信息安全漏洞周报（2026年第42期）
原创 CNNVD 2026-10-23 22:05 北京
根据国家信息安全漏洞库（CNNVD）统计，本周（2026年10月12日至2026年10月18日）安全漏洞情况如下
点击蓝字 关注我们
漏洞情况
根据国家信息安全漏洞库（CNNVD）统计，本周（2026年10月12日至2026年10月18日）安全漏洞情况如下：
公开漏洞情况
本周CNNVD采集安全漏洞4743个。
接报漏洞情况
本周CNNVD接报漏洞45548个，其中信息技术产品漏洞（通用型漏洞）634个，网络信息系统漏洞（事件型漏洞）9个，漏洞平台推送漏洞44905个。
一
公开漏洞情况
根据国家信息安全漏洞库（CNNVD）统计，本周新增安全漏洞4743个，漏洞新增数量有所上升。从厂商分布来看微软公司新增漏洞最多，有1440个；从漏洞类型来看，缓冲区错误类的安全漏洞占比最大，达到20.47%。新增漏洞中，超危漏洞730个，高危漏洞2189个，中危漏洞1652个，低危漏洞172个。
（一） 安全漏洞增长数量情况
本周CNNVD采集安全漏洞4743个。
图1 近五周漏洞新增数量统计图
（二） 安全漏洞分布情况
从厂商分布来看，微软公司新增漏洞最多，有1440个。各厂商漏洞数量分布如表1所示。
表1 新增安全漏洞排名前五厂商统计表
本周国内厂商漏洞128个，威联通科技公司漏洞数量最多，有27个。国内厂商漏洞整体修复率为35.94%。请受影响用户关注厂商修复情况，及时下载补丁修复漏洞。
从漏洞类型来看，缓冲区错误类的安全漏洞占比最大，达到20.47%。漏洞类型统计如表2所示。
表2 漏洞类型统计表
（三） 安全漏洞危害等级与修复情况
本周共发布超危漏洞730个，高危漏洞2189个，中危漏洞1652个，低危漏洞172个。相应修复率分别为89.73%、87.07%、79.06%和54.07%。根据补丁信息统计，合计3960个漏洞已有修复补丁发布，整体修复率为83.49%。详细情况如表3所示。
表3 漏洞危害等级与修复情况
（四） 本周重要漏洞实例
本周重要漏洞实例如表4所示。
表4 本期重要漏洞实例
1. Adobe Commerce 代码注入漏洞（CNNVD-2026-36255685）
Adobe Commerce是美国Adobe公司的一款面向商家和品牌的全球领先的数字商务解决方案。
Adobe Commerce存在代码注入漏洞，该漏洞源于对特殊元素中和不当，攻击者利用该漏洞可以提升权限并执行任意代码。
目前厂商已发布升级补丁以修复漏洞，参考链接：
https://www.adobe.com/trust/security/products/commerce/apsb26-153.html
2. Google Chrome 资源管理错误漏洞（CNNVD-2026-47350002）
Google Chrome是美国Google公司的一个跨平台Web浏览器。
Google Chrome 155.0.8059.79之前版本存在资源管理错误漏洞，该漏洞源于内存释放后重用，攻击者利用该漏洞可以通过特制HTML页面在沙箱内执行任意代码。
目前厂商已发布升级补丁以修复漏洞，参考链接：
https://chromereleases.googleblog.com/2026/10/stable-channel-update-for-desktop_01668083673.html
3. IBM DataStage on Cloud Pak for Data 命令注入漏洞（CNNVD-2026-85228395）
IBM DataStage on Cloud Pak for Data是美国IBM公司的一款支持大规模数据集成、转换与处理的数据平台软件。
IBM DataStage on Cloud Pak for Data 5.4.0.0版本存在命令注入漏洞，该漏洞源于对操作系统命令中使用的特殊元素中和不当，攻击者利用该漏洞可以执行任意命令。
目前厂商已发布升级补丁以修复漏洞，参考链接：
https://www.ibm.com/support/pages/node/7288649
（五） 本周重要人工智能漏洞实例
本周重要人工智能漏洞实例如表5所示。
表5 本期重要人工智能漏洞实例
1. DeepSeek 信息泄露漏洞（CNNVD-2026-41538350）
DeepSeek是中国DeepSeek公司的一个大语言模型。
DeepSeek V4存在信息泄露漏洞，该漏洞源于访问控制不当，攻击者利用该漏洞可以获取敏感信息。
目前厂商已发布升级补丁以修复漏洞，参考链接：
2. Mervin Praison PraisonAI 输入验证错误漏洞（CNNVD-2026-64890438）
Mervin Praison PraisonAI是Mervin Praison个人开发者开源的一个低代码多智能体协作框架。
Mervin Praison PraisonAI 1.6.62之前版本存在安全漏洞，该漏洞源于未对主机、端口或解析地址进行验证，攻击者利用该漏洞可以获取敏感信息。
目前厂商已发布升级补丁以修复漏洞，参考链接：
https://github.com/MervinPraison/PraisonAI/security/advisories/GHSA-4pcv-mg8v-vrgf
3. sgl-project SGLang 资源管理错误漏洞（CNNVD-2026-42989015）
sgl-project SGLang是sgl-project组织开源的一个用于加速大模型推理的编程语言与运行时系统。
sgl-project SGLang 0.5.21及之前版本存在资源管理错误漏洞，该漏洞源于没有限制内存的分配，攻击者利用该漏洞可以耗尽内存，从而导致系统拒绝服务。
目前厂商已发布升级补丁以修复漏洞，参考链接：
https://github.com/sgl-project/sglang/releases
二
漏洞平台推送情况
本周CNNVD接收漏洞平台推送漏洞44905个。
表6 本周漏洞平台推送情况
三
接报漏洞情况
本周CNNVD接报漏洞643个，其中信息技术产品漏洞（通用型漏洞）634个，网络信息系统漏洞（事件型漏洞）9个。
表7 本周漏洞报送情况
四
收录漏洞通报情况
本周CNNVD收录漏洞通报252份。
表8 本周漏洞通报情况
本文转载自微信公众号「CNNVD安全动态」，查看原文。版权归原作者所有，如有侵权请联系删除。