#remote-code-execution
17 articles
技术、企业和政府领域是2026年4月14日至6月1日期间发布的18篇标记为“远程代码执行”文章的主要目标。这些报道涵盖了11个严重级别和7个高严重级别的漏洞，其中主要CVE包括CVE-2026-8836（CVSS 10）、CVE-2026-41089（CVSS 9.8）、CVE-2026-41265（CVSS 9.8）、CVE-2026-45185（CVSS 9.8）和CVE-2026-5760（CVSS 9.8）。这些漏洞影响全球范围内的组织，尤其对欧洲和北美地区影响显著，涉及电信和软件开发行业。
CRITICALCVE-2026-41089：Windows Netlogon RCE 已遭在野利用
CVE-2026-41089 是 Windows Netlogon 中的关键远程代码执行漏洞，Microsoft CNA 给出 CVSS 9.8，CCB 已确认其正在被在野利用。
CRITICALCVE-2026-8836: CVSS 10.0 lwIP SNMPv3 解析器中的栈溢出
CVE-2026-8836 是一个 CVSS 10.0 基于栈的缓冲区溢出漏洞，存在于 lwIP 2.2.1 及之前的 SNMPv3 USM 处理器中。远程未经身份验证的攻击者可以通过精心构造的...
HIGHCVE-2024-57728: SimpleHelp 路径遍历允许管理员上传
CISA 将 CVE-2024-57728 添加到已知被利用漏洞列表：通过 zip slip 的 SimpleHelp 路径遍历允许管理员用户上传任意文件并执行代码。截止日期为 2026 年 5 月 8 日。
HIGHChrome 148.0.7778.168 修复整数溢出，沙箱逃逸风险
在 Windows 上的 Chrome 148 中的 CVE-2026-8573 (CVSS 8.3) 和 CVE-2026-8577 (CVSS 8.8) 允许通过精心制作的视屏或 HTML 页面进行沙箱逃逸和 RCE。立即更新。
CRITICALF5 修补了51个漏洞：NGINX DoS，BIG-IP RCE在关键修复中
F5修复了BIG-IP、BIG-IQ和NGINX中的19个高严重性和32个中等严重性的漏洞。最严重的是CVE-2026-42945（CVSS 9.2），它使得NGINX重写中的堆溢出DoS成为可能...
CRITICALExim BDAT 用后释放漏洞 CVE-2026-45185 使远程代码执行成为可能
CVE-2026-45185 (Dead.Letter) 是 Exim 的 BDAT 处理中的一个用后释放漏洞，影响 GnuTLS 构建 — CVSS 9.8，存在远程代码执行风险。已发布补丁。
CRITICAL自定义 css-js-php WordPress 插件 SQLi 导致 RCE (CVE-2026-6433)
CVE-2026-6433: Custom css-js-php 插件 ≤2.0.7 中存在未经认证的 SQL 注入漏洞，允许攻击者通过 eval() 执行任意 PHP 代码。目前没有补丁可用。
HIGHAero CMS 0.0.1 PHP代码注入漏洞允许认证攻击者
CVE-2022-50944 (CVSS 8.8): 认证攻击者可以通过Aero CMS 0.0.1中的图像参数上传恶意PHP文件，实现服务器上的远程代码执行。
CRITICALCVE-2025-69690: 通过备份文件实现Netgate pfSense CE模块安装器远程代码执行
CVE-2025-69690（CVSS 9.1）允许经过身份验证的管理员通过创建一个包含序列化PHP对象的备份文件，在pfSense CE 2.7.2上实现远程代码执行。
HIGHDrayTek Vigor 2960 操作系统命令注入漏洞允许未经认证
CVE-2022-50994 (CVSS 8.1): 未经认证的攻击者可以通过运行DrayTek Vigor 2960路由器的CGI登录处理器中的formpassword参数注入shell命令...
HIGHIvanti EPMM 零日漏洞 CVE-2026-6973 被有限攻击利用
Ivanti 警告 CVE-2026-6973，EPMM 12.8.0.0 及更早版本中的高严重性 RCE，正在受到有限的零日利用。补丁已可用；850+ EPMM 实例在线暴露。
CRITICALPalo Alto PAN-OS CVE-2026-0300 通过 Captive Portal 遭攻击
CVE-2026-0300 是 PAN-OS User-ID Authentication Portal 中的关键缓冲区溢出漏洞。修复版本尚属后续发布，应立即禁用或限制该门户。
CRITICALApache 修补关键 HTTP/2 双重释放漏洞 CVE-2026-23918
Apache HTTP Server CVE-2026-23918（CVSS 8.8）通过 HTTP/2 处理中的双重释放启用 DoS 和潜在 RCE。影响所有 mod_http2 用户。立即修补。
CRITICALFlowise RCE 漏洞 CVE-2026-41265 具有 CVSS 9.8
Flowise Airtable_Agent 中的 CVE-2026-41265 允许未经身份验证的远程代码执行，CVSS 评分为 9.8。ZDI 咨询详细说明了默认安装中的代码注入问题。
CRITICALCVE-2026-25874: 未修补的 Hugging Face LeRobot RCE 漏洞
CVE-2026-25874 (CVSS 9.3) 在 Hugging Face LeRobot 中通过不安全的反序列化启用未经认证的 RCE。
HIGHGitHub CVE-2026-3854 RCE漏洞可通过单个Git推送利用
CVE-2026-3854（CVSS 8.7）允许具有推送权限的认证用户通过精心制作的git推送命令在GitHub.com和GitHub Enterprise Server上实现远程代码执行。
CRITICALSGLang 漏洞 CVE-2026-5760 通过 GGUF 文件启用远程代码执行
CVE-2026-5760，SGLang 推理引擎中的一个关键 9.8 CVSS 漏洞，允许攻击者通过上传恶意 GGUF 模型文件来执行任意代码，危及 AI/ML 服务部署。
订阅更新
将最新的网络安全资讯直接发送到您的邮箱。