每日安全情报报告 · 2026-11-05

由 AI 整理发布

⚠️ 本报告聚焦近 24--48 小时（2026-11-03 ~ 11-05）新增/升级的高危漏洞与在野利用事件，并标注持续在野的存量高危项。🔥 = 已确认在野利用（含 CISA KEV 或厂商/蜜罐实证）。

风险级别图例

标记	含义
🔴 严重	CVSS ≥ 9.0 或在野利用中
🟠 高危	CVSS 7.0--8.9
🟡 中危	CVSS 4.0--6.9
🔥	已确认在野利用（CISA KEV / 厂商公告 / 蜜罐捕获）

一、最新高危漏洞（近 24--48 小时）

1.1 🔴🔥 Zyxel GS1900 系列交换机 0day --- CVE-2026-107441

字段	内容
CVE	CVE-2026-107441
漏洞类型	越界写（CWE-787，CGI 程序）
受影响组件	Zyxel GS1900 系列交换机固件 ≤ 2.90(AAHK.2)C0（含 10HP/16/24/24E/24EP/48/48HPv2/8/8HP/HPv2 等）
CVSS	8.8（HIGH），向量 `AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`
在野	🔥 已确认为 0day 在野利用：攻击者入侵 48 个国家的 996 台 GS1900 交换机，窃取设备配置与经哈希的 root 凭据；仅装 6 月补丁的设备仍暴露
链接	Zyxel 官方安全公告 · NVD 详情

处置要点 ：升级至 Zyxel 10 月发布的最新固件；升级后立即更换管理员密码并检查配置是否被改动。第三方跟踪显示部分型号在公告中尚未列出确认修复版本，故凭据轮换与配置审计不可省略。

1.2 🟠🔥 Airbyte 不安全反射远程代码执行（JVN#12040144）

字段	内容
编号	JVN#12040144（CVE 待 JPCERT 最终映射，已确认对应 Airbyte 不安全反射缺陷）
漏洞类型	不安全反射（CWE-470，Use of Externally-Controlled Input to Select Classes）
受影响组件	Airbyte < 2.2.0（低权限用户经 Connector Builder 与 Manifest Server 执行代码）
CVSS	8.8（HIGH）
在野	🔥 已在野利用：日本 JPCERT/CC 于 2026-11-04 发布公告确认；厂商已于 10-17 发布安全公告
链接	JPCERT/CC JVN#12040144 · GitHub Advisory（关联不安全反射）

处置要点：升级至 Airbyte 2.2.0 或更高版本；公网暴露的实例应限制管理端口访问。

1.3 🟠 Debian/Ubuntu APT 中间人包替换 --- CVE-2026-109518

字段	内容
CVE	CVE-2026-109518
漏洞类型	软件供应链 / 中间人替换（HTTP 下载包被替换后以 root 执行代码）
受影响组件	默认配置的 Debian 12 及以上、Ubuntu 22.04 及以上（通过 HTTP 下载软件包的场景）
CVSS	高危（供应链 root 代码执行）
在野	目前未报告在野利用（由研究人员利用 OpenAI 模型发现，Canonical 于 11-05 发布修复）
链接	Debian 安全公告 · Ubuntu 安全公告

处置要点 ：修复版本 apt 2.6.2 与 3.0.4 正在推送，请尽快执行 apt update && apt upgrade；尽可能使用 HTTPS 镜像源。

1.4 🔴🔥 Linux 内核 IPv4 TCP 释放后重用 --- CVE-2026-98432（持续在野）

字段	内容
CVE	CVE-2026-98432
漏洞类型	竞态条件 / 释放后重用（UAF，IPv4 TCP 处理）
受影响组件	Linux 内核 4.4 以来各版本，启用 Multipath TCP（MPTCP）的系统可被未认证远程代码执行
CVSS	9.8（CRITICAL）
在野	🔥 安全研究员 Marcus Hutchins 观测到针对约 210 万台可达服务器的定向扫描；Debian 已发布修复，Ubuntu 22.04/24.04/26.04 修复仍在测试仓库
链接	NVD 详情 · Linux 内核安全列表

临时缓解 ：无法立即升级的服务器可通过 sysctl 关闭 MPTCP，或在防火墙上限制 MPTCP 流量。详见下方 PoC/检测章节。

1.5 🔴🔥 WordPress 核心升级窗口 TOCTOU 未认证 RCE --- CVE-2026-119977（CISA KEV）

字段	内容
CVE	CVE-2026-119977
漏洞类型	竞争条件（CWE-367，TOCTOU）→ 未认证远程代码执行
受影响组件	WordPress Core 4.7.0 -- 7.1.3（全部分支，约 43% 网站底层支撑）
CVSS	8.1（HIGH），向量 `AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H`
在野	🔥 已在野利用：2026-11-03 纳入 CISA KEV，联邦整改截止 11-06；补丁发布数小时内遭自动化探测，单日拦截超 6.2 万次请求；奇安信 CERT 已公开复现（PoC 已公开）
链接	NVD 详情 · WordPress 7.1.4 发行说明 · GHSA-4w3m-c66w-69mg · 奇安信 CERT 安全风险通告

处置要点 ：先关目录、再升级、最后翻日志 。升级动作本身仍跑旧版更新代码、窗口仍开；务必在 Web 层拒绝 /wp-content/upgrade/ 访问后再升级。修复版 7.1.4 及 4.7 起各分支安全版已发布。

1.6 🔴🔥 Node-RED 缺省认证 RCE（影响 Siemens SIMATIC IoT2050）--- CVE-2026-58115

字段	内容
CVE	CVE-2026-58115
漏洞类型	缺失认证（Node-RED HTTP 接口）→ 未认证创建恶意 flow 执行系统命令
受影响组件	Node-RED（含 Siemens SIMATIC IoT2050 Advanced 预装 Industrial OS）；全球约 2 万+ 管理接口暴露公网
CVSS	10.0（CRITICAL）
在野	🔥 已在野利用：VulnCheck 于 2026-10-30 蜜罐捕获完整利用请求，部署 Linux 僵尸程序；截至 11-01 共 16 次攻击（来源 IP 位于 Microsoft ASN，巴西）。尚未进入 CISA KEV，但属于"已实战在野、无公开 PoC 也能被直接利用"的典型
链接	NVD 详情 · VulnCheck 利用分析 · Siemens 安全公告

处置要点 ：升级 Industrial OS 至 4.3.4.1+ 或卸载 Node-RED；为 Node-RED 编辑器/Admin API 启用 adminAuth 认证，并限制公网暴露。详见下方 PoC/检测章节（含失陷 IoC 排查）。

1.7 🟠 CISA KEV 新增（旧漏洞新纳入）：Apple CVE-2024-27834

字段	内容
CVE	CVE-2024-27834
漏洞类型	身份验证不当（Apple 多款产品）
受影响组件	iOS 17.5 之前等旧系统
CVSS	中危（2024 年漏洞，补丁早已发布）
在野	🔥 2026-11-04 被 CISA 纳入 KEV（仍运行旧系统的设备应尽快升级）
链接	NVD 详情 · CISA KEV 目录

1.8 持续在野 / KEV 整改临近（存量高危，仍需关注）

CVE	组件	CVSS	状态
CVE-2026-111497	Google Brotli / Node2Shell	9.2	🔥 KEV，联邦截止 11-10（含 Node/Bun/Python/.NET/Envoy）
CVE-2026-48356	Adobe/Magento PolyShell	9.3/9.6	🔥 KEV，联邦截止 11-10（953+ 商店感染）
CVE-2026-88771 / CVE-2026-88772	Citrix NetScaler	9.5	🔥 KEV 在野（国家级间谍活动）
CVE-2026-109618 / CVE-2026-109619	PHP2Shell	9.2 v4	🔥 在野（EOL ≤8.1 无官方修复，CISA 建议下线）
CVE-2026-118539	Drupal Commerce Core	---	🔥 在野（42,000+ 站点）
CVE-2026-42945	NGINX Rift	---	🔥 在野
CVE-2026-97229	GitLab CE/EE	10.0	🔥 KEV 已逾期（11-01）
CVE-2026-76418	Cisco ASA/FTD	8.6	🔥 KEV 已逾期（11-01）

二、最新漏洞 PoC（含使用步骤）

标注说明：「PoC 利用」 = 已有公开可用的利用代码/请求；「检测/版本核查」 = 暂无公开武器化 PoC，提供验证与缓解步骤。代码块内 git clone 命令为必需字面量。

2.1 🔴🔥 WordPress CVE-2026-119977 --- 公开复现 + 缓解（PoC 利用）

奇安信 CERT 已成功复现并公开 PoC（本地验证到"未认证请求打到暂存安装器"）。生产环境禁止直接运行攻击脚本，以下提供安全自查与缓解：

bash 复制代码

# ① 确认版本（须 ≥ 7.1.4 或对应分支修复版）
wp core version
grep "wp_version =" wp-includes/version.php

# ② 先关闭暂存目录访问（nginx 示例，写在 server 块）
# location ^~ /wp-content/upgrade/ { return 403; }
# Apache（.htaccess 或虚拟主机）:
#   <Directory /var/www/html/wp-content/upgrade>
#     Require all denied
#   </Directory>

# ③ 升级（升级动作本身仍跑旧更新代码，须先完成第②步）
wp core update

# ④ 排查是否被光顾过（看升级时间点前后日志）
grep -iE "wp-content/upgrade/[^ ]+\.php" /var/log/nginx/access.log
grep -iE "wp-content/upgrade/.*/setup-config\.php" /var/log/apache2/access.log

# ⑤ 校验核心文件完整性
wp core verify-checksums

参考链接 ：奇安信 CERT 安全风险通告（含复现） · WordPress 7.1.4 发行说明

2.2 🔴🔥 Node-RED CVE-2026-58115 --- 失陷 IoC 排查（PoC 利用·已在野，请求已公开）

VulnCheck 已公开完整攻击请求（POST /flows 部署含 exec 节点的 flow，三层 base64 编码投递 Linux 僵尸程序）。以下为防御侧检测：

bash 复制代码

# ① 检查 Node-RED 管理接口是否暴露公网
curl -s -o /dev/null -w "%{http_code}\n" http://目标IP:1880/

# ② 排查失陷痕迹文件
ls -la /dev/shm/.b 2>/dev/null          # 已知 dropper 落地点
ls -la /tmp/.kworker /tmp/.s 2>/dev/null # 仿内核线程名

# ③ 排查可疑出站连接（IoC）
#   85.215.73.250:8080
#   45.194.90.57:38472
ss -antp | grep -E "85.215.73.250|45.194.90.57"

# ④ 排查可疑 flow：inject 节点 once=true 接 exec 节点，命令含 base64 -d | sh
#   或 HTTP in 端点接 exec 节点（后门可经查询参数远程执行命令）

修复：升级 Industrial OS ≥ 4.3.4.1 或卸载 Node-RED；为编辑器与 Admin API 启用 adminAuth。
参考链接 ：VulnCheck 利用分析 · NVD 详情

2.3 🔴🔥 Zyxel CVE-2026-107441 --- 版本核查与加固（检测/版本核查）

暂未检索到公开 PoC。提供版本核查与加固步骤：

bash 复制代码

# ① 登录交换机查看固件版本（CLI）
show version

# ② 确认是否 ≤ 2.90(AAHK.2)C0（受影响上限）
#   受影响型号：GS1900-10HP/16/24/24E/24EP/48/48HPv2/8/8HP/HPv2

# ③ 升级至 Zyxel 2026-10 发布的最新固件（见官方公告）
# ④ 升级后务必：更换管理员密码 + 审计配置是否被改动

参考链接 ：Zyxel 官方安全公告 · NVD 详情

2.4 🟠 APT CVE-2026-109518 --- 版本核查与升级（检测/版本核查）

暂无公开 PoC（研究中，未报告在野）：

bash 复制代码

# ① 查看 apt 版本（Debian）
apt-cache policy apt
# ② 查看 apt 版本（Ubuntu）
apt --version

# ③ 修复版本：Debian apt 2.6.2 / Ubuntu apt 3.0.4（正在推送）
sudo apt update && sudo apt upgrade apt

# ④ 尽量使用 HTTPS 镜像源，降低中间人替换风险

参考链接 ：Debian 安全公告 · Ubuntu 安全公告

2.5 🔴🔥 Linux 内核 CVE-2026-98432 --- 缓解与暴露面核查（检测/缓解）

暂无公开 RCE PoC（Anthropic 未公开模型曾写出利用链）。提供缓解：

bash 复制代码

# ① 检查是否启用 MPTCP（暴露面）
ss -Mlnp            # 列出 MPTCP 监听套接字
sysctl net.mptcp.mptcp_enabled

# ② 临时缓解：关闭 MPTCP（重启失效，需写持久化配置）
sudo sysctl -w net.mptcp.mptcp_enabled=0

# ③ 防火墙限制 MPTCP 流量（生产环境首选）

# ④ 核查内核版本并升级到修复版（Debian 已发布；Ubuntu 仍在测试仓库）
uname -r

参考链接 ：NVD 详情

2.6 🟠 Airbyte JVN#12040144 --- 版本核查与升级（检测/版本核查）

暂无独立公开 PoC（JPCERT 确认在野）：

bash 复制代码

# ① 确认 Airbyte 版本
#   管理界面 → Settings → About，或通过 API:
curl -s http://目标:8000/api/v1/health | head

# ② 升级到 2.2.0 或更高版本（官方升级指引）
# ③ 限制管理端口公网暴露，尤其 Connector Builder / Manifest Server 相关端点

参考链接 ：JPCERT/CC JVN#12040144 · GitHub Advisory

2.7 🔴🔥 Node2Shell CVE-2026-111497 --- 真实 PoC（PoC 利用·KEV 截止 11-10）

Brotli 越界写 RCE，影响 Node/Bun/Python/.NET/Envoy/Istio，蜜罐已确认野外利用：

bash 复制代码

# Hika-sec 公开复现仓库
git clone https://github.com/Hika-sec/http2shell-CVE-2026-111497.git
cd http2shell-CVE-2026-111497
# 按 README 编译并运行；目标需运行受影响 Brotli/Node 版本
# 说明：PoC 用于授权环境下的漏洞验证，禁止对非授权目标使用

参考链接 ：GitHub PoC 仓库 · NVD 详情
修复：Brotli 1.0.10/1.1.1/1.2.1、Node 22.23.4/24.22.1/26.12.1、.NET 10-27 带外补丁。

部分内容由 AI 辅助生成

每日安全情报报告 · 2026-11-05