1、Apache曝严重HTTP/2漏洞，未认证可远程执行代码

https://thehackernews.com/2026/11/critical-apache-http2-flaw-could-let.html

Apache HTTP Server的mod_http2模块存在严重远程代码执行漏洞CVE-2026-119618，Red Hat给出的CVSS评分为9.8，未认证攻击者只要能访问服务器即可触发，影响2.4.55至2.4.70版本，已在2.4.71中修复。Red Hat称有研究显示针对默认配置存在可靠利用，但Wiz表示未见公开 exploits 或在野利用，双方说法存在分歧。无法立即升级的用户可临时禁用HTTP/2（仅保留http/1.1）缓解。

2、Red Hat Quay曝两项严重漏洞，可读取并覆盖私有容器镜像

https://thehackernews.com/2026/11/critical-red-hat-quay-flaw-lets.html

Red Hat Quay容器镜像仓库存在两项严重漏洞。CVE-2026-123710（CVSS 9.8）允许攻击者注入永不过期的受信任签名密钥，进而为任意仓库伪造令牌，读取私有镜像及其中密钥并推送覆盖镜像；匿名访问默认开启时可被匿名利用。CVE-2026-110697（CVSS 9.9）则因SQL LIKE通配符未转义，可创建命名空间的用户能窃取其他租户的机器人账户令牌。所有Quay 3和Quay 5版本受影响，官方已为8个Quay 3分支发布修复版本，Quay.io已完成修补。

3、MongoDB严重预认证漏洞，可致副本集新主节点崩溃

https://thehackernews.com/2026/11/critical-pre-auth-mongodb-flaw-cve-2026.html

MongoDB副本集存在释放后使用漏洞CVE-2026-118383，CVSS 4.0评分9.5。未认证攻击者发送两个携带readConcern.afterOpTime的ping请求，即可植入永不过期的复制等待器；若该成员随后在落后状态下赢得选举，重复清理会触碰已释放内存，导致新主节点在接收写入前崩溃，且开启认证也无法拦截这些请求。Datadog Security Labs已独立复现该崩溃。官方已在8.0.37等各分支修复版本中解决，Atlas集群会在维护窗口自动打补丁。

4、Citrix修复12个NetScaler等漏洞，含认证绕过与本地提权

https://thehackernews.com/2026/11/citrix-patches-12-netscaler-and-secure.html

Citrix修复NetScaler ADC/Gateway、Console及Secure Access Client共12个漏洞，其中9个为严重内存溢出/损坏问题，最高CVSS评分9.5（CVE-2026-107412）。CVE-2026-120869（9.4）允许未认证攻击者绕过NetScaler Console认证访问受限资源；Windows和Linux版Secure Access Client另有两个低权限用户提权至SYSTEM/root的漏洞（8.5）。修复版本包括14.1-73.57、13.1-64.39及Console 14.1-74.34等，Citrix表示暂无已知在野利用，这批修复源于AI辅助代码分析开展的深度代码审查。

5、Node.js修复16个漏洞，HTTP/2可致崩溃并泄露其他连接数据

https://thehackernews.com/2026/11/nodejs-fixes-16-flaws-including-http2.html

Node.js一次性修复16个漏洞，其中7个为高危，8个涉及HTTP/2、HTTPS和TLS服务端实现。CVE-2026-123863可远程崩溃默认HTTP/2服务器；CVE-2026-123866可泄露服务器内存，包括其他连接的响应数据；CVE-2026-123864在特定处理器写法下可泄露TLS私钥等敏感材料。修复版本为22.23.5、24.22.3和26.13.1，官方未提供缓解措施，20.x等已停止维护的分支不会获得修复。目前暂无在野利用报告。

6、PTC修复Windchill与FlexPLM严重远程代码执行漏洞

https://thehackernews.com/2026/11/ptc-patches-critical-windchill-and.html

PTC Windchill和FlexPLM存在严重远程代码执行漏洞CVE-2026-126325，CVSS v4评分9.2，源于输入验证不当与不可信数据反序列化，攻击者可通过特制请求执行任意代码，影响11.0 M030至13.1.4.0等多个版本。PTC已为其托管的客户环境部署补丁，自托管客户需尽快更新，延迟修补时应限制网络暴露面并排查Web shell。此前同产品的另一RCE漏洞CVE-2026-12569曾被Cl0p关联攻击者在野利用，针对制造业企业实施数据勒索。

7、Windows CLFS零日PoC"SignDrop"公开，可提权至SYSTEM

https://thehackernews.com/2026/11/new-signdrop-zero-day-exploit-turns.html

安全研究员MSNightmare在微软补丁日发布Windows本地提权零日PoC"SignDrop"，滥用CLFS驱动（clfs.sys）2025年10月引入的日志签名保护机制中的逻辑缺陷：特权进程打开攻击者构造的日志时，恢复伴随文件会以特权令牌写入，借助路径重定向，低权限用户可获得SYSTEM创建且可修改的文件，最终获取SYSTEM权限，公开利用链依赖Defender运行。微软尚未确认该问题，未分配CVE也未发布修复，已有第三方验证其可行但稳定性不足。

8、4837个GitHub账号遭劫持，CI窃密攻击波及数千仓库

https://thehackernews.com/2026/11/4837-hijacked-github-accounts-ran-ci.html

Aikido Security与SafeDep分别披露一起大规模GitHub供应链攻击：攻击者利用4837个被劫持账号的凭据，向61764个仓库提交探测PR，并在至少1806个仓库植入CI凭据窃取器，搜集GitHub Actions密钥、OIDC令牌及AWS、Azure、GCP、npm等凭据；SafeDep另统计到8093个仓库收到恶意提交。攻击还可通过改写AWS角色信任策略、添加Azure AD联合凭据实现持久化，并已污染Packagist、Go模块等下游包。部分被劫持账号与10月的GhostAction攻击波重叠。

9、ScreenConnect攻击波及48家组织288个端点，MSP成跳板

https://thehackernews.com/2026/11/screenconnect-attacks-target-at-least.html

Huntress披露，攻击者入侵云托管ScreenConnect面板后，利用Run Command功能在受管端点静默安装流氓客户端，已影响至少48家组织的288个端点。SCKit工具包呈蠕虫式双向传播：技术员连接受感染机器时，恶意代码可反向感染其工作站、窃取浏览器会话与认证令牌，再横向进入其他面板。ConnectWise表示未发现新漏洞或自身基础设施被入侵，怀疑入口为凭据窃取或第三方扩展滥用，已预防性禁用5个第三方扩展，约400个合作伙伴环境装有相关扩展。

10、谷歌云警告AMD Turin处理器三项漏洞可跨进程泄露数据

https://thehackernews.com/2026/11/google-cloud-warns-three-amd-turin-cpu.html

谷歌云警告，三项瞬态调度器攻击（TSA）漏洞影响AMD第五代EPYC（Turin/Zen 5）处理器，涉及C4D、N4D、H4D、Z4D、G4系列实例。除早前披露的CVE-2024-36350（TSA-SQ）和CVE-2024-36357（TSA-L1）外，新增CVE-2026-0004（TSA-Fill）可使本地攻击者推断L1数据缓存内容。AMD修正了此前"Zen 5不受影响"的说法。谷歌已部署跨VM防护，但客户机仍需安装操作系统补丁并对实例执行停止再启动——仅重启客户机系统并不足够。

以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。