尽快修复！ Nacos权限绕过漏洞
微步情报局 2026-08-28 08:30 北京
点击查看漏洞详情
漏洞概况
Nacos是阿里巴巴开源的动态服务发现、配置管理和服务管理平台，是微服务架构体系中的核心基础设施组件之一，通常在企业内网部署，承担服务注册中心和配置中心双重角色。
近日，Nacos官方发布安全更新，修复了Nacos权限绕过漏洞。 该漏洞由于Nacos 3.0.0 至 3.2.3 版本存在鉴权作用域错配漏洞，攻击者可在未授权状态下利用此漏洞自建管理员账户，进而完全接管服务端。（完整漏洞情报请查阅https://x.threatbook.com/v5/vul/XVE-2026-53002）
Nacos是内网高价值攻击入口，该漏洞利用门槛极低(无需凭证、默认配置可利用、可自动化批量扫描)，建议所有受影响版本用户立即升级至3.2.4 及以上版本；无法立即升级的，应设置 nacos.core.auth.enabled=true并配置 token密钥，同时将 8848/9848端口限制在可信网段内。
漏洞处置优先级(VPT)
综合处置优先级：高风险
基本信息 | 微步编号 | XVE-2026-53002 |
漏洞类型 | 权限绕过 | |
利用条件评估 | 利用漏洞的网络条件 | 远程 |
是否需要绕过安全机制 | 否 | |
对被攻击系统的要求 | 无特殊要求 | |
利用漏洞的权限要求 | 无须用户权限 | |
是否需要受害者配合 | 否 | |
利用情报 | 是否有POC | 是 |
已知利用行为 | 暂无 |
漏洞影响范围
产品名称 | Nacos |
受影响版本 | 3.0.0<=version<=3.2.3 |
有无修复补丁 | 有 |
修复方案
官方修复方案
官方已发布修复方案，请访问链接下载：
https://github.com/alibaba/nacos/releases/tag/3.2.4
临时缓解方式
1、网络收敛（立即可做，无业务影响） 8848/9848/9849 及 console 端口限制到可信网段（安全组/防火墙）。Nacos 属内网设施，任何公网暴露都应回撤。
2、开启 Open API 鉴权：
nacos.core.auth.enabled=truenacos.core.auth.plugin.nacos.token.secret.key=<原串≥32字符的Base64，集群内各节点一致>
变更后重启生效。代价：所有 SDK 客户端必须改为携带用户名密码。灰度时先确认业务方，避免大面积拉取配置失败。
漏洞复现
微步产品支撑
微步漏洞情报于2026-08-20收录该漏洞。
微步下一代威胁情报平台NGTIP及X情报中心已于漏洞收录时向漏洞订阅用户推送该漏洞情报，并将持续推送后续更新；对于已经录入资产的用户，支持实时自动化排查受影响资产。
微步威胁感知平台TDP已于 20260828 支持检测，检测ID：S3100182106，模型/规则高于：20260828000000 可检出。
