每日高危漏洞速报 2026-10-19（11 条）
每日高危漏洞速报 · 2026-10-19
共收录 11 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述
当日 11 条高价值漏洞均为 CVSS 9.x 级，且本次批次中无标记为在野利用（KEV）的条目，但这并不代表实际威胁程度已降低：Apache 系组件集中出现 6 条 9.8 分漏洞，涉及 Kylin、Answer、Johnzon、Camel 等多个独立产品，攻击面覆盖反序列化、反射加载、认证缺失与路径穿越，且多为无需认证即可触发，公网暴露的实例风险尤为突出。Linux 内核侧 4 条 9.x 漏洞集中于网络子系统（openvswitch conntrack UAF、SCTP、TCP 重传队列），属于可导致内存破坏的本地或网络触发缺陷，需尽快跟进发行版补丁。建议优先处置 Apache Kylin 与 Apache Camel 相关条目，其次为内核网络栈修复，并核查 Apache Answer 是否存在已泄露的失效会话仍可访问的情况。
今日收录
- CVE-2026-98490 —
9.8— Linux 内核 openvswitch conntrack 扩展重分配致 helper 释放后使用，可内存破坏。 - CVE-2026-98548 —
9.8— Linux 内核 SCTP 在 COOKIE-ECHOED 状态处理陈旧 cookie 错误不当，可致报文处理异常。 - CVE-2026-108771 —
9.8— Apache Kylin 内部广播接口缺失认证并存在多态反序列化，公网暴露服务风险极高。 - CVE-2026-79624 —
9.8— Apache Answer 至 2.0.2 会话失效不足，被撤销用户仍可访问已知私有内容。 - CVE-2026-90910 —
9.8— Apache Answer 至 2.0.2 反应接口未校验内容可见性，未授权用户可越权读取。 - CVE-2026-71253 —
9.8— Apache Johnzon ClassConverter 依据不可信 JSON 加载并静态初始化指定类，可致恶意代码执行。 - CVE-2026-78162 —
9.8— Apache Camel 4.0.0–4.18.5、4.19.0–4.22.1 的 hazelcast 组件默认配置致不可信反序列化。 - CVE-2026-98464 —
9.3— Linux 内核 RISC-V KVM 拆除阶段未同步 hrtimer 回调，可致竞态下内存破坏。 - CVE-2026-98549 —
9.1— Linux 内核 TCP 重传队列跨边界合并 skb，TCP_SKB_CB 标记错乱可致内存破坏。 - CVE-2026-79983 —
9.1— Apache Camel FTP 组件路径穿越，攻击者可越出受限目录读写文件。 - CVE-2026-79986 —
9.1— Apache Camel Azure Files 组件路径穿越，可越权访问受限目录外文件。