InfraTrust 报告警告关键网络基础设施中的漏洞正被利用

攻击者正在积极利用关键网络基础设施中的漏洞，而被称为 "PHP2Shell" 的 PHP 缺陷使防火墙、VPN、应用交付控制器和其他设备的 Web 管理界面面临风险。

这些发现来自 Eclypsium 的 10 月 InfraTrust Pulse，这是一份追踪影响网络设备、服务器、固件、芯片和其他基础设施的安全公告的月度报告。

在 9 月 18 日至 10 月 14 日期间，InfraTrust 追踪了 18 家厂商的 133 份新安全公告，涵盖 2,813 个漏洞。

在这些公告中，37 份被评为严重，五份的最高 CVSS 评分为 10.0，58 份可在无需身份验证的情况下被远程利用。

16 份新发布的公告包含因正被积极利用而列入 CISA 已知被利用漏洞目录（KEV）的漏洞。

该报告还警告称，许多网络设备（包括防火墙、VPN 网关、应用交付控制器和网络附加存储设备）将 PHP 嵌入其管理界面。

由于厂商将 PHP 编译进设备固件，客户通常无法自行安装近期的 PHP 安全更新，而必须等待各厂商发布更新的固件。

因此，InfraTrust 建议管理员在等待 PHP2Shell 补丁期间，确保基于 PHP 的管理界面不暴露于互联网。

关键基础设施遭受攻击

一些最严重的漏洞影响位于企业网络边缘或用于管理其他基础设施的系统。

威胁行为者针对这些设备，因为它们可以提供对企业环境的初始访问，或作为进一步攻击的跳板。

InfraTrust 强调的正在被积极利用的缺陷包括：

• Citrix NetScaler ADC 和 Gateway：CVE-2026-88771 和 CVE-2026-88772 于 9 月 27 日披露，此前已观察到针对未打补丁设备的攻击。另一个影响配置了 SAML 的设备的 NetScaler 缺陷 CVE-2026-88779，在检测到利用后也被列入 CISA 的 KEV 目录。
• Ivanti Connect Secure：CVE-2026-104935 允许未认证的远程攻击者在易受攻击的 VPN 网关上执行任意命令。Ivanti 在发布公告时表示已利用有限数量的客户。CISA 随后将其加入 KEV。
• Check Point Security Management Server：CVE-2026-93616 允许未认证攻击者在管理和日志系统上上传并执行脚本。Check Point Research 于 9 月 12 日观察到利用该缺陷的针对性攻击，目标是 Spark 客户。
• Cisco Catalyst SD-WAN Manager：CVE-2026-76504 允许未认证攻击者绕过身份验证并获得对管理 API 的管理员访问权限。Cisco 于 9 月获悉其正被积极利用。
• Arista VeloCloud Orchestrator：CVE-2026-93952 是一个最高严重性缺陷，影响用于配置 SD-WAN Edge 设备的系统。Arista 表示它正被积极利用，并于 10 月 22 日披露了同一产品中第二个独立的被利用漏洞（CVE-2026-114625）。
• FortiMail：CVE-2026-104286 是一个严重的路径遍历缺陷，允许未认证攻击者通过 Web 界面写入任意文件。Fortinet 确认它在攻击中被利用。
• Cisco Secure Email Gateway：CVE-2026-76519 可让恶意电子邮件附件在易受攻击的系统上导致任意文件写入和以 root 身份执行命令。Cisco 于 10 月获悉其被利用。
• F5 BIG-IP APM：CVE-2026-94127 是一个严重的堆溢出，可允许在配置为 OAuth 授权服务器的系统上实现未认证远程代码执行。F5 表示该漏洞已被利用。
• PAN-OS 管理界面：Palo Alto Networks 报告 CVE-2026-0322 在针对防火墙的攻击中被利用，允许具有网络访问权限的已认证管理员以 root 身份执行代码。

PHP2Shell 暴露另一个问题

InfraTrust 还警告称，近期披露的 PHP2Shell 漏洞暴露了网络基础设施中的另一个弱点，因为许多设备将 PHP 直接嵌入其管理界面。

这两个 PHP 缺陷 CVE-2026-109618 和 CVE-2026-109619 允许未认证远程代码执行，PHP 项目于 10 月 21 日修复了它们。

虽然对这些漏洞的大部分关注集中在用 PHP 编写的网站和 Web 应用上，但 PHP 也被用于防火墙、应用交付控制器、VPN 设备和网络附加存储设备的管理界面。

对于受影响的设备，管理员通常无法自行更新 PHP，因为厂商将其直接编译进设备固件。相反，客户必须等待各厂商重新构建并发布包含已修补 PHP 版本的更新固件或软件。

在披露后不久，Palo Alto Networks、F5、NetScaler、Check Point 和 QNAP 确认其部分产品受到影响，同时仍在为设备开发修复。

该报告还强调了基础设施厂商捆绑到其产品中的其他软件组件中的类似问题。

CVE-2026-31431——一个被称为 Copy Fail 的 Linux 内核权限提升缺陷——现已在八家厂商的 29 份公告中出现，高于上月的六家厂商 19 份公告。

InfraTrust 还在捆绑组件中发现了较旧的、已被利用的漏洞，包括影响 HP LaserJet Enterprise 打印机的 Android 内核缺陷，以及 Dell Data Lakehouse 软件中一个 2020 年的 jQuery 漏洞。

InfraTrust 建议管理员优先修补 NetScaler 和 Ivanti Connect Secure，因为这些远程访问网关可以作为进入企业网络的门户。其次，它建议针对面向互联网的设备应用 Fortinet 于 10 月 22 日发布的 FortiOS、FortiManager 和 FortiAnalyzer 安全更新。

该报告随后建议重点关注 Check Point Security Management Server、Cisco Catalyst SD-WAN Manager、VeloCloud Orchestrator、FortiMail、Cisco Secure Email Gateway、受影响的 BIG-IP APM 系统以及 PAN-OS 管理界面。