🔴 《严重安全漏洞：CVE-2026-64878》

CVSS 评分: 严重（9.4）　　状态: Received　　发布时间: 2026-07-21

漏洞简介

CVE-2026-64878 是一个存在于资产过滤参数（asset filter parameters）中的高危安全漏洞，其根本原因属于 CWE-78（操作系统命令注入，OS Command Injection）。该漏洞允许攻击者通过向 Analysis REST 端点（Analysis REST endpoint） 发送特制请求，利用未经验证的输入（unvalidated input）注入 shell 元字符（shell metacharacters），从而绕过正常的命令参数处理机制（command argument handling）。成功利用该漏洞后，攻击者可以以 低权限操作系统用户（low-privileged OS user） 的身份在目标系统上执行任意远程代码（remote code execution, RCE）。

影响范围

根据参考链接（Tenable 安全公告 TNS-2026-19），该漏洞影响特定版本的 Tenable 产品。具体受影响的软件及版本信息请参考官方公告原文。由于漏洞描述中未明确列出所有受影响版本，建议用户立即查阅 Tenable 官方安全公告以确认自身环境是否在影响范围内。

风险分析

  • 攻击向量与复杂度：攻击者可通过网络远程发起攻击（AV:N），攻击复杂度较低（AC:L），无需绕过额外的攻击门槛（AT:N），但需要拥有低权限账户（PR:L）且无需用户交互（UI:N）。
  • 影响后果：
    • 机密性、完整性、可用性（CIA）：漏洞利用可导致对受影响的系统组件造成高程度的机密性、完整性和可用性损害（VC:H/VI:H/VA:H），同时可能波及安全组件（SC:H/SI:H/SA:H）。
    • 权限提升：攻击者虽然仅能以低权限操作系统用户身份执行代码，但结合其他漏洞或系统配置，可能进一步实现权限提升或横向移动。
    • 潜在危害：成功利用该漏洞可导致攻击者完全控制受影响系统上的 Analysis 服务，执行任意命令、窃取敏感数据、植入后门或破坏系统正常运行。由于攻击入口为 REST 端点，该漏洞尤其威胁到暴露在公网或内部网络中的 Tenable 产品实例。

🔍 技术细节

字段 值
CVE ID CVE-2026-64878
CVSS 评分 9.4 🔴
严重程度 严重
CVSS 向量 CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
CWE 分类 CWE-78
发布时间 2026-07-21
最后更新 2026-07-21
状态 Received
数据来源 vulnreport@tenable.com

🔗 参考链接