CVE-2026-108426：Microsoft Office Word 远程代码执行漏洞
Microsoft 披露 CVE-2026-108426，为 Microsoft Office Word 远程代码执行漏洞，该漏洞已由 2026 年 10 月发布的更新修复，但被遗漏在当月安全更新公告之外。已安装 2026 年 10 月更新的用户无需采取进一步操作，本次仅为信息性变更。
全部信息动态
漏洞与风险Microsoft MSRCAI 评分2525 漏洞与风险CISA · Cybersecurity AdvisoriesAI 评分4242 Eclipse Milo 多个版本存在漏洞，CISA 发布安全公告
Eclipse Foundation Eclipse Milo 0.6.0 至 1.1.4 版本存在漏洞，攻击者可删除受保护数据、恢复用户凭据、冒充合法用户或导致服务器停止响应所有客户端。
漏洞与风险CISA · Cybersecurity AdvisoriesAI 评分5252 CISA 将 Atlassian 多产品漏洞 CVE-2026-21589 列入 KEV 目录
CISA 基于已存在活跃利用的证据，将 CVE-2026-21589 列入已知被利用漏洞（KEV）目录，该漏洞影响 Atlassian 多款产品，属于外部方可访问文件或目录的类型。
漏洞与风险CISA · Cybersecurity AdvisoriesAI 评分3838 Thermo Fisher Torrent Suite Software 路径遍历漏洞（CVE-2026-107777）
Thermo Fisher Torrent Suite Software 5.18 及更早版本存在路径遍历漏洞（CVE-2026-107777），已认证攻击者可读取 Torrent Server 上 Web 服务账户可访问的任意文件，CVSS 3.1 评分 6.5、CVSS 4.0 评分 7.1。厂商已修复该漏洞，建议用户升级至 5.22 或更高版本。
漏洞与风险BleepingComputerAI 评分6262 BeyondTrust 修复自 8 月底被利用的 Remote Support 零日漏洞
BeyondTrust 于周四警告客户修复 Remote Support（RS）中的一个严重漏洞，该漏洞自 8 月底以来已在零日攻击中被利用。目前仅有摘要信息，漏洞编号与具体影响范围尚未披露。
漏洞与风险The Hacker NewsAI 评分6262 GitLab 修复 CVSS 10.0 漏洞，未认证用户可执行服务器代码
GitLab 为 Community Edition 和 Enterprise Edition 发布补丁，修复一个 CVSS 10.0 的最高危漏洞 CVE-2026-97229。
漏洞与风险The Hacker NewsAI 评分5353 Progress 披露 MarkLogic 31 个漏洞，两个严重漏洞可让委派管理员获得持久管理员权限
Progress Software 于 10 月 12 日披露 MarkLogic Server 的 31 个漏洞，其中 5 个评为严重，CVE-2026-85947 和 CVE-2026-85948 均评 9.9 分，可让仅有部分管理权限的账户获得服务器的持久管理员控制权。
漏洞与风险The Hacker NewsAI 评分4747 LG 智能电视 webOS 三个漏洞可被链式利用实现本地网络预认证 root 接管
LG webOS 存在三个可链式利用的漏洞，同一局域网内的攻击者无需 PIN 或用户交互即可获取部分智能电视的 root 权限，LG 已发布修复。
漏洞与风险The Hacker NewsAI 评分6262 SAP 披露 Cloud SDK for Python 的 CVSS 10.0 漏洞，可致 OAuth2 凭据泄露
SAP 在 10 月 13 日的安全公告中披露，其 Cloud SDK for Python 存在可把应用 OAuth2 客户端凭据发送到攻击者控制服务器的漏洞，编号 CVE-2026-89111，CVSS 评分 10.0，影响 SAP BTP 上使用该 SDK 的多租户应用。
漏洞与风险The Hacker News精选AI 评分7878 攻击者串联三个 Ivanti Connect Secure 零日漏洞获取 root 权限，目前仅修复两个
安全公司 Volexity 称，攻击者串联 Ivanti Connect Secure 的三个零日漏洞，在无需登录的情况下以 root 权限执行命令，Ivanti 已修复其中两个，第三个权限提升漏洞的补丁仍在开发中。
推荐理由：梳理了三个零日漏洞的串联利用链、受影响版本与检测盲区，可供企业排查 Ivanti Connect Secure 风险。
漏洞与风险The Hacker NewsAI 评分6767 Docker 修复存在两年的 Docker Hub 严重漏洞，可让一个用户以他人身份推送镜像
Docker 修复了 Docker Hub 中一个存在约两年的严重漏洞，该漏洞允许一个用户以另一个用户的身份推送、拉取或删除镜像。漏洞位于个人账户转换为组织的功能中，转换会把账户的 PAT 转移给被指定为组织所有者的用户，而令牌创建者仍可使用它。
漏洞与风险The Hacker NewsAI 评分6262 微软修复创纪录的 1,413 个漏洞，含一个已被利用的 Windows Shell 漏洞
微软本周二发布补丁修复 1,413 个漏洞，创下自身 Patch Tuesday 纪录，其中 Windows 占 1,102 个、Office 占 134 个，超过 670 个为权限提升类，70 余个被评为严重级别。
漏洞与风险The Hacker NewsAI 评分6262 四字节写入与时序漏洞让研究者在 Windows SmartScreen enclave 内运行代码
安全公司 Doyensec 披露 CVE-2026-83498，通过四字节写入与时序漏洞在 Windows VBS enclave 内运行攻击者代码，微软已在 2026 年 9 月 8 日更新中修复。
漏洞与风险The Hacker News精选AI 评分7878 腾讯朱雀实验室披露 Linux vhost 漏洞 CVE-2026-74580，本地用户可提权至 root 并逃逸虚拟机
Linux vhost 子系统存在漏洞 CVE-2026-74580（代号 Vghost），本地用户可任意读写内核内存、绕过 KASLR 并提权至 root，在特定虚拟化配置下还能让不受信任的虚拟机写入宿主机内存并劫持 QEMU 进程。
推荐理由：梳理了 CVE-2026-74580 的成因、受影响内核版本与各发行版修复进度，可据此判断自身环境风险。
漏洞与风险The Hacker NewsAI 评分7171 curl 修复 HTTP/2 上传释放后使用漏洞，PoC 演示客户端代码执行
curl 项目于 10 月 14 日在 curl 8.23.0 中修复了一个 HTTP/2 上传释放后使用漏洞，编号 CVE-2026-92392，影响 curl 和 libcurl 8.12.0 至 8.22.0。
漏洞与风险The Hacker NewsAI 评分6868 Cisco 警告 Secure Email Gateway 严重漏洞正遭活跃利用
Cisco 在周三发布的公告中表示，攻击者正在利用 Cisco Secure Email Gateway 的一个严重漏洞，未登录的发件人可借此向设备操作系统写入文件。攻击者通过网关发送带有特制附件的邮件，一旦成功便可能以 root 权限执行命令。该设备用于为企业过滤垃圾邮件和恶意软件。
漏洞与风险BleepingComputerAI 评分6262 微软 2026 年 10 月补丁日修复 1411 个漏洞，含 3 个零日
微软 2026 年 10 月补丁日发布安全更新，修复创纪录的 1411 个漏洞，其中 70 个为“严重”级别，57 个属远程代码执行。
漏洞与风险BleepingComputerAI 评分6262 Ghostscript 堆溢出漏洞 CVE-2026-39919 可经 PDF 上传劫持服务器
Ghostscript 解释器与渲染引擎存在严重堆缓冲区溢出漏洞 CVE-2026-39919，攻击者可通过特制 PDF 文件实现远程代码执行。
漏洞与风险BleepingComputerAI 评分6565 Cisco 修补 Secure Email Gateway 在野利用零日漏洞 CVE-2026-76519
Cisco 修补了 Secure Email Gateway（SEG）中一个已被在野利用的零日漏洞 CVE-2026-76519，远程未认证攻击者可通过发送带恶意附件的邮件写入任意文件并以 root 权限执行命令。
漏洞与风险BleepingComputerAI 评分7272 Palo Alto Networks 警告 PAN-OS RCE 零日漏洞 CVE-2026-0322 已被利用
Palo Alto Networks 发布安全更新，修复已被在攻击中利用的高危 PAN-OS RCE 零日漏洞 CVE-2026-0322，该漏洞影响 PAN-OS 管理界面，CVSS 评分 8.6，攻击者需已有凭据并具备管理界面的网络访问权限才能以 root 身份执行代码。
漏洞与风险Microsoft MSRCAI 评分3030 CVE-2026-32176：SQL Server 权限提升漏洞
Microsoft 在安全更新表中新增 SQL 软件条目，修复 CVE-2026-32176 SQL Server 权限提升漏洞。运行受支持 SQL 版本的客户被建议更新至指定版本以获得防护。
漏洞与风险Microsoft MSRCAI 评分2121 CVE-2026-81352：Web Media Extensions 远程代码执行漏洞
Microsoft 披露 CVE-2026-81352，为 Web Media Extensions 远程代码执行漏洞。MSRC 公告更新了 Software Update 表中的产品信息，属仅信息性变更。
漏洞与风险Microsoft MSRCAI 评分2222 CVE-2026-62755：Windows DHCP Client 权限提升漏洞
Microsoft 披露 CVE-2026-62755，为 Windows DHCP Client 权限提升漏洞。本次更新仅补充致谢信息，属信息性变更，未涉及漏洞细节或修复状态的调整。
漏洞与风险Microsoft MSRCAI 评分2222 CVE-2026-69334：Windows Volume Manager Extension Driver 远程代码执行漏洞
Microsoft 披露 CVE-2026-69334，为 Windows Volume Manager Extension Driver 的远程代码执行漏洞。此次更新仅补充致谢信息，属信息性变更，未涉及漏洞细节或修复内容的调整。
漏洞与风险Microsoft MSRCAI 评分2020 CVE-2026-69620：Windows DHCP Server 远程代码执行漏洞
Microsoft 披露 CVE-2026-69620，为 Windows DHCP Server 远程代码执行漏洞。本次更新仅补充致谢信息，属信息性变更，未涉及漏洞定级或修复内容的调整。
漏洞与风险Microsoft MSRCAI 评分2020 CVE-2026-69351：Windows UPnP Device Host 信息泄露漏洞
Microsoft 披露 CVE-2026-69351，为 Windows Universal Plug and Play (UPnP) Device Host 信息泄露漏洞。本次更新仅补充致谢信息，属信息性变更，未涉及漏洞细节或处置措施的调整。
漏洞与风险Microsoft MSRCAI 评分2222 CVE-2026-62697：Windows 推送通知权限提升漏洞
Microsoft 披露 CVE-2026-62697，为 Windows Push Notifications 权限提升漏洞。MSRC 本次仅更新了致谢信息，属信息性变更，未涉及漏洞细节或修复状态的调整。
漏洞与风险Microsoft MSRCAI 评分2222 CVE-2026-72937：Windows Storage Port Driver 信息泄露漏洞
Microsoft 披露 CVE-2026-72937，为 Windows Storage Port Driver 信息泄露漏洞。本次更新仅补充致谢信息，属信息性变更，未涉及漏洞细节或处置措施的调整。
漏洞与风险Microsoft MSRCAI 评分2222 CVE-2026-77499：Windows DHCP Server 拒绝服务漏洞
Microsoft 披露 CVE-2026-77499，为 Windows DHCP Server 拒绝服务漏洞。此次更新仅补充致谢信息，属信息性变更，未涉及漏洞细节或修复内容的调整。
漏洞与风险Microsoft MSRCAI 评分1818 CVE-2026-68825：Windows Bind Filter Driver 权限提升漏洞
Microsoft 披露 CVE-2026-68825，为 Windows Bind Filter Driver 权限提升漏洞。本次更新仅补充致谢信息，属信息性变更，未涉及漏洞细节或处置措施的调整。
漏洞与风险Microsoft MSRCAI 评分2222 CVE-2026-70584：Windows Core Messaging 权限提升漏洞
Microsoft 披露 CVE-2026-70584，为 Windows Core Messaging 权限提升漏洞。本次更新仅补充致谢信息，属信息性变更，未涉及漏洞细节或修复内容调整。
漏洞与风险Microsoft MSRCAI 评分2222 CVE-2026-69676：Windows Kerberos 远程代码执行漏洞
Microsoft 披露 CVE-2026-69676，这是一个 Windows Kerberos 远程代码执行漏洞。本次更新仅为致谢信息调整，属信息性变更，未涉及漏洞细节或修复状态的变化。
漏洞与风险Microsoft MSRCAI 评分2222 CVE-2026-69366：Windows 内核权限提升漏洞
Microsoft 披露 Windows 内核权限提升漏洞 CVE-2026-69366。该公告此次仅更新了致谢信息，属于信息性变更，漏洞本身的技术细节与影响范围未作改动。
漏洞与风险CISA · Cybersecurity AdvisoriesAI 评分4242 CISA 警告 Inductive Automation Ignition 权限提升漏洞（CVE 待查）
CISA 发布公告称 Inductive Automation Ignition 存在权限提升漏洞，已认证的低权限用户可借此提升权限，漏洞编号为 CWE-863 错误授权，CVSS 3.1 评分 8.8、CVSS 4.0 评分 8.7，均为高危。
漏洞与风险Krebs on SecurityAI 评分6262 微软修复超过 1400 个安全漏洞
微软发布更新修复 Windows 及其他软件中超过 1400 个安全漏洞，规模远超 9 月近 1000 个的纪录。其中仅一个被认定为已遭利用的零日漏洞 CVE-2026-96951，是影响 Windows 10、11 及部分 Server 版本的 Windows Shell 安全功能绕过；至少 78 个漏洞被评为严重级别。
漏洞与风险Microsoft MSRCAI 评分3838 CVE-2026-97781：Microsoft Office OneNote 远程代码执行漏洞
Microsoft Office OneNote 存在命令注入漏洞（CVE-2026-97781），因未正确中和命令中的特殊元素，未经授权的攻击者可经网络执行代码。该漏洞被归类为远程代码执行漏洞。
漏洞与风险Microsoft MSRCAI 评分3838 CVE-2026-105016：Microsoft QUIC 远程代码执行漏洞
Microsoft QUIC 存在基于堆的缓冲区溢出漏洞（CVE-2026-105016），未经授权的攻击者可借网络执行代码。该漏洞可被远程利用，属于远程代码执行类型。
漏洞与风险Microsoft MSRCAI 评分3838 Microsoft 披露 .NET Framework 篡改漏洞 CVE-2026-97801
Microsoft 披露 .NET Framework 存在篡改漏洞 CVE-2026-97801，原因是未正确校验指定类型的输入，未授权攻击者可经网络实施篡改。该漏洞由 Microsoft MSRC 发布公告，目前未提供更多受影响版本或处置细节。
漏洞与风险Microsoft MSRCAI 评分3434 CVE-2026-108463：Windows SmartScreen 安全功能绕过漏洞
Windows SmartScreen 存在路径等价解析不当问题，未经授权的攻击者可经网络绕过该安全功能，漏洞编号为 CVE-2026-108463。Microsoft MSRC 已披露该安全功能绕过漏洞。
漏洞与风险Microsoft MSRCAI 评分2020 CVE-2026-108471：Windows 基于虚拟化的安全（VBS）Enclave 提权漏洞
Microsoft MSRC 就 CVE-2026-108471 发布信息更新，该漏洞为 Windows 基于虚拟化的安全（VBS）Enclave 提权漏洞。此次变更仅为补充 CWE 分类，属信息性修改，未涉及其他内容调整。