每日高危漏洞速报 2026-09-27（6 条）
每日高危漏洞速报 · 2026-09-27
共收录 6 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述
今日收录 6 条高价值漏洞，其中两条 Citrix NetScaler ADC/Gateway 漏洞已被在野利用（KEV），且影响面广、利用门槛低，应作为本轮最高优先级修补对象。其余四条虽未见在野利用，但 CVSS 均在 9.6 以上，涉及 WordPress 插件认证绕过与任意文件上传、hMailServer 远程代码执行，一旦被武器化后果严重。Citrix 两个 KEV 条目 NVD 评分暂缺（显示为 0.0），不应据此低估其风险，建议直接依据厂商公告处置。WordPress 站点与暴露在公网的 hMailServer 实例需重点排查。
今日收录
- CVE-2026-85984 — 9.8 — WordPress miniOrange OTP 插件 ≤5.5 版，经 mo_wp_login_intent 参数可绕过认证登录。
- CVE-2026-82901 — 9.8 — WordPress Ultra Addons for CF7 插件文件类型校验不足，攻击者可上传任意文件。
- CVE-2026-100741 — 9.8 — Windows 版 hMailServer 6.0.0–6.3.3 JScript 调度器存在注入，未认证远程执行代码。
- CVE-2026-100833 — 9.6 — Contrast 1.14.0 至 1.23.1 生成的运行时策略漏检容器镜像替换，可绕过策略。
- CVE-2026-88772 — 0.0 — Citrix NetScaler ADC/Gateway 内存缓冲区操作限制不当，可致远程代码执行或拒绝服务。[KEV]
- CVE-2026-88771 — 0.0 — Citrix NetScaler ADC/Gateway 输入校验缺陷，未认证攻击者可执行任意命令。[KEV]