野利用（KEV）：N-able N-central 存在可预认证 RCE 的静态代码注入、Adobe Commerce/Magento 模板注入可致任意代码执行，以及两条 Windows 本地提权漏洞。在实际利用风险上，这些 KEV 条目的紧迫性高于尚未观测到利用的高分项。此外，XenForo OAuth2 空值认证绕过与 Digital-Infrastructure SSO 任意用户登录亦需关注。
今日收录
- CVE-2026-12645 —
9.9— Ivanti Neurons for ITSM 授权缺失，远程已认证用户可在服务器执行任意代码。 - CVE-2026-12646 —
9.9— 同上，Ivanti ITSM 授权缺失致远程已认证代码执行，需升级至 2026.2。 - CVE-2026-12647 —
9.9— Ivanti ITSM 同批授权缺失漏洞，已认证攻击者可远程执行任意代码。 - CVE-2026-12650 —
9.9— Ivanti ITSM 反序列化不可信数据，已认证攻击者可在服务器执行任意代码。 - CVE-2026-12744 —
9.8— Ivanti ITSM 反序列化漏洞，未认证远程攻击者即可执行任意代码。 - CVE-2026-12745 —
9.8— 同前，Ivanti ITSM 未认证反序列化致服务器任意代码执行。 - CVE-2026-79576 —
9.8— Digital-Infrastructure 9.6.7 SSO 缺陷，可免密冒充任意用户含管理员登录。 - CVE-2026-73309 —
9.1— XenForo 2.3.13 前 OAuth2 令牌端点认证绕过，提交空 client 值可获取有效令牌。 - CVE-2026-75650 —
0.0— Adobe Commerce 与 Magento 开源版模板引擎特殊元素中和不当，可致任意代码执行。[KEV] - CVE-2026-81963 —
0.0— Windows Update Stack 链接跟随缺陷，本地攻击者可提权至 SYSTEM。[KEV] - CVE-2026-86218 —
0.0— N-able N-central 静态代码注入，可预认证远程执行代码。[KEV] - CVE-2026-85880 —
0.0— Windows ALPC 堆缓冲区溢出，本地攻击者可提升权限。[KEV]