每日高危漏洞速报 2026-09-17（31 条）
每日高危漏洞速报 · 2026-09-17
共收录 31 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述：当日 31 条高价值漏洞中，Cisco 产品线集中披露了数量异常之多的公告，覆盖 ISE/ISE-PIC、Secure FMC、Nexus Dashboard 与 ASA/FTD，其中 CVE-2026-76423（ISE REST API 未认证获取管理权限，10.0）与 CVE-2026-20242（FMC 未认证命令执行，9.8）利用门槛最低、影响最直接，应作为首要修补对象。ISE 相关条目多达 14 条，且多为已认证即可命令注入或提权，一旦攻击者取得任意低权凭据即可横向扩大控制面。WordPress 生态同日出现多条 9.8 分认证绕过与任意文件上传（Private Feed Key、Pressengine、Login with QR、Gravity Forms 上传器），攻击面广、易被批量扫描利用。本次收录条目均未被标记为在野利用，但上述未认证类漏洞具备公开后可快速武器化的特征，建议按暴露面优先级提前处置。
今日收录
- CVE-2026-20130 —
10.0— Cisco ISE/ISE-PIC 内部安全审查披露的高危缺陷，公告摘要未说明触发条件。 - CVE-2026-20192 —
10.0— Cisco ISE/ISE-PIC 内部安全审查披露的高危缺陷，公告摘要未说明触发条件。 - CVE-2026-76423 —
10.0— Cisco ISE REST API 校验缺陷，未认证远程攻击者可直接获取管理权限。 - CVE-2026-20234 —
9.9— Cisco ISE/ISE-PIC 内部安全审查披露的高危缺陷，公告摘要未说明触发条件。 - CVE-2026-20307 —
9.9— Cisco ISE Web 管理界面缺陷，已认证远程攻击者可执行任意系统命令。 - CVE-2026-20322 —
9.9— Cisco Nexus Dashboard 内部审查披露的高危缺陷，摘要未披露具体成因。 - CVE-2026-20324 —
9.9— Cisco Secure FMC 的 sftunnel 设备间协议缺陷，已认证者可执行任意命令。 - CVE-2026-20325 —
9.9— Cisco Nexus Dashboard 内部审查披露的高危缺陷，摘要未披露具体成因。 - CVE-2026-20329 —
9.9— Cisco ASA、FTD 与 FMC 联合公告，摘要未说明具体成因与利用条件。 - CVE-2026-20330 —
9.9— Cisco ASA、FTD 与 FMC 联合公告，摘要未说明具体成因与利用条件。 - CVE-2026-20332 —
9.9— Cisco ASA、FTD 与 FMC 联合公告，摘要未说明具体成因与利用条件。 - CVE-2026-92939 —
9.9— vm2 3.11.3–3.11.6 允许 crypto 模块时，沙箱可逃逸触达宿主加密能力。 - CVE-2026-68536 —
9.8— Apache MyFace Core 存在 SSRF 与本地文件包含，需升级至 2.3.12 等版本。 - CVE-2026-20242 —
9.8— Cisco Secure FMC 外部数据库访问特性，未认证远程攻击者可高权限执行命令。 - CVE-2026-20326 —
9.8— Cisco Nexus Dashboard 内部审查披露的高危缺陷，摘要未披露具体成因。 - CVE-2025-56563 —
9.8— Zenith Satellite Tracker 1.0 的 sat_proxy.php 未过滤 URL 参数，可致 SSRF。 - CVE-2026-87796 —
9.8— WordPress 插件 Multi Uploader for Gravity Forms ≤1.1.9 可任意文件上传。 - CVE-2026-86707 —
9.8— Private Feed Key 插件 ≤0.1 未校验密钥归属，未认证者可越权访问私有源。 - CVE-2026-86709 —
9.8— Pressengine 插件 ≤1.0 认证失败仍发放会话，未认证者可登录为管理员。 - CVE-2026-86710 —
9.8— Login with QR 插件 ≤1.0.0 未校验二维码归属，未认证者可登录任意账户。 - CVE-2026-20331 —
9.6— Cisco ASA、FTD 与 FMC 联合公告，摘要未说明具体成因与利用条件。 - CVE-2026-20305 —
9.1— Cisco ISE 诊断工具存在命令注入，已认证远程攻击者可提权至底层系统。 - CVE-2026-20306 —
9.1— Cisco ISE REST API 存在命令注入，已认证远程攻击者可提权控制底层系统。 - CVE-2026-20176 —
9.1— Cisco ISE 已认证远程攻击者可执行任意系统命令，需持有效凭据。 - CVE-2026-20194 —
9.1— Cisco ISE/ISE-PIC 内部安全审查披露的高危缺陷，摘要未说明触发条件。 - CVE-2026-20211 —
9.1— Cisco ISE 已认证远程攻击者可执行任意系统命令，需持有效凭据。 - CVE-2026-20237 —
9.1— Cisco ISE/ISE-PIC 内部安全审查披露的高危缺陷，摘要未说明触发条件。 - CVE-2026-20341 —
9.1— Cisco Secure FMC 的 sftunnel 协议缺陷，已认证远程攻击者可获取 root 权限。 - CVE-2026-20284 —
9.1— Cisco ISE 的 SXP REST API 校验不足，已认证远程攻击者可实施 SQL 注入。 - CVE-2026-76420 —
9.0— Cisco Secure FMC 的 AJP 连接器配置缺陷，未认证远程攻击者可冒充对端设备。 - CVE-2026-88795 —
9.0— wpShopGermany 律所插件 <2.4 的 API 令牌源自请求方可控数据，可被伪造。