每日高危漏洞速报 2026-10-21（46 条）
每日高危漏洞速报 · 2026-10-21
共收录 46 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述 当日 46 条漏洞中，Google Chrome 156.0.8078.47 的集中修复就占了 29 条，其中包含 Critical 级别的 CSS 释放后重用和多个沙箱外代码执行、同源策略绕过问题，应优先为全网浏览器安排升级。服务端侧风险同样突出：Argo CD 有三个 9.9 分漏洞，分别出现在 repo-server、Kustomize 和 Helm 处理链路上；Apache IoTDB 存在 Thrift RPC 认证绕过，Apache bRPC 有 4 个可让未认证远程攻击者绕过认证或注入流帧的漏洞；curl 则一次性披露 6 个 9.1 分漏洞，涉及凭据泄露与证书 pin 校验失效。唯一被在野利用（KEV）的是 PHP 的全局状态残留问题（8.1），虽然分数不高，但已有实际攻击；如果资产使用 PHP，应当立即修补。
今日收录
- CVE-2026-113672 —
9.9— Argo CD repo-server 评估 .jsonnet 时 importer 缺乏限制，恶意仓库可借此滥用。 - CVE-2026-113708 —
9.9— Argo CD Kustomize 未校验远程资源的 ref/version 查询值，可被恶意注入。 - CVE-2026-113709 —
9.9— 开启 --enable-helm 后，Argo CD 的 helmGlobal 处理存在缺陷，可被恶意仓库利用。 - CVE-2026-58663 —
9.8— Apache IoTDB Thrift RPC 服务存在认证绕过，2.0.11 之前版本受影响。 - CVE-2026-59562 —
9.8— Apache IoTDB 关键功能缺失认证，远程攻击者可直接调用，需升级 2.0.11。 - CVE-2026-112992 —
9.6— Chrome Canvas 可观测差异，攻击者可用恶意 HTML 泄露跨源数据。 - CVE-2026-113007 —
9.6— Chrome Permissions 权限计算错误，可绕过系统访问限制。 - CVE-2026-113014 —
9.6— Chrome PerformanceAPIs 缺失授权，可通过恶意页面获取跨源数据。 - CVE-2026-113020 —
9.6— Chrome Date 释放后重用，可在沙箱内执行任意代码（High）。 - CVE-2026-113023 —
9.6— Chrome Extensions 授权错误，可借恶意扩展绕过访问限制。 - CVE-2026-113056 —
9.6— Chrome PerformanceAPIs 可观测差异，可泄露跨源数据。 - CVE-2026-113072 —
9.6— Chrome CSS 释放后重用，可在沙箱内执行任意代码（Critical）。 - CVE-2026-113078 —
9.6— Chrome Compositing 竞态，渲染进程失陷后可越出沙箱执行代码。 - CVE-2026-113084 —
9.6— Chrome Permissions 授权错误，可借社工页面绕过访问限制。 - CVE-2026-113089 —
9.6— Chrome PrintPreview 授权错误，恶意扩展可读取敏感信息。 - CVE-2026-113116 —
9.6— Chrome DevTools 缺失授权，本地攻击者可借恶意扩展绕过限制。 - CVE-2026-113126 —
9.6— Chrome PolicyContainer 资源暴露不当，可越过同源策略进入特权页。 - CVE-2026-113138 —
9.6— Chrome WebAppInstalls UI 呈现误导，可伪造地址栏诱导用户。 - CVE-2026-113169 —
9.6— Android 版 Chrome 可借共装应用伪造 WebAppInstalls 的 UI 元素。 - CVE-2026-113171 —
9.6— Android 版 Chrome Prompts 组件可借共装应用伪造提示 UI 元素。 - CVE-2026-113186 —
9.6— Chrome DevTools 缺失授权，本地程序可绕过系统访问限制。 - CVE-2026-113189 —
9.6— Chrome Core 输入校验不当，渲染进程失陷后可伪造 UI 元素。 - CVE-2026-113211 —
9.6— Chrome ServiceWorker 授权错误，可绕过站点隔离。 - CVE-2026-113222 —
9.6— Chrome V8 缺失授权，恶意页面可绕过同源策略（High）。 - CVE-2026-113235 —
9.6— Chrome Passwords 缺失授权，可借社工伪造 UI 以获取凭据。 - CVE-2026-113252 —
9.6— Windows 版 Chrome ANGLE 存在未初始化资源，可读取沙箱外内存。 - CVE-2026-113261 —
9.6— Chrome WebAppInstalls 输入校验不当，可借社工绕过访问限制。 - CVE-2026-113263 —
9.6— Android 版 Chrome Core 缺失授权，可借社工获取跨源数据。 - CVE-2026-113270 —
9.6— Chrome Internals 缺失授权，渲染进程失陷后可绕过站点隔离。 - CVE-2026-113283 —
9.6— Windows 版 Chrome CredentialProvider 权限管理不当，物理接触即可越出沙箱执行代码。 - CVE-2026-113300 —
9.6— Chrome Forms 存在可观测差异，可借社工页面泄露敏感信息。 - CVE-2026-113328 —
9.6— Chrome Privacy 资源暴露不当，可绕过同源策略。 - CVE-2026-113336 —
9.6— Chrome Compositing 释放后重用，可在沙箱内执行任意代码（High）。 - CVE-2026-113342 —
9.6— Chrome Network 权限提升，可借社工页面绕过同源策略。 - CVE-2026-86411 —
9.1— curl 以 CURLUSESSL_NONE 复用已 STARTTLS 认证的 FTP 连接池，导致身份泄露。 - CVE-2026-86413 —
9.1— curl 在使用 ambient user 并经 Negotiate 认证后，跟随重定向时把凭据传到其他源站。 - CVE-2026-86414 —
9.1— 恶意 HTTP 代理可借 401 响应诱使 libcurl 把源站凭据发送给代理。 - CVE-2026-87866 —
9.1— wolfSSL 构建下 curl 的公钥 pin 校验失效，可通过对端并不持有的密钥。 - CVE-2026-92388 —
9.1— libcurl 在 FTP 通配 LIST 失败时未恢复写回调与上下文，导致数据串用。 - CVE-2026-94265 —
9.1— curl 重定向至含 userinfo 的 URL 时错误保留并重发 Negotiate 认证状态。 - CVE-2026-113812 —
9.1— Perl Mozilla::CA 20261020 前版本捆绑受污染中间证书关联的 emSign 根证书。 - CVE-2026-48830 —
9.1— Apache bRPC ≤1.17.0 可先发内置请求绕过非内置 HTTP 端点认证。 - CVE-2026-56388 —
9.1— Apache bRPC 的 Redis 解析器接受空 RESP 数组作命令头，未认证者可利用。 - CVE-2026-78334 —
9.1— Apache bRPC <1.18.0 流式 RPC 路径缺失认证，可绕过认证并注入流帧。 - CVE-2026-86249 —
9.1— bRPC 同时启用 auth 与 internal_port 时，内置服务豁免可完全绕过认证。 - CVE-2026-109619 —
8.1— PHP 全局状态未正确重置且仍指向请求内存，可被利用破坏内存安全。 [KEV]