每日高危漏洞速报 2026-09-22（17 条）
每日高危漏洞速报 · 2026-09-22
共收录 17 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述：当日收录 17 条漏洞，其中 3 条已被在野利用，分别涉及 Arista VCO、F5 BIG-IP APM 及 Check Point 管理与日志服务器，应优先排查修补。NVIDIA 基础设施控制器集中披露 5 条 9.8 分漏洞，涵盖硬编码凭据、缺失认证与 OS 命令注入。WordPress 插件提权与对象注入、Fortinet FortiPAM 浏览器扩展及 Warpgate SSO 端点等问题同样值得关注。
今日收录
- CVE-2026-79920 —
9.9— Ajenti <2.2.16 任意认证用户可调用任务接口安装、卸载或升级插件 - CVE-2026-85751 —
9.8— Mailu 在 PROXY_AUTH_WHITELIST 与 REAL_IP_HEADER 配置场景下存在风险 - CVE-2026-93012 —
9.8— Perl Sendmail 传输在 Windows 下信封地址进入 shell，导致任意命令执行 - CVE-2026-13355 —
9.8— WordPress Meta Box AIO ≤3.11.0 存在链式缺陷，可提权至管理员 - CVE-2026-19658 —
9.8— WordPress Give Tributes ≤2.3.1 反序列化不可信输入，未授权 PHP 对象注入 - CVE-2016-15059 —
9.8— Perl Net::IDN::Punycode <2.301 编码时越界写，触发堆缓冲区溢出 - CVE-2026-65113 —
9.8— NVIDIA 基础设施控制器使用硬编码凭据，可致权限提升 - CVE-2026-65114 —
9.8— NVIDIA 基础设施控制器关键功能缺失认证，可致权限提升 - CVE-2026-65118 —
9.8— NVIDIA 基础设施控制器证书校验不当，可致信息泄露 - CVE-2026-65121 —
9.8— NVIDIA 基础设施控制器认证不当，可致权限提升 - CVE-2026-65130 —
9.8— NVIDIA 基础设施控制器存在 OS 命令注入，可致代码执行与数据篡改 - CVE-2026-84388 —
9.6— FortiPAM Chrome 扩展 8.0 全版本 UI 层限制不当，可远程未授权信息泄露 - CVE-2026-58491 —
9.3— Warpgate <0.25.5 的 SSO 启动端点存储可控 next 参数，可被滥用 - CVE-2026-87080 —
9.1— Perl 纯实现 Punycode 解码截断标签，产生从未编码的字符 - CVE-2026-93952 —
0.0— Arista VCO 本地部署输入校验不当，远程攻击者可访问特权内部功能 [KEV] - CVE-2026-94127 —
0.0— F5 BIG-IP APM 启用访问策略与 OAuth 配置文件时存在堆溢出，可未授权攻击 [KEV] - CVE-2026-93616 —
0.0— Check Point 安全管理、日志与 SmartEvent 存在路径遍历，未授权可利用 [KEV]