🔴 《严重安全漏洞：CVE-2026-28698》

CVSS 评分: 严重（9.2）　　状态: Received　　发布时间: 2026-07-23

漏洞简介

CVE-2026-28698 涉及 Pronetiqs IntraVUE 软件版本 3.2.1a14 及更早版本 中存在的一个安全漏洞。该漏洞被归类为 CWE-497（敏感系统信息暴露给未授权控制域，Exposure of Sensitive System Information to an Unauthorized Control Sphere）。攻击者可以利用此漏洞，在未授权的情况下获取底层主机或共享文件系统（host/share filesystem）的敏感信息，从而可能进一步探测或攻击内部网络资源。

影响范围

  • 受影响产品：Pronetiqs IntraVUE
  • 受影响版本：3.2.1a14 及所有更早版本
  • 官方参考：CISA 已发布 ICS 公告（ICSA-26-204-04）确认该漏洞影响工业控制系统（ICS）环境中的该软件。

风险分析

根据 CVSS v4.0 评分向量（CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:H/SI:N/SA:N），该漏洞具有以下风险特征：

  • 攻击途径（AV:N）：攻击者可以通过网络远程发起攻击，无需物理接触目标系统。
  • 攻击复杂度（AC:L）：攻击难度低，无需特殊条件即可利用。
  • 所需权限（PR:N）：攻击者无需任何身份认证或有效账户即可触发漏洞。
  • 用户交互（UI:N）：无需受害者执行任何操作（如点击链接或打开文件）。
  • 机密性影响（VC:H / SC:H）：对受攻击系统（Vulnerable System）和后续安全域（Subsequent System）的机密性均造成 高 影响，意味着攻击者可能获取到主机文件系统、共享目录、配置文件、凭据等敏感数据。
  • 完整性影响（VI:N / SI:N）：不直接影响系统或后续系统的数据完整性。
  • 可用性影响（VA:N / SA:N）：不导致系统或后续系统服务中断。

潜在攻击后果：
攻击者利用该漏洞可直接读取底层主机或共享文件系统中的敏感信息，例如系统配置文件、网络拓扑、用户凭据、业务数据等。在工业控制场景中，这可能导致攻击者获得对 OT（运营技术）网络的初步情报，为后续横向移动、权限提升或针对性攻击（如勒索软件、数据窃取）铺平道路。由于无需认证且可远程利用，该漏洞在暴露于互联网的 IntraVUE 实例上风险极高。

🔍 技术细节

字段 值
CVE ID CVE-2026-28698
CVSS 评分 9.2 🔴
严重程度 严重
CVSS 向量 CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:H/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
CWE 分类 CWE-497
发布时间 2026-07-23
最后更新 2026-07-23
状态 Received
数据来源 ics-cert@hq.dhs.gov

🔗 参考链接