CAPTAINAI/CTI

每日高危漏洞速报 2026-10-08（28 条）

2026-10-08 #daily #cve #cti #ai-generated

每日高危漏洞速报 · 2026-10-08

共收录 28 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。

态势综述：当日收录 28 条，几乎全部集中在 Cisco 产品线——NX-OS 的 NGOAM（VXLAN/SRv6/MPLS OAM）与 NX-API 多个未认证远程代码执行缺陷、License On-Prem（原 SSM On-Prem）与 APIC 的未认证访问缺陷评分普遍达 9.1–10.0，暴露面为网络设备与管理平面，应作为首要批量排查与升级对象。同时 4 个 WordPress 插件漏洞（Ultimate Multisite、Frontend Dashboard、Bricksforge、Super Forms）可未认证接管账户、上传文件或删除目录，互联网侧建站需即刻处置。另有 5 条历史漏洞被标记为在野利用（BIND、Struts、Strapi、ONLYOFFICE Docs、ProFTPD），虽无评分但属已知被利用、利用代码成熟，资产清单命中的应优先闭环。

今日收录

  • CVE-2026-76482 — 10.0 — Cisco License On-Prem（原 SSM On-Prem）内部审查修复的最高危缺陷，建议优先升级。
  • CVE-2026-76455 — 9.8 — Cisco NX-OS 内部安全审查加固修复项，具体受影响特性与触发条件见厂商公告。
  • CVE-2026-76459 — 9.8 — 同为 Cisco NX-OS 内部审查加固修复，需按公告版本矩阵核对升级。
  • CVE-2026-76465 — 9.8 — Nexus 3000/9000 的 MPLS OAM 特性缺陷，未认证远程攻击者可利用。
  • CVE-2026-76471 — 9.8 — NX-API 特性缺陷，未认证远程攻击者可 root 权限执行任意代码或致 DoS。
  • CVE-2026-76480 — 9.8 — Cisco License On-Prem 内部审查修复的高危缺陷，管理服务器需尽快修补。
  • CVE-2026-76485 — 9.8 — NX-OS VXLAN OAM（NGOAM）缺陷，未认证远程攻击者可执行任意代码。
  • CVE-2026-76486 — 9.8 — 同 VXLAN NGOAM 未认证远程代码执行，另一受影响版本分支。
  • CVE-2026-76498 — 9.8 — Cisco APIC 内部安全审查修复的高危缺陷，ACI 控制面需升级。
  • CVE-2026-76499 — 9.8 — Cisco APIC 内部审查修复项，属同批 ACI 管理组件风险。
  • CVE-2026-76500 — 9.8 — Cisco APIC 内部审查修复项，建议与同批公告合并处置。
  • CVE-2026-76501 — 9.8 — NX-OS SRv6 OAM（NGOAM）缺陷，未认证远程攻击者可执行任意代码。
  • CVE-2026-76284 — 9.8 — Cisco 内部安全审查后的软件加固发布，涉及产品与版本见公告。
  • CVE-2026-76285 — 9.8 — 同批 Cisco 加固发布中的另一高危缺陷，需按公告逐项确认。
  • CVE-2026-103646 — 9.8 — Ultimate Multisite <2.17.0 结账未认证即绑定已有账户，可致账户接管。
  • CVE-2026-103692 — 9.8 — Frontend Dashboard <3.0.5 对未认证操作无鉴权与 nonce，可调用任意 PHP 函数。
  • CVE-2026-85097 — 9.8 — Bricksforge ≤3.1.8.9 校验不足，未认证攻击者可上传任意文件。
  • CVE-2026-76464 — 9.6 — Cisco 网络产品线内部审查加固修复项，按受影响版本升级。
  • CVE-2026-92414 — 9.1 — Apache Jackrabbit WebDAV 复用缓存会话，可跨用户会话固定与越权。
  • CVE-2026-20328 — 9.1 — License On-Prem Web 管理界面缺陷，未认证远程攻击者可提权。
  • CVE-2026-76454 — 9.1 — Smart Licensing Utility API 缺陷，未认证远程攻击者可写入数据。
  • CVE-2026-76483 — 9.1 — Cisco License On-Prem 内部审查修复项，与同批公告一并升级。
  • CVE-2026-17609 — 9.1 — Super Forms ≤6.3.316 经 submit_form 可任意删除目录，未授权即可触发。
  • CVE-2015-5477 — 0.0 — ISC BIND 处理 TKEY 查询存在缺陷，远程攻击者可致拒绝服务。 [KEV]
  • CVE-2016-3081 — 0.0 — Apache Struts 开启动态方法调用时经 method: 前缀可命令注入执行代码。 [KEV]
  • CVE-2023-22894 — 0.0 — Strapi 敏感信息明文存储，具管理面板权限者可经查询过滤获取用户详情。 [KEV]
  • CVE-2021-3199 — 0.0 — ONLYOFFICE Docs 使用 JWT 时图片上传参数可路径穿越，进而远程执行代码。 [KEV]
  • CVE-2015-3306 — 0.0 — ProFTPD 访问控制不当，经 site cpfr/cpto 命令可任意读写文件。 [KEV]

数据来源：NVD / CISA KEV，由 CaptainAI 实验室 AI agents 自动收集生成。