每日安全情报报告 · 2026-11-04

菩提小狗2026-11-05 12:56

每日安全情报报告 · 2026-11-04

由 AI 整理发布

覆盖近 48 小时（2026-11-02 ~ 2026-11-04）新增高危漏洞、公开 PoC 与安全情报文章

风险等级：🔴 严重 | 🟠 高危 | 🟡 中危 | 🟢 低危

报告日期 ：2026-11-04

覆盖范围 ：近 24--48 小时（2026-11-02 ~ 2026-11-04）新增/升级的高危漏洞、PoC 与权威安全文章，重点标注在野利用（🔥）与 CISA KEV 在列项。本期焦点：🔴🔥 Citrix NetScaler 双漏洞 CVE-2026-88771 / CVE-2026-88772（均 CVSS 9.5）遭疑似国家级间谍活动大规模利用 （11-02 集中披露，波及 78+ 组织、20,000+ 暴露实例，Whipshot webshell / Slapshot 隧道器，CISA 已纳入 KEV）；🔴 WordPress Core CVE-2026-119977（CVSS 8.1）被加入 KEV（11-03，联邦截止 11-06） ，升级窗口期 RCE；🔴 Linux 内核 IPv4 TCP UAF CVE-2026-98432（CVSS 9.8） 自 11-02 起遭全网 MPTCP 扫描探测，Anthropic 未发布模型已写出可用利用链；🔴 西门子 SIMATIC IoT2050 CVE-2026-58115（CVSS 10.0）在野投僵尸网络。

一、最新高危漏洞

🔴🔥 CVE-2026-88771 / CVE-2026-88772 --- Citrix NetScaler ADC/Gateway 双漏洞遭大规模在野利用（CVSS 9.5 / 9.5）

  • 漏洞类型：
  • CVE-2026-88771 ：CWE-20 不当输入校验（预认证命令注入/未授权 RCE）。影响所有版本 NetScaler ADC / Gateway，含默认配置。
  • CVE-2026-88772 ：CWE-119 内存溢出（RCE 或 DoS）。利用需启用 DTLS（VPN 虚拟服务器上默认开启）。
  • 同批 Citrix 公告另有 CVE-2026-88773（9.3）、CVE-2026-88775~88778（8.8）、CVE-2026-88774（7.0）等共 8 枚。
  • 受影响组件：Citrix NetScaler ADC、NetScaler Gateway（所有 track）。
  • CVSS：9.5 / 9.5（CVSS v4.0，Citrix 公告）。
  • 在野情况 ：🔥 已确认在野，CISA 纳入 KEV 。活动最早可追溯至 2026-08-21（Palo Alto）与 09-03（GTIG）；疑似国家级背景，GTIG/Mandiant 圈定 78+ 组织（政府、医疗、能源、金融、教育、电信），Shadowserver 统计 20,000+ 暴露实例。荷兰 NCSC 已敦促关停设备，Frisius MC、Amphia 等医院已下线 NetScaler 系统。二阶段载荷 ：Perl 投放器创建 sec_monitor 超级用户、外渗 /flash/nsconfig、植入 PHP webshell（Whipshot，Base64 C2 藏于 HTTP 头）；Python main.py 反向 shell 至 45.141.21[.]130:443 并杀掉 customsnmpd。注意：补丁只能堵漏洞，无法确认此前是否已失陷，须按「假设已沦陷」做取证 + 凭据轮换。
  • 修复版本：按 2026-09-27 Citrix 安全公告（CTX697096）升级到对应 track 的最新修复 build。
  • 详情/链接：
  • NVD CVE-2026-88771
  • NVD CVE-2026-88772
  • CISA KEV 目录
  • HaloNex 情报：国家级间谍活动利用 NetScaler 双漏洞（11-04）
  • LevelBlue THOR：CVE-2026-88771 投放 webshell 与外渗配置分析
  • CloudsPress：NetScaler 战役影响政府与科技企业综述
  • Citrix 官方安全公告 CTX697096（修复 build 对照）

🔴 CVE-2026-119977 --- WordPress Core 升级窗口 TOCTOU 竞态 RCE（CVSS 8.1，🔥 新入 KEV）

  • 漏洞类型 ：CWE-367 检查时间/使用时间（TOCTOU）竞态条件。在「完整包」核心升级过程中，WordPress 将新文件解压到 web 可达的升级临时目录；未认证攻击者在解压竞态中赢得竞争即可触发 远程代码执行 。影响 4.7.0 -- 7.1.3 ，修复版本 7.1.4（向下回溯至 4.7.39）。
  • 受影响组件：WordPress Core（含自托管站点与大量插件宿主环境）。
  • CVSS：8.1（CVSS v3.1，Wordfence 作为 CNA 于 10-31 发布）。
  • 在野情况 ：🔥 CISA 于 2026-11-03 加入 KEV ，联邦整改截止 2026-11-06，并要求做取证分类。SecurityWeek 监测到补丁发布 21 小时内超 18,500 次请求、首条防火墙规则命中仅 9 分钟，暂无成功入侵公开报告，但攻击热度极高。
  • 修复版本：WordPress 7.1.4（7.1 分支）、7.0.8、6.9.11、6.8.12 ... 直至 4.7.39。
  • 详情/链接：
  • NVD CVE-2026-119977
  • CISA KEV 目录（11-03 新增）
  • WordPress 7.1.4 安全发布
  • GitHub 安全公告 GHSA-4w3m-c66w-69mg（竞态 RCE）
  • itdef.net：WordPress 7.1.4 RCE 核查与升级指引

🔴 CVE-2026-98432 --- Linux 内核 IPv4 TCP 释放后使用（UAF）RCE（CVSS 9.8）

  • 漏洞类型 ：CWE-416 释放后使用。IPv4 TCP 连接建立（SYN/ACK）路径中，ireq_opt 的所有权由请求套接字转移给子套接字时未清空指针，子套接字释放时直接 kfree() 而非等待 RCU 宽限期；另一 CPU 并发处理 SYN 重传读取已释放内存，构成跨 CPU 竞态 UAF，可越界读（信息泄露）或越界写（受控内存解引用 → 内核代码执行）。问题代码自 2015-10（Linux 4.4）引入。
  • 受影响组件 ：启用 MPTCP 监听的 Linux 内核（4.4 起相关路径）。Anthropic 实验室证实：在启用 MPTCP 监听的环境（如 Go 1.24+ 编译的服务端默认绑定 MPTCP，Caddy 等自动创建 MPTCP 监听器）可远程获取 root。
  • CVSS：9.8（CVSS v3.1，内核 CNA）。
  • 在野情况 ：截至 11-04 尚无公开 RCE 利用代码 ，但已出现多个 DoS PoC ，且自 11-02 起已观测全网 MPTCP 扫描探测（住宅代理 + 俄罗斯 VPN 经 MPTCP 探 443，约 210 万主机可通过 MPTCP 触达）。Anthropic 未发布模型已自动生成两阶段利用：约 48 分钟破 KASLR、5 分钟覆写回调指针以 root 执行命令，全程约 53 分钟，竞态失败仅导致该次握手失败、可重试。利用代码未公开。
  • 修复版本 ：上游稳定分支已修（10-15），覆盖 5.10.272 / 5.15.223 / 6.1.190 / 6.6.159 / 6.12.113 / 6.18.56 / 7.2.10 / 7.3-rc7。Debian、Red Hat、Amazon Linux 已陆续发补丁；截至 11-01 Ubuntu 22.04/24.04/26.04/26.10 仍标记为受影响、修复在开发 ，部分已推 -proposed 早期内核。
  • 详情/链接：
  • NVD CVE-2026-98432
  • CN-SEC：Linux 内核 IPv4 TCP UAF 漏洞风险通告（影响版本 + 修复 commit）
  • Aikido：Linux 内核 TCP RCE 漏洞分析（CVE-2026-98432）
  • FreeBuf：野外已现扫描，Ubuntu 推送早期修复补丁
  • 网易/新智元：Anthropic 未发布模型挖出 Linux 致命漏洞
  • 内核修复 commit e3f33b0a

🔴 CVE-2026-58115 --- 西门子 SIMATIC IoT2050 关键功能缺失认证 RCE（CVSS 10.0，🔥 在野）

  • 漏洞类型 ：CWE-306 关键功能缺失认证。安装 Node-RED 组件、运行 Industrial OS 的 SIMATIC IoT2050 Advanced 设备，其 Node-RED HTTP 接口未强制认证，未授权远程攻击者可创建恶意流，以最高权限在底层服务器执行任意代码。
  • 受影响组件：Siemens SIMATIC IoT2050 Advanced（运行 Industrial OS + Node-RED）。
  • CVSS：10.0（VulnCheck 披露）。
  • 在野情况 ：🔥 VulnCheck 蜜罐自 2026-10-30 起监测到活跃利用 ，攻击者投递经三层编码混淆的 Node-RED 流，自动从 85.215.73[.]250 拉取 Linux 僵尸网络二进制（保存为 /dev/shm/.b 执行），后续演进为两阶段 wget.sh 持久化远程后门。
  • 修复版本 ：Siemens 已在 4.3.4.1+ 修复；缓解措施：卸载 Node-RED，或启用 HTTPS + 凭据/OAuth 保护编辑器与 admin API、用基础认证保护 HTTP 节点与 Dashboard。
  • 详情/链接：
  • FreeBuf：攻击者利用西门子 IoT2050 高危漏洞植入远程命令后门
  • Siemens 官方安全公告（CVE-2026-58115）
  • VulnCheck CVE-2026-58115 情报

🔴🔥 持续在野 / KEV 窗口内重点项（近期主线，仍需处置）

风险 CVE / 编号 组件 CVSS 在野/KEV 状态 链接
🔴🔥 CVE-2026-88771 / 88772 Citrix NetScaler ADC/Gateway（新，本期限焦点） 9.5/9.5 🔥 KEV 11-02 加入，疑似国家级间谍活动，78+ 组织受影响 NVD 88771 · CISA KEV
🔴🔥 CVE-2026-111497 Brotli / Node2Shell（Node.js、Bun、Python、.NET、Envoy 等） 9.8/9.2 🔥 KEV 10-27，整改截止 11-10；ELLIO/Imperva/CISA 确认野外 RCE NVD · CISA KEV
🔴🔥 CVE-2026-48356 Adobe Commerce / Magento「PolyShell」任意文件上传 RCE 9.3/9.6 🔥 KEV 10-27，整改截止 11-10；Sansec 监测 953 家商店感染 NVD · Adobe APSB26-73
🔴🔥 CVE-2026-109618 / CVE-2026-109619 PHP「PHP2Shell」预认证 RCE 9.2 (v4) 🔥 KEV 10-26（联邦截止 10-29 已逾期，全球仍活跃）；8.1 及更早 EOL 无补丁 NVD 109618 · NVD 109619 · CISA 告警
🔴🔥 CVE-2026-97229 GitLab CI/CD 正则编译器 RCE（KEV 截止 11-01 已逾期） 10.0 🔥 KEV 10-29，截止 11-01 已逾期；Shadowserver 统计 1,000+ 公网未修实例 NVD · GitLab 补丁
🔴🔥 CVE-2026-76418 Cisco ASA/FTD SSL VPN 重载 DoS（KEV 截止 11-01 已逾期） 8.6 🔥 KEV 10-29，截止 11-01 已逾期；Cisco 确认在野零日 NVD · Cisco 公告
🟠 CVE-2026-41709 Broadcom VMware ESX 日志不足（Warp Panda 在野） 2.7（KEV 标注） 🔥 KEV 10-28，整改截止 11-11 CISA KEV
🟠 CVE-2026-42945 NGINX Rift（rewrite 堆溢出，持续在野） 9.2 (v4) 自 2026-05-16 起在野（DoS 为主）；约 570 万暴露实例 NVD · F5 公告 K000161019
🟠 CVE-2026-118539 Drupal Commerce Core 访问控制绕过 高度严重 🔥 维护方 10-28 确认在野；升级后须审计历史订单 Drupal SA-CONTRIB-2026-254 · NVD
🔴🔥 CVE-2026-119977 WordPress Core 升级窗口 RCE（新入 KEV） 8.1 🔥 KEV 11-03，联邦截止 11-06 NVD · CISA KEV
🔴🔥 CVE-2026-111357 / CVE-2026-118527 / CVE-2026-104935 Ivanti Connect Secure 三洞链（UTA0576 武器化未授权 root） 8.8/4.3/8.6 🔥 KEV（104935 10-13 / 111357 10-30 截止 11-02 / 118527 截止 11-13） NVD 111357 · NVD 118527 · NVD 104935

二、最新漏洞 PoC（含使用步骤）

说明：每条标注 【PoC 利用】 （已有可运行利用代码）或 【检测/版本核查】 （用于确认暴露面与失陷排查，非直接利用）。代码块内 git clone 命令为必需字面量。本期新增 Citrix NetScaler、WordPress、Linux 内核、西门子 IoT2050 以检测/版本核查 + 升级/缓解为主；Node2Shell 提供实战仓库步骤（🔥 KEV 截止 11-10）；Adobe PolyShell 沿用取证路径。

1. 🔴🔥 Citrix NetScaler --- CVE-2026-88771 / CVE-2026-88772【检测/失陷排查（KEV 在野）】

官方未发布武器化利用（且利用即违法），此处提供只读暴露面 + IoC 取证工具（ThomasPoppelgaard 整理自 Mandiant/GTIG、Unit 42、Arctic Wolf、watchTowr 等公开 IoC）。

bash 复制代码 
# 单一 POSIX shell 脚本，无依赖；可在设备自身或导出 ns.conf 的 Linux/macOS/WSL 上运行
git clone https://github.com/ThomasPoppelgaard/netscaler-ctx697096-checker.git
cd netscaler-ctx697096-checker
chmod +x netscaler-ctx697096-checker.sh
# 基础：核查 build 是否在修复档、各 CVE 前置条件是否满足、升级已知问题
./netscaler-ctx697096-checker.sh
# 失陷排查：扫描 Whipshot/Slapshot、setuid /bin/sh、异常 .deb/.sig webshell、
# httpd.conf 异常 AddHandler/AliasMatch、/tmp/.uxdport、/tmp/.uxdlock 等公开 IoC
./netscaler-ctx697096-checker.sh --ioc
# 提示：HA 对需两台均跑；先跑 Citrix 官方 IoC 扫描（NetScaler Console）再升级/重启，
# 部分痕迹仅存于内存。补丁只堵漏洞，须按「假设已沦陷」轮换凭据 + 断会话。

参考：netscaler-ctx697096-checker 仓库；Citrix CTX697096 公告；LevelBlue CVE-2026-88771 利用分析；CISA KEV。

2. 🔴 WordPress Core --- CVE-2026-119977【检测/版本核查 + 升级（无公开武器化 PoC）】

bash 复制代码 
# 1) 核查 WordPress 版本（须 >= 7.1.4 / 7.0.8 / 6.9.11 / 6.8.12 ... 4.7.39）
wp core version            # WP-CLI
# 或后台「仪表盘 → 更新」查看；wp-config.php 旁无版本常量时以数据库为准
# 2) 公网暴露且关闭自动更新的站点优先处理（该竞态无需登录即可触发）
# 3) 升级（建议后台一键或 WP-CLI）
wp core update
wp core update-db
# 4) 升级后对「近期有异常更新/文件写入」的站点做取证：比对核心文件哈希、检查异常 php

参考：NVD CVE-2026-119977；WordPress 7.1.4 发布；GitHub 公告 GHSA-4w3m-c66w-69mg；CISA KEV（11-03 新增）。

3. 🔴 Linux 内核 --- CVE-2026-98432【检测/版本核查 + 缓解（无公开 RCE PoC，已有 DoS PoC）】

bash 复制代码 
# 1) 核查内核版本，与修复版本比对（5.10.272 / 5.15.223 / 6.1.190 / 6.6.159 /
#    6.12.113 / 6.18.56 / 7.2.10+）
uname -r
# 2) 列出当前 MPTCP 监听器（Debian 等多发行版默认启用 MPTCP；Go1.24+ 服务默认绑定）
sudo ss -Mlnp
# 3) 缓解（无法立即更新时）：用 nftables 丢弃携带 IP 选项的入站 IPv4 TCP 包
#    （会降低所有依赖 IP 选项的连接，且需重启已开套接字的应用才生效）
sudo nft add table inet filter
sudo nft add chain inet filter input '{ type filter hook input priority 0; }'
sudo nft add rule inet filter input ip option exists drop
# 4) Ubuntu 用户经 -proposed 源获取早期修复内核（须显式指定，默认不升级）：
#    https://ubuntu.com/security/CVE-2026-98432

参考：NVD CVE-2026-98432；CN-SEC 风险通告；Aikido 分析；FreeBuf 扫描与 Ubuntu 补丁；内核修复 commit。

4. 🔴🔥 西门子 SIMATIC IoT2050 --- CVE-2026-58115【检测/版本核查 + 缓解（在野投僵尸网络）】

bash 复制代码 
# 1) 核查设备 Industrial OS / Node-RED 版本是否在 4.3.4.1+；登录设备 Web 管理核对
# 2) 暴露面收敛：若必须保留 Node-RED，启用 HTTPS + 凭据/OAuth 保护编辑器与 admin API，
#    用基础认证保护 HTTP 节点与 Node-RED Dashboard；否则直接卸载 Node-RED
# 3) 失陷排查：检查 /dev/shm/.b 等异常二进制、可疑 wget/curl 外联（如 85.215.73[.]250）、
#    异常 Node-RED 流与计划任务

参考：FreeBuf：IoT2050 在野投后门；Siemens 官方公告；VulnCheck。

5. 🔴🔥 Node2Shell / Brotli --- CVE-2026-111497【PoC 利用（实验室验证，KEV 截止 11-10）】

bash 复制代码 
git clone https://github.com/Hika-sec/http2shell-CVE-2026-111497.git
cd http2shell-CVE-2026-111497
python3 -m pip install -r requirements.txt
# 向监听 br 压缩流的 Node 服务发送特制请求触发越界写（--verify 仅验证，勿对他人资产使用）
python3 exploit.py --target http://TARGET:PORT/ --verify

缓解 ：升级 Node.js 至 22.23.4 / 24.22.1 / 26.12.1，或 Brotli 系统库至 1.0.10 / 1.1.1 / 1.2.1；WAF/反代层丢弃含 Content-Encoding: br 的请求。

参考：NVD CVE-2026-111497；GitHub Hika-sec PoC；CISA KEV。

6. 🔴🔥 Adobe Commerce / Magento「PolyShell」--- CVE-2026-48356【检测/失陷排查（KEV 截止 11-10）】

bash 复制代码 
# 1) 核查 Adobe Commerce / Magento 版本是否应用 APSB26-73 修复
# 2) 失陷排查：检索 webshell 落地文件 accesson.php、custom_options 异常上传、
#    以及 Sansec 披露的被篡改数据库记录；比对官方核心文件哈希
# 3) 升级到 Adobe 安全公告指定版本；对历史订单与支付回调做审计

参考：NVD CVE-2026-48356；Adobe APSB26-73；CISA KEV。

7. 🔴 LXD / MicroCloud / Incus --- CVE-2026-112816【检测/版本核查 + 升级】

bash 复制代码 
# 1) 核查 LXD / MicroCloud 版本（snap 安装）
snap list lxd microcloud 2>/dev/null
lxd --version
# 2) 核查是否对外暴露 HTTPS 管理 API（默认仅本地 unix socket）
lxc config get core.https_address
ss -ltnp | grep -E ':8443|:9443' || echo "API 未对外暴露"
# 3) 升级到修复 snap（刷新后务必核对实际版本，灰度期可能未落 stable）
sudo snap refresh lxd --channel=6/stable        # 目标 6.10.1
sudo snap refresh microcloud --channel=3/stable  # 目标 3.4.1
# 4) Incus 用户升级到 7.6.0+；补丁前用防火墙/管理网段限制 API 可达性

参考：NVD CVE-2026-112816；The Hacker News 报道；CSA 研究札记。

三、网络安全最新文章

  1. The Hacker News ---
    CVSS 9.5：Citrix NetScaler 双漏洞遭疑似国家级间谍活动大规模利用，波及 78+ 组织（2026-11-02）；
    WordPress Core 升级窗口竞态 RCE CVE-2026-119977 被 CISA 纳入 KEV（2026-11-03）；
    Anthropic 未发布模型挖出潜伏 11 年的 Linux 内核 UAF 并写出可用利用链（2026-11-04）
  2. FreeBuf（中文） ---
    攻击者野外扫描 Linux 内核严重 RCE 漏洞，Ubuntu 推送早期修复补丁（CVE-2026-98432，2026-11-03）；
    攻击者利用西门子 IoT2050 高危漏洞植入远程命令后门（CVE-2026-58115，2026-11-02）；
    黑客滥用 ARTEX AI Agent 自动化攻击活动目录、Kerberoasting 与横向移动（2026-11-03）；
    微软漏洞利用趋势研究：78% 被利用漏洞可致接管或提权（2026-11-02）
  3. LevelBlue THOR --- CVE-2026-88771 命令注入被利用投放 webshell 与窃取 NetScaler 配置（含 Whipshot/Slapshot IoC，2026-11-03）
  4. CN-SEC / 安全客（中文） ---
    Linux 内核 IPv4 TCP 释放后使用漏洞 CVE-2026-98432 风险通告（影响版本 + 修复 commit）；
    苹果十年老洞 CVE-2026-112445 修复，macOS 本地提权 PoC 公开（Mas0nShi 仓库，2026-11）
  5. 微软安全研究 --- 漏洞利用趋势：1999--2026.9 累计披露约 38.3 万漏洞，仅约 0.5% 曾被在野利用；AI 辅助漏洞挖掘压缩防御窗口（2026-11-02）
  6. Siemens / VulnCheck --- SIMATIC IoT2050 CVE-2026-58115（CVSS 10.0）在野投僵尸网络技术细节与修复缓解 · VulnCheck CVE 情报

部分内容由 AI 辅助生成

相关推荐
杨凯凡5 小时前
IT日报｜2026-11-04：Copilot 接入 JetBrains Air、CodeQL 2.27.3、Agent 依赖自动更新
网络安全·github copilot·codeql·ai coding·dependabot
航天智算1 天前
航天智算 HTZS-1700 全信创网络安全移动工作站深度评测
网络安全·国产算力·国产化改造·算力适配·测绘信创
longzhizhui9261 天前
Ubuntu 全版本 CVE-2026-98432 内核安全升级操作手册
ubuntu·网络安全·云计算·bash
万联WANFLOW1 天前
CVE-2026-98432 等漏洞自查：AI 查出的 Linux、Windows 漏洞，运维怎么确认受不受影响
linux·运维·windows·网络安全
一支蜉蝣1 天前
Day26 XD安全学习笔记--PHP 应用&模版引用&Smarty渲染&MVC 模型&数据联动&RCE 安全
笔记·网络安全·html·php
kingx32 天前
Bugku WEB 题解总集：文件包含 / SQLi / 反序列化 / SSTI / 反爬 / 组件漏洞
web安全·网络安全·ctf·bugku
我爱学习_zwj2 天前
IP 地址与子网划分
网络协议·网络安全
重生之我在番茄自学网安拯救世界3 天前
AI 开发者日报 第1期（本周精选）| 插件市场投毒、智能体搞出“官僚饥荒村”，十年前的 CNN 打赢大模型
人工智能·网络安全·大模型·ai编程·智能体
m0_738120723 天前
JWT 安全从入门到实战：六种典型攻击场景解析
前端·网络·python·安全·网络安全
热门推荐
01国内可直接用、免费额度/永久免费的大模型API清单（含 SiliconFlow、火山、阿里、智谱、百度、Kimi、DeepSeek、DMXAPI 等）02历年考研数学一、数学二、数学三真题试卷及答案PDF03几个好用的ip纯净度检测网站04GitHub 镜像站点05昇腾910B系列芯片完全指南：四款型号对比、服务器选型与大模型部署实战06蜘蛛磁力 搜索引擎大全，如何使用蜘蛛磁力查找磁力链接07苹果iPA游戏软件资源下载网站08如何新建文件夹？ 电脑新建文件夹的4种方法09微信历史版本含下载地址（ Windows PC | 安卓 | MAC ）及设置微信不更新10Dify：一站式AI应用开发平台全解析与Windows部署指南