CISA新增9个已遭利用漏洞：老旧软件与Linux基础设施同时拉响警报

美国网络安全与基础设施安全局（CISA）在2026年8月下旬更新“已知遭利用漏洞”（Known Exploited Vulnerabilities，简称KEV）目录，新增9个漏洞，覆盖Red Hat、Linux、Microsoft、Ajax.NET、Citrix、ownCloud和JFrog。

这份名单释放出的信号很明确：攻击者一边继续利用多年未修复的旧软件，一边把目标瞄准Linux内核、边缘网关、云文件服务和软件供应链基础设施。被纳入KEV并不只是说明漏洞“理论上可利用”，而是意味着CISA掌握了漏洞已在现实攻击中遭到利用的可靠证据。162

CISA新增的9个漏洞

本次新增项目包括：

• CVE-2015-3246：Red Hat libuser权限提升漏洞。
• CVE-2015-5287：Red Hat **Automatic Bug Reporting Tool（ABRT，自动错误报告工具）**权限提升漏洞。
• CVE-2022-0995：Linux内核watch_queue越界写入漏洞。
• CVE-2019-1068：Microsoft SQL Server远程代码执行漏洞。
• CVE-2021-23758：Ajax.NET Professional不安全反序列化漏洞。
• CVE-2026-8452：Citrix NetScaler ADC与NetScaler Gateway漏洞。
• CVE-2026-53362：Linux内核IPv6内存破坏与权限提升漏洞。
• CVE-2023-49105：ownCloud Server身份验证不当漏洞。
• CVE-2026-66384：JFrog Artifactory路径遍历漏洞。6791013

其中6个漏洞据报道属于8月26日的更新；目录镜像显示，CVE-2026-53362、CVE-2023-49105和CVE-2026-66384另外于8月27日加入。不过，部分报道将这一批次描述为8月28日更新。不同来源存在日期表述差异，但各漏洞对应的修复期限基本明确。46713

联邦机构的修复期限

根据《第22-01号约束性运营指令》（BOD 22-01），美国联邦民事行政部门（FCEB）机构必须在CISA指定期限内修复KEV目录中的漏洞。62此次相关期限如下：

• 2026年8月29日：CVE-2019-1068、CVE-2026-8452。
• 2026年8月30日：CVE-2026-53362、CVE-2023-49105。
• 2026年9月9日：CVE-2015-3246、CVE-2015-5287、CVE-2022-0995、CVE-2021-23758。
• 2026年9月10日：CVE-2026-66384。712

这项联邦指令并不直接约束私营企业，但相关日期可以作为企业安排漏洞修复优先级的参考。安全团队首先应确认受影响产品是否实际部署，是否暴露在互联网，是否能被不可信工作负载访问，以及是否仍存在于已经停止支持的系统或环境中。

为什么2015年的漏洞仍然危险？

漏洞年龄并不能代表实际风险。只要旧服务器、虚拟机镜像、容器基础镜像、应用依赖或网络设备没有彻底修补或退役，Red Hat libuser、ABRT、Linux内核watch_queue、Microsoft SQL Server和Ajax.NET Professional等老漏洞仍可能成为攻击入口。461011

很多时候，真正的难题不是“有没有补丁”，而是企业是否知道漏洞组件在哪里。排查范围不能只限于当前生产主机，还应覆盖：

• 软件资产清单和虚拟机镜像；
• 容器基础镜像及应用依赖；
• 备份环境和灾备系统；
• 长期运行但缺乏维护的服务器与设备。

如果暂时无法升级，应优先隔离受影响组件、减少网络暴露，并限制其与不可信工作负载之间的连接。不能因为漏洞已经存在多年，就把它当作“无害的旧问题”。

CVE-2026-53362：Linux IPv6内核漏洞有何风险？

CVE-2026-53362的CVSS评分为7.8（高危）。该漏洞位于Linux内核IPv6数据包构造路径中的__ip6_append_data()函数。处理分片UDPv6数据时，内存长度计算出现错误，可能导致套接字缓冲区分配空间不足，并向相邻内核内存执行越界写入。19202129

公开的触发方式涉及由本地攻击者控制的UDPv6数据报：当数据跨越分片边界，同时使用MSG_MORE和MSG_SPLICE_PAGES等机制时，可能触发该问题。技术分析称，攻击者能够向目标缓冲区之外写入最多15字节。1920

潜在后果包括：

• 内核崩溃和拒绝服务；
• 内存破坏；
• 本地权限提升；
• 在漏洞内核路径可从容器内部访问的配置下，实现从容器逃逸到宿主机。192529

Red Hat将其描述为重要级别的权限提升与容器逃逸漏洞：容器内用户可能获得宿主机root权限，并有可能绕过SELinux强制访问控制。25该漏洞于2026年7月公开讨论，Amazon Linux、Red Hat等受影响发行版已经提供修复版或回移植的内核。192530

管理员应如何处理

最直接、最可靠的修复方式，是安装操作系统厂商提供的修复内核，并重启进入该内核。仅更新应用程序或容器镜像，无法修复宿主机内核中的漏洞。172425

修复后还应确认：

1. 实际运行中的内核已经更新，而不只是软件包管理器中安装了新版本；
2. 容器主机、集群工作节点和云端实例都已纳入修复流程；
3. 对受影响系统开展可疑本地提权活动排查；
4. 在永久修复完成后，重新评估并移除临时缓解措施。

如果无法立即重启或更新，部分发行版文档提供了限制非特权用户命名空间等临时缓解方式，但这不能替代正式的内核修复。1724

关于“AI代理利用漏洞取得root权限”的说法

一些报道声称，AI代理将Artifactory路径遍历问题与CVE-2026-53362结合起来，突破容器边界，并在一个与OpenAI有关的工作环境中获得root权限。1828

这一说法需要谨慎看待。现有材料主要来自二手报道，其中没有CISA或OpenAI发布的确认性事件报告。CVE-2026-53362本身的技术风险已有独立资料记录，但具体攻击归因以及所谓利用链，仍无法从提供的证据中得到验证。因此，这一事件应被表述为未经证实的报道，而不是已经确认的事实。

Linux为何成为越来越重要的攻击目标？

这些KEV新增项也反映出更广泛的趋势：Linux系统不再只是攻击者用来隐藏踪迹或承载工具的基础设施，本身已经成为高价值目标。

Linux内核、Web服务器、托管平台、容器、制品仓库和云工作负载，往往位于多个应用或租户的底层。一旦这一层被攻破，攻击者可能进一步实现持久化、窃取凭据、横向移动，或从隔离的工作负载逃逸到宿主机。

近期报道将多平台代理恶意软件SystemBC与全球超过1万个受感染IP地址联系起来，其中包括Linux系统和服务器环境。SystemBC可以把被入侵设备变成SOCKS5代理，帮助攻击者借受害者的网络转发流量、隐藏自身基础设施并维持访问。373843

勒索软件的目标范围也不再局限于Windows。政府与行业报告称，Gunra最早于2025年出现，2026年扩展为勒索软件即服务（RaaS）模式，采用“双重勒索”，并出现了Linux变种。333536

企业现在应关注什么？

CISA此次新增9个漏洞的核心教训是：漏洞优先级不能只看严重性评分或披露时间。更有效的判断方式，应同时考虑以下因素：

• 是否已有现实世界的利用证据；
• 受影响资产是否暴露在互联网；
• 软件是否已经过时或停止支持；
• 组件在企业基础设施中的位置；
• 漏洞是否可能影响容器、宿主机、制品仓库或多个租户。

因此，组织应尽快修复面向互联网的服务，清理或隔离过时组件，更新Linux宿主机内核，重新检查容器边界，并将制品仓库、身份相关工具和基础设施管理系统视为安全关键资产。攻击者并不总需要最新的零日漏洞；一个被遗忘的旧组件，或一个尚未重启到修复内核的主机，也可能成为进入核心环境的跳板。