安全情报日报 2026-10-29
01漏洞与在野利用
攻击者开始探测 Oracle 业务套件高危漏洞
跟进 2026-10-23 报道：Defused Cyber 观测到攻击者已开始探测上周补丁中修复的 CVE-2026-101767（CVSS 9.8）。该缺陷位于 Oracle E-Business Suite 的 Oracle Application Object Library，属认证不当问题，补丁发布数日即出现针对性探测。
运行未修补 Oracle E-Business Suite 的企业已成为定向探测对象——这类系统承载企业核心业务流程，从探测到利用的窗口通常很短。
确认上周 Oracle 补丁已覆盖 CVE-2026-101767；收敛 E-Business Suite 对外暴露面，并检索 Web/应用日志中的探测请求。
VMware ESX 在野利用漏洞入选 KEV
CISA 于 2026-10-28 将 Broadcom VMware ESX 的 CVE-2026-41709 列入已知被利用漏洞目录（KEV），确认存在在野利用；处置口径为按厂商指引应用缓解措施、遵循 BOD 26-04 并按其云服务条款执行，无缓解手段则停用该产品。
ESX 是企业虚拟化底座，条目确认在野利用后，运行未缓解 ESX 的数据中心整体处于被攻陷风险面内；联邦侧资产须在 BOD 26-04 时限内处置并完成取证分诊要求。
按 Broadcom 厂商指引为 VMware ESX 应用升级/缓解；逐台评估互联网暴露，按 BOD 26-04 口径排期修补与取证分诊。
Linux Kernel 在野利用漏洞入选 KEV
CISA 于 2026-10-28 将 Linux Kernel 的 CVE-2026-46300 列入已知被利用漏洞目录（KEV），确认在野利用；要求按厂商指引应用缓解措施、遵循 BOD 26-04（含云服务条款），无缓解则停用产品，并执行取证分诊要求。
内核级在野利用波及所有发行版用户——Linux 主机是云上与自建机房的主要底座，未更新内核的存量机器需要按 KEV 时限优先处置。
按各发行版厂商公告更新内核至修复 CVE-2026-46300 的版本；对照 BOD 26-04 清点长尾未更新主机。
MLflow 未认证服务器可被远程执行代码
GitHub 安全通告披露 CVE-2026-116692（critical，CVSS 9.8）：MLflow 在第三方 scorer 反序列化时接受请求可控的 Python 模块路径并同步导入实例化，未认证服务器上可致远程代码执行。该反序列化能力由 MLflow 3.12.0 引入，修复版本 3.17.0。
以未认证方式运行的 MLflow tracking server 直接暴露远程代码执行面；承载实验记录与模型工件的团队环境一旦失陷，攻击者可借调用方放置的 artifact 模块进入服务器。
升级 mlflow 至 3.17.0；清查对外可达且未启用认证的 MLflow 服务，限制第三方 scorer 反序列化入口。
Adobe 修补 Campaign Classic 8 项关键漏洞
Adobe 发布补丁修复 Campaign Classic 的 8 项关键漏洞，成功利用可致任意代码执行、安全功能绕过与权限提升；清单含 CVE-2026-104351（CVSS 9.9）代码注入缺陷，当日 NVD 另收录同产品 CVE-2026-105781（评分 10.0）与 CVE-2026-104353（9.9）。
Campaign Classic 是企业营销自动化后台，攻击者可由代码注入直达当前用户上下文的任意代码执行；补丁已就位，未升级实例暴露面持续存在。
应用 Adobe 本轮补丁，优先覆盖 CVE-2026-104351 等 9.9/10.0 分缺陷；核对同批 8 项 CVE 清单是否全部修复。
OAuthLib 设备码流程可被冒领令牌
GitHub 通告 CVE-2026-49272（high，CVSS 8.5）：OAuthLib 的设备授权流程中，以 grant type urn:ietf:params:oauth:grant-type:device_code 携带 bogus device_code 调用 token 端点，只要知道一个启用设备流程的有效 client ID 就能取回 bearer token，不符合 RFC 8628 第 3.4 节；修复版本 4.0.0。
凡以 OAuthLib 实现设备码登录的认证服务，攻击者无需任何用户交互即可冒领 bearer token，等同绕过设备码流程的授权环节。
升级 oauthlib 至 4.0.0；自查依赖该库的 IdP/CLI 登录服务是否校验 device_code 归属。
Ajenti 面板未认证用户可远程执行代码
GHSA CVE-2026-27975（high，CVSS 9.8）：服务器管理面板 Ajenti 允许未认证用户获取服务器访问并执行任意代码，官方确认修复于 2.2.13 并建议尽快升级。
对公网暴露的 Ajenti 管理入口相当于未授权远程代码执行通道，持有其管理的服务器全部资产面临失陷。
升级 aj 至 2.2.13；同时核查 Ajenti 面板是否直接暴露于公网。
02重大安全事件
PHP2Shell 叠加内核提权攻陷政府关联网络
研究者披露一起疑似 AI 辅助、归因为疑似 China-nexus 威胁组织的攻击：2026 年 10 月 25 日观测到的活动中，攻击者将 PHP2Shell 漏洞与内核提权利用串联，攻下 25 台暴露服务器并渗透进一个政府关联网络。
这是 PHP2Shell 从扫描探测走向完整失陷链（入口漏洞+内核提权+横向）的首个公开实例细节，未修补 PHP 的公网服务器与同类 Web 栈环境均属同一目标画像。
立即修补 PHP2Shell 相关版本并复核暴露面；对 10 月 25 日前后的 PHP 主机排查异常提权、持久化与外联痕迹。