2026 Q3 CVE 漏洞利用加速，CISA KEV 新增100个新条目

本季度开局缓慢，收尾迅速。CISA在7月新增了26个漏洞，8月新增了31个。9月，数量跃升至43个。这种稳步上升表明，防御者每月面临数量更多的已确认威胁。

在100个新条目中，有49个CVE漏洞的CVSS评分为9.0或更高。CVSS中位数评分达到9.2。同时，21个漏洞的EPSS评分为50%或更高，平均EPSS达到25.3%。简而言之，这些漏洞大多既严重又可能遭受进一步攻击。

本文作者解析出100个CVE漏洞中58个漏洞的发布日期。在这些CVE漏洞中，从公开披露到列入KEV目录的中位间隔仅为44天。更糟的是，有15个漏洞，即26%的漏洞，在发布后七天内就遭到了利用。

漏洞的平均间隔则呈现不同情况，为443天。少数旧漏洞拉高了这一数字。例如，Ajax.NET Professional中的漏洞CVE-2021-23758在披露近五年后进入了前十名。攻击者显然仍在挖掘团队从未修复的遗留漏洞。

2026年第三季度CVE报告按弱点类型对漏洞进行了分组。有三个类别并列第一，各有六个CVE：

• CWE-78：操作系统命令注入

• CWE-94：代码注入

• CWE-287：身份验证不当

路径遍历（CWE-22）和不安全反序列化（CWE-502）各以五个的数量紧随其后。SQL注入、无限制文件上传、通过替代路径绕过身份验证以及越界写入各出现四次。

这种模式很常见。攻击者偏爱那些能让他们运行命令或完全跳过登录步骤的漏洞。这些漏洞通常不需要用户交互，因此自动化扫描可以大规模发现并利用它们。

CISA只有在有可靠证据表明存在积极利用时，才会将漏洞列入KEV目录。因此，每个CVE漏洞背后都有已确认的在野攻击。

最受针对的厂商

微软以12个被利用的CVE位居厂商榜首。思科以七个紧随其后，Linux以五个位居第三。前十名其余部分如下：

• Citrix、JFrog、Fortinet和SonicWall：各4个

• MikroTik、WordPress和Adobe：各3个

边缘设备再次引人注目。来自思科、Fortinet、SonicWall和MikroTik的防火墙、VPN网关和路由器直接暴露在互联网上，因此成为容易的首要目标。

按EPSS排名前十的被利用CVE

Metabase以94.2%的EPSS评分位居榜首。GitLab和Fortinet FortiSandbox紧随其后。值得注意的是，这十个中有四个的CVSS评分为满分10.0。由于这些产品中有许多处理代码、构建、分析或支付，因此一次入侵就可能迅速暴露敏感数据。

软件流水线在本季度出现频繁。GitLab、JetBrains TeamCity和JFrog都出现在数据中。这些工具存储源代码、密钥和构建凭据。因此，一台被入侵的服务器可以打开通往下游客户的路径。

管理控制台形成第二个集群。思科的防火墙管理平台和Progress LoadMaster控制整个网络的流量。攻击者一旦接管其中一个控制台，就可以更改规则、隐藏活动或深入环境内部。

最后，该列表还包括Adobe Commerce、Magento和PaperCut等业务应用。在线商店保存支付数据，而打印服务器通常位于受信任的网络区域内部。两者都对以经济利益为动机的团体具有吸引力。

2026年第三季度CVE报告为安全团队指出了几个明确的优先事项：

• 首先修复所有十个EPSS最高的漏洞，从Metabase、GitLab和FortiSandbox开始。

• 将每个KEV条目视为紧急事项。联邦机构必须满足CISA的截止日期，其他团队也应跟上这一节奏。

• 目标是在披露后七天内修复面向互联网的系统。

• 审计遗留软件中是否存在CVE-2021-23758等旧漏洞。

• 尽可能将防火墙、VPN和管理控制台从公共互联网上撤下。

• 将EPSS与CVSS结合使用，对补丁队列进行排序。

总体而言，数据呈现出一个明确趋势：利用量每月都在上升，攻击者在披露后数天内就采取行动。而跟踪KEV目录和EPSS的团队将在下一季度的威胁中保持领先。