最新文章
Top News
SQL 注入漏洞影响 40,000 个 WordPress 站点
HackerNews 编译，转载请注明出处：
...
Johnson Controls 多款产品曝高危漏洞，可遭远程 SQL 注入攻击
HackerNews 编译，转载请注明出处：
一份最新安全公告披露，Johnson Controls 旗下多款工业控制系统（ICS）产品存在一个严重的SQL注入漏洞。
该漏洞编号为CVE-2025-26385，其通用漏洞评分系统（CVSS v3）的严重性评分达到满分10.0，意味着对受影响基础设施构成最高级别的风险。
漏洞成因是命令注入中特殊元素的中和处理不当，远程攻击者无需身份验证即可执行任意 SQL 命令。攻击者成功利用该漏洞后，可篡改、删除或窃取受影响系统中的敏感数据。
该漏洞影响Johnson Controls 6 款产品，这些产品在全球关键基础设施领域广泛部署。该公司产品部署于商业楼宇、关键制造、能源生产、政府运营及交通系统等多个关键行业。由于这家总部位于爱尔兰的公司在全球范围内业务众多，此次漏洞引发全球性关注。
美国网络安全和基础设施安全局（CISA）建议各组织采取以下防御措施以降低风险：控制系统网络必须与公网隔离，部署在防火墙后方，且与业务网络基础设施实现物理隔离
受影响产品范围
该漏洞影响以下应用产品：
确需远程访问的机构，应部署搭载最新安全补丁的虚拟专用网络（VPN），同时需明确 VPN 安全性依赖于接入设备的完整性。对于无法立即打补丁的老旧系统，网络分段与物理隔离是核心防护手段。
截至2026年1月27日该公告发布之日，CISA尚未监测到该漏洞在野利用的公开报告。但鉴于该漏洞的高危等级及产品的广泛部署，系统管理员及安全团队需立即重点关注。
这份编号为 ICSA-26-027-04 的公告，是Johnson Controls 初始安全公告 JCI-PSA-2026-02 的重新发布版本。观察到任何可疑活动的组织，应向CISA报告，以便进行事件关联分析和全局威胁追踪。
此次漏洞由Johnson Controls 主动报告给CISA，遵循了协调披露流程，为安全团队在潜在攻击发生前争取了应对时间。各机构在部署防护措施前，应优先开展影响分析与风险评估，避免造成业务运营中断。
...
MOVEit 再现新漏洞，多个版本受影响
今年6月，文件共享工具MOVEit Transfer曾曝出SQL 注入漏洞，能让远程攻击者访问其数据库并执行任意代码。最近，MOVEit Transfer 母公司Progress Software又披露了三个新漏洞。
...
施耐德电气修补16 个 U.motion Builder 软件漏洞
据外媒报道，施耐德电气于上周向其客户通报说已修复 U.motion Builder 最新版本中的 16 个漏洞，其中包括那些被评为严重和高危的漏洞，例如可能导致信息泄露的路径遍历或者其他一些错误，以及通过 SQL 注入造成的远程代码执行缺陷。
U.motion 是全球各地商业设施、关键制造和能源部门使用的建筑自动化解决方案。而 U.motion Builder 则是一个允许用户为其 U.motion 设备创建项目的工具。
据悉，U.motion Builder 大多数安全漏洞已被归类为中等严重性，但也有一些安全漏洞基于 CVSS 评分来看非常严重。
最严重漏洞（CVE-2017-7494）的 CVSS 评分达到了 10，根据介绍，该漏洞允许远程执行代码，对 Samba 软件套件造成了一定影响。另外，由于与 WannaCry 攻击类似，它被业内一些成员称为“ SambaCry ”。目前该漏洞被发现影响了几家主要供应商的设备，其中包括思科、Netgear、QNAP、Synology、Veritas、Sophos 和 F5 Networks。
U.motion Builder 中另一个严重漏洞的标识为 CVE-2018-7777，该漏洞允许经过身份验证的攻击者通过向目标服务器发送特制请求来远程执行任意代码。
除此之外，一个 SQL 注入缺陷 CVE-2018-7765 也被列为高度严重。
这些问题影响到 U.motion Builder 1.3.4 之前的版本。目前施耐德除了提供补丁之外，还分享了一些缓解潜在攻击的建议。
...
趋势科技电子邮件加密网关曝多项安全漏洞，可获得 root 权限执行任意代码
外媒 2 月 25 日消息，Core Security 发现趋势科技基于 Linux 的电子邮件加密网关的 Web 控制台中存在多个安全漏洞（ CVE-2018-6219 ~ CVE-2018-6230），其中一些被评为严重等级的漏洞能够允许未经身份验证的远程攻击者以root权限执行任意命令。目前受影响的软件包是趋势科技电子邮件加密网关 5.5 （Build 1111.00）及更早版本。
...