每日高危漏洞速报 2026-10-17（6 条）
每日高危漏洞速报 · 2026-10-17
共收录 6 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述 当日 6 条情报均为 9.x 分段的高危项，但无一标记为在野利用，整体处于"高可利用性、暂未观测到实际攻击"的状态。值得优先关注的是 Apache Kylin 的两条认证类缺陷（CVE-2026-108709、CVE-2026-68573），同一产品同日出现两个未授权访问入口，说明其认证边界存在系统性薄弱点，公网直暴露的 Kylin 实例应优先收敛。FastapiAdmin 与 Dockhand 属于"默认配置即可被直接接管"的类型，攻击门槛极低；LearnPress、LatePoint 两个 WordPress 插件影响面广、批量扫描成本低，建议按库存资产清单排期修复。整体处置顺序建议以"可远程未认证利用 + 互联网暴露"为优先，而非仅按分数排序。
今日收录
- CVE-2026-111641 —
9.8— FastapiAdmin 至 3.0 自动登录接口缺乏保护，未认证即可冒用任意用户会话。 - CVE-2026-108709 —
9.8— Apache Kylin 内网认证绕过，直接暴露公网的 Kylin 服务风险最高。 - CVE-2026-68573 —
9.8— Apache Kylin 认证不当，未认证用户可触发系统清理类操作。 - CVE-2026-104736 —
9.8— WordPress LearnPress ≤4.4.10，checkout-email 参数反序列化致 PHP 对象注入。 - CVE-2026-57169 —
9.6— Dockhand <1.0.34 容器终端 WebSocket 升级请求未鉴权，可未认证执行命令。 - CVE-2026-110653 —
9.1— WordPress LatePoint 预约插件全版本存在竞态条件认证绕过。