每日安全动态推送(26/2/2)

• Ivanti EPMM 零日远程代码执行漏洞遭利用

Ivanti 披露了其 Endpoint Manager Mobile (EPMM) 中两个关键的零日远程代码执行 (RCE) 漏洞，编号为 CVE-2026-1281 与 CVE-2026-1340。这两个漏洞的 CVSS 评分为 9.8，允许未经身份验证的攻击者远程执行任意代码，从而访问敏感信息、篡改设备配置，甚至控制整个移动设备管理 (MDM) 基础设施。CISA 已将 CVE-2026-1281 加入其已知被利用漏洞 (KEV) 目录，并要求联邦机构在 2026 年 2 月 1 日前完成修复。Ivanti 已发布热补丁和升级版本以缓解风险，并建议用户进行日志分析、网络隔离和配置审查以检测潜在的利用行为。

• PLY 中通过 picklefile 参数的未记录远程代码执行漏洞

在废弃的 Python PLY 库中发现了一个关键的远程代码执行（RCE）漏洞（CVE-2025-56005），该漏洞源于 yacc() 函数中未在文档中说明的 'picklefile' 参数，该参数通过 Python 的 pickle 模块反序列化不可信数据。攻击者可在解析器初始化期间执行任意代码。由于该项目已不再维护，因此不会提供官方补丁。建议开发者避免使用 picklefile 参数，并检查代码是否存在注入风险。该漏洞的 CVSS 评分为 9.8，表明其严重性极高。

• Grist 沙箱逃逸漏洞（CVE-2026-24002）

Grist 电子表格工具中发现一个关键沙箱逃逸漏洞（CVE-2026-24002），CVSS 评分为 9.1。该漏洞允许攻击者通过合法的数据处理路径逃逸 Pyodide 沙箱，实现远程代码执行（RCE）。攻击者可利用恶意公式或脚本执行任意系统命令或 JavaScript，可能导致数据泄露、凭证窃取和横向移动。此漏洞由 Cyera Research Labs 发现，Grist 安全团队已发布修复版本 1.7.9，并默认启用 Deno 运行时以增强安全性。受影响用户应立即升级并避免禁用新沙箱机制。

• SolarWinds Web Help Desk 远程代码执行漏洞

SolarWinds Web Help Desk 被发现存在多个关键漏洞，其中最严重的是 CVE-2025-40551，该漏洞允许未经身份验证的攻击者通过 Java 反序列化实现远程代码执行（RCE）。该漏洞涉及 AjaxProxy 组件中的反序列化缺陷、硬编码凭证、跨站请求伪造（CSRF）及请求过滤器绕过等技术。攻击者可通过修改 URI 并注入恶意 gadget 来绕过安全控制，从而执行任意代码。SolarWinds 已发布修复补丁，建议用户立即升级至 WHD 2026.1 以缓解风险。

• vm2 沙箱逃逸漏洞（CVE-2026-22709）

Node.js 沙箱库 vm2 中发现了一个关键的沙箱逃逸漏洞（CVE-2026-22709），攻击者可以利用该漏洞绕过安全限制并执行任意代码。该漏洞源于对全局 Promise 对象处理不当，攻击者能够访问 Function 构造器，从而实现对底层系统的任意代码执行。漏洞影响版本 3.10.0，已在 3.10.2 中修复。由于缺乏替代方案，vm2 仍然被广泛使用，尽管此前曾被弃用并停止维护。此次漏洞再次凸显了 JavaScript 沙箱隔离的困难，维护者建议用户升级版本，并考虑使用如 isolated-vm 或 Docker 等更安全的替代方案。

• SagaEVM漏洞攻击事件：因EVM预编译漏洞导致700万美元损失

本文深入剖析了SagaEVM遭受700万美元黑客攻击的技术根源，揭示了一个因继承自Ethermint EVM的预编译桥漏洞所引发的稳定币无限铸造问题，为DeFi项目在使用分叉代码时的安全性提供了重要警示。

• Dormakaba Kaba exos 9300 物理门禁系统漏洞披露

SEC Consult 披露了 Dormakaba Kaba exos 9300 物理门禁系统中多个严重漏洞，包括未认证的 SOAP API 访问、硬编码凭证、不安全的密码派生函数以及权限提升漏洞。攻击者可以远程或通过本地访问系统，篡改访问日志、控制门禁控制器，并未经授权访问数据库或重设系统配置。漏洞影响多个固件版本，部分漏洞已分配 CVE 编号，包括 CVE-2025-59090 至 CVE-2025-59096。厂商已发布修复补丁和缓解建议。

* 查看或搜索历史推送内容请访问：* 新浪微博账号：腾讯玄武实验室* 微信公众号：腾讯玄武实验室