每日 IT 安全摘要 · 2026-11-11（水）

覆盖时段：2026-11-10 09:10 JST → 2026-11-11 ~09:20 JST（含微软/SAP/Adobe 等 11 月例行补丁日）

1. 🔴 微软 11 月补丁日修复超 1,000 个漏洞，含已被在野利用的 Outlook 零日（CVE-2026-124194） — Outlook 零日已被 CISA 列入 KEV。另有多个 CVSS 9.8 的未认证 RCE：Windows DNS（CVE-2026-88218）、DHCP Server（CVE-2026-88243）、LDAP（CVE-2026-119958）、Kerberos 认证绕过（CVE-2026-85844）、SQL Server（CVE-2026-116945）；SharePoint 和 Azure DevOps 各有 9.9。Windows 11 对应 KB5132061 / KB5131087，请尽快部署，域控和 SQL Server 优先。各家统计的总数在 1,093–1,260 之间。
2. 🔴 React Server Components 未认证 RCE（CVE-2026-126187） — 影响 react-server-dom-webpack/parcel/turbopack 19.0–19.3.0，Next.js 等 RSC 框架都受影响。请升级到 19.0.9 / 19.1.10 / 19.2.9 / 19.3.1；纯客户端 React 不受影响。
3. 🔴 Git 修复 6 个漏洞，恶意仓库在递归克隆时可执行代码（CVE-2026-111760） — 另有协议 v2 HEAD 路径穿越、合并时堆破坏等问题。请升级到 Git 2.56.1（或 2.55.1/2.54.1 等回补版），GHES 也要升级。GitHub.com 已修复，Actions 运行器会陆续更新。
4. 🔴 Go 1.27.4 / 1.26.11 修复 12 个漏洞 — net/http 的 HTTP/1 服务器可被打崩（CVE-2026-97054），另有一批 cmd/go 构建期借助 cgo 标志或 .syso 文件执行代码的问题（CVE-2026-97033～97040 等）。构建不可信模块的 CI 要尽快升级；Tailscale/Headscale 下一版会带上这次修复。
5. CISA KEV 新增 6 个已被在野利用的漏洞 — 包括 Outlook（CVE-2026-124194）、Chromium（CVE-2026-125350，昨天已报）、Cisco BroadWorks XXE（CVE-2026-20320）、Openwave Webtop（CVE-2026-111793）和 Barracuda ESG 命令注入（CVE-2026-111560）。Barracuda 已被用来拿到 root（BleepingComputer）。
6. Xen Orchestra 严重认证绕过已被利用，可接管 XCP-ng 虚拟化主机 — 攻击者可拿到管理员权限。在用者请立刻更新，并且别把管理界面暴露到公网。
7. SAP 修复 4 个 CVSS 10.0 漏洞（ICM2SHELL、ProxyGate） — 影响 NetWeaver ABAP、Web Dispatcher 和 Gateway，未认证即可利用，其中两个能远程执行代码。
8. 🔴 iOS 沙箱逃逸 PoC 已公开，暂无修复确认，Binance 警告钱包私钥可能被读取 — 影响 iOS 26.7.1、27.0.1 和 27.2，恶意 App 可读取其他 App 的文件。同一天 Apple 发布的更新修复了 iMessage 群聊和蓝牙配对漏洞（Security NEXT），但没提到这个问题。先别装来路不明的 App。
9. 🔴 MongoDB Server 复制组件释放后重用（CVE-2026-118383，CVSS 9.0） — 另外 Node.js 的 Mongoose 修了 countDocuments 不走 sanitizeFilter、可被注入的问题（CVE-2026-125120，9.8）。两个都要升级。
10. Adobe 修复 9 个产品的 110 个漏洞 — Adobe Connect 有 5 个 CVSS 10.0（SSRF、路径穿越、CRLF 注入等），AEM 有多个 9.9 的代码注入 RCE。
11. 其他厂商月例：Ivanti EPM SQL 注入（CVE-2026-121653，9.8）、Ivanti Cloud Services 缺失认证（9.4）、Fortinet 约 50 条公告、Cisco ISE 授权绕过、Zoom Workplace Windows 版 9.6 — 在用这些产品的请按各自公告排期更新。
12. 🔴 云平台 Railway 遭入侵：客户认证密钥被盗，被刷约 74 万美元 AI 费用 — 在 Railway 上放过 API Key 的，请立即轮换。同类的还有 Fireworks AI 扩大披露：客户数据集、模型权重被访问（The Record）。
13. SGLang 推理引擎 RCE 被利用，NEAR AI 推理服务器失守，18 个 Agent、约 100 名用户的数据被盗 — 自建 LLM 推理服务别直接暴露到公网。
14. Mozilla Firefox 修复多个 CVSS 9.6 的沙箱逃逸 — 至少 7 个，分布在 IPC、Service Workers、Cache API 等组件。请把 Firefox / Thunderbird 更新到最新。
15. 日本泄露潮续报：宜得利（Nitori）约 3,762 万条客户记录可能外流 — 同一窗口还有：NTT Data 承接的住友生命「Vitality」约 8 万人；JAL 委托方 Amadeus 的部分预订信息被查看；九州電力送配電的电量数据；ティンパンアレイ约 120 万条会员信息；电子票务 teket 全线停服（piyolog）；アララ事件新增バルテス「Qbook」4.75 万个邮箱。