相比昨天
- NEW — Citrix NetScaler：CVE-2026-107406 是新的 Critical SAML 相关内存溢出，在不同条件下可达到 RCE 或 DoS，并改变前一轮 NetScaler 补丁后的安全基线。
- NEW — BeyondTrust Remote Support：BeyondTrust 将 BT26-05-RS 定为 Critical；SaaS 实例计划在 10 月 9 日自动修补，部分未启用自动 Critical 更新的自托管环境需要手动安装。
- NEW — Hermes Agent：Tenable 披露 PKCE session takeover，根因是 Python URL parser 与浏览器 WHATWG parser 对 redirect URI 的解释不同。
- UPDATED — 日本未授权访问注意喚起：JPCERT/CC 更新国内连续事件警报，特别提到 BI、员工管理等原本并非面向不特定公众使用、但实际上可以从外部触达的系统。
优先行动
- 立即：按 SAML 前提条件确认受影响 NetScaler，并升级到 14.1-73.46、13.1-64.29 或对应 FIPS/NDcPP 修复 build。
- 立即：确认 BeyondTrust Remote Support SaaS patch 状态；没有启用自动 Critical 更新的 self-hosted 环境手动应用 BT26-05-RS 修复。
- 今日：Hermes Agent 升级到 0.21.6 或更高版本，检查对不可信用户开放的 OAuth/native-login endpoint。
- 今日：日本组织盘点可从互联网访问的管理、BI、员工系统，即使这些系统最初只计划面向内部或有限用户。
重点关注
Citrix NetScaler CVE-2026-107406 可导致 RCE 或拒绝服务
- Severity
- Critical
- Status
- 引用的 Citrix 公告未确认在野利用
- CVSS
- 9.5 (CVSS v4)
- CVE
- CVE-2026-107406
- Affected
- 满足版本特定 SAML SP/IdP 前提条件的客户自管 NetScaler ADC/Gateway
CVE-2026-107406 是新的 memory overflow，技术影响高于此前 CVE-2026-88779。暴露条件取决于 NetScaler 版本，以及设备是否作为 SAML SP、IdP，部分过渡版本则只在 IdP 场景受影响。
升级到 14.1-73.46、13.1-64.29 或对应 FIPS/NDcPP 修复版本。此前已针对前一项 NetScaler 漏洞升级的设备也要重新核对，因为新的 fixed build 已发生变化。
Sources (1)
BeyondTrust Remote Support BT26-05-RS 需要自托管环境确认补丁状态
- Severity
- Critical
- Status
- Vendor advisory；本文不推断主动利用
- Affected
- BT26-05-RS 覆盖的 BeyondTrust Remote Support
BeyondTrust 在 10 月 9 日公布 Critical Remote Support 漏洞。SaaS 实例由厂商自动修补；未启用 automatic critical updates 的 self-hosted 客户需要自行安装。
按实际 deployment 检查 patch state，不因为使用了 BeyondTrust 就假设已经自动修复。Remote Support 同时应限制管理员访问并保留审计日志。
Sources (1)
重要漏洞
Hermes Agent PKCE redirect parser 差异可泄露 authorization code
- Severity
- High
- Status
- Tenable 未报告已确认利用
- CVSS
- 8.8 (CVSS v3) / 8.6 (CVSS v4)
- Affected
- Hermes Agent 0.21.6 之前版本
native authorization flow 用 Python URL parser 校验 redirect URI，但之后把未经规范化的原始值交给浏览器。浏览器 WHATWG parsing 对反斜杠的解释不同；再结合由攻击者选择的 PKCE challenge，authorization code 可被发送到攻击者控制的 origin，并兑换成受害者 token。
升级到 0.21.6 或更高版本。检查异常 native authorization request，以及包含 parser confusion 字符的 redirect URI。
Sources (1)
其他重要动态
JPCERT/CC 更新日本国内连续未授权访问警报
- Severity
- High
- Status
- 基于多起已确认事件的 operational alert；不同案例技术手段并不相同
- Affected
- 运行公网可触达应用、BI、员工管理系统的日本组织
JPCERT/CC 表示 9 月前后国内多次出现未授权访问导致的个人信息泄露。注意喚起特别提到，一些管理和运营方并未计划面向不特定公众开放的系统，实际上仍可从外部访问并成为受害目标。
盘点外部可达系统，核对 authentication/access control，并检查异常查询与数据导出。JPCERT/CC 同时说明技术信息仍有限且零散，因此不能把这些事件归为同一个 exploit chain。
Sources (1)
今日观察
- 10 月 9 日的 Citrix 事项不是简单重复 CVE-2026-88779；新公告同时改变了技术影响和需要达到的 fixed build。
- JPCERT/CC 明确表示现有技术信息有限且碎片化，因此这组国内事件适合推动 exposure review，不适合强行归因到单一漏洞。
0 条评论