机房安全速递第 2 期（9.18–9.29）：6 个已被实际利用的漏洞

这一期覆盖 9 月 18 日到 9 月 29 日。美国 CISA 的已知被利用漏洞目录（KEV）在这段时间新增 13 条，其中和学校常见设备、软件相关的有 6 条，列在下面。

**进入这个目录的前提是：已经在真实攻击中被利用，并且厂商已经给出了修复办法。**所以这里列出的不是“可能有风险”，而是“已经有人在打，补丁也有了”。本站只写问题和影响，不写利用方法。

1. Citrix NetScaler

CVE-2026-88772 · 收录于 2026-09-27 · CISA 要求美国联邦机构在 2026-09-30 前修复

Citrix NetScaler ADC 与 NetScaler Gateway 存在内存缓冲区边界内操作限制不当的漏洞，远程攻击者可能借此执行任意代码或造成服务拒绝。学校若将其用于远程接入与教务系统，需尽快处置以免影响访问。

CVE-2026-88771 · 收录于 2026-09-27 · CISA 要求美国联邦机构在 2026-09-30 前修复

Citrix NetScaler ADC 与 NetScaler Gateway 对输入校验不充分，未经身份验证的攻击者可能借此执行任意命令，对承载远程办公和选课等业务的网关构成直接威胁。

CVE-2026-67279 · 收录于 2026-09-25 · CISA 要求美国联邦机构在 2026-09-28 前修复

MikroTik RouterOS 在会话流程的约束上存在缺陷，未经认证的客户端可建立会话通道并发送执行请求，进而可与其他漏洞组合实现未授权利用。机房出口与办公区的相关路由器应纳入排查范围。

CVE-2026-65660 · 收录于 2026-09-25 · CISA 要求美国联邦机构在 2026-09-28 前修复

Microsoft SharePoint 存在代码注入漏洞，已通过身份验证的攻击者可在网络上借助其执行代码，部署在校园内部的协同与文档站点需重点排查。

CVE-2026-87902 · 收录于 2026-09-25 · CISA 要求美国联邦机构在 2026-09-28 前修复

WordPress Core 存在远程文件包含漏洞，未授权攻击者可让页面模板解析指向主题目录之外的本地脚本文件，并最终导致远程代码执行。许多院系与学生社团自建的站点都基于该系统，应及时更新。

CVE-2026-7273 · 收录于 2026-09-21 · CISA 要求美国联邦机构在 2026-09-24 前修复

Zyxel GS1900 系列交换机的 CGI 程序存在栈缓冲区溢出漏洞，位于同一局域网内且未认证的攻击者可通过构造的 HTTP 请求触发，并有可能进一步执行操作系统命令。

按厂商公告升级到修复版本。暂时升不了的，先把对应服务从公网收回内网或加访问控制，再排期升级。校园网里最该先看的是直接暴露在公网上的那几台：出口防火墙、VPN 网关、邮件网关、对外的 Web 服务。

本期漏洞集中在校园常用的网络出口与协作平台，包括远程接入网关、出口路由器、协同文档与建站系统以及楼层交换机。运维排查时建议先看承担对外服务的网关与边界设备，再处理内部协作和站点类系统，确保远程接入与办公网络不被攻破。

数据来源：CISA 已知被利用漏洞目录（KEV），该数据以 CC0 1.0 发布。中文说明为本站整理，不构成安全建议；请以厂商公告为准，打补丁前先在测试环境验证，并做好回滚准备。