每日 IT 安全摘要 · 2026-11-09（月）

覆盖时段：2026-11-08 09:12 JST → 2026-11-09 ~09:10 JST

1. 🔴 OpenSSH SSHole（CVE-2026-123158）扫描/利用持续：SANS ISC 蜜罐数据 — 已报漏洞的跟进。长密码利用尝试 11/5 起明显出现，11/6 达 713 次，11/7 为 246 次，之后回落。影响 musl 且无 PAM 的 OpenSSH（如部分 Alpine 镜像）。请确认已升到 10.6p2+，并检查对外暴露的 Alpine 容器或主机。
2. OpenAM 16.1.4 前多处 Critical：未认证读取在线会话令牌（CVE-2026-123551，CVSS 10.0）、SAML ECP 接受未签名断言绕过认证（CVE-2026-123550，9.8）、自注册可设受限属性（CVE-2026-123549，9.8） — 身份认证中枢失守等于全站失守，在用 OpenAM 请立即升到 16.1.4。
3. IBM Concert 1.0–3.0.1.1 OS 命令注入（CVE-2026-6715 / CVE-2026-15266，CVSS 9.8） — 可执行任意系统命令。同窗 IBM 还披露 DataStage on CP4D 5.4.0.0 路径穿越（CVE-2026-107331，9.9）、Process Mining 2.0.0–2.2.1（CVE-2026-114464，9.3）、WebSphere eXtreme Scale 8.6.1.0–8.6.2.2（CVE-2026-101117，9.1）、Optim（CVE-2026-17466，9.1）。按 IBM 公告升级。
4. OpenEMR 多个 CVSS 9.8–9.9：Fee Sheet SQL 注入（CVE-2026-124469）、fax/sms 模块路径穿越与越权（CVE-2026-124450 / 124490）、一次性令牌限制失效（CVE-2026-124445） — 医疗电子病历系统，请升到 8.4.0（部分问题 8.3.0 已修）。
5. Craft CMS 5.0.0–5.11.1 GraphQL 授权绕过（CVE-2026-124427，CVSS 9.8） — 匿名 GraphQL 客户端可读取超出权限范围的 section 条目。请升到 5.11.2。
6. imgproxy 4.0.0–4.0.15 ICO 解码整数溢出（CVE-2026-123614，CVSS 9.8） — 构造的 ICO 图片可触发堆溢出。常以 Docker 部署在图片 CDN 前端，请升到 4.0.16。
7. UnrealIRCd 6.2.7.1 修复 CVE-2026-114713 — IRCv3「label」标签转义缺陷，任意用户可向服务器间流量注入换行，以服务器权限执行命令。已发布热补丁，自建 IRC 网络请立即更新。
8. 🔴 Windows「画图」代码执行漏洞 CVE-2026-83844，CVSS 由 8.1 下调至 7.0 — 修复经 Microsoft Store 分发，需确认 Store 应用更新未被策略禁用。
9. Home Assistant 令牌问题披露：refresh token 密钥明文存于 .storage/auth，两类令牌永不过期，改密码不会吊销 — 研究者针对 core 2026.11.0 测试。在用 HA 的请保护好配置备份，改密码后手动删除长期令牌。
10. FBI、CISA 等 5 机构联合警告：针对工业冷冻冷藏与冷链监控系统的攻击 — 篡改温度会影响食品与药品，建议勿把控制器暴露于公网。
11. 日本泄露潮续报：花キューピット 423 万 8,242 件会员信息泄露 — 同窗还有：アイリスオーヤマ外部云服务受侵、约 770 万人信息可能外泄（BleepingComputer）；GMOコマース经委托商アララ泄露 221 万 3,960 个邮箱；ソニー生命「お客さま WEB サービス」致メディケア生命约 38.5 万件泄露；チームスピリット开发服务器被入侵泄露 28,824 件；总务省消防庁「安否情報システム」被入侵后停用；警视厅安否邮件系统受アララ波及。
12. Vim 9.2.1309 前拼写文件堆溢出、9.2.1308 前 socket 目录不安全 — 官方评级 Low/Medium，CVE 申请中。Linux 主机随发行版更新即可。