🔴 《严重安全漏洞：CVE-2026-6847》

CVSS 评分: 严重（9.3）　　状态: Received　　发布时间: 2026-07-13

漏洞简介

CVE-2026-6847 是一个存在于 ThemisNETPanel 中的远程代码执行（Remote Code Execution, RCE）漏洞。该漏洞的根本原因是软件对某个关键文件上传功能缺乏身份验证机制，对应 CWE-306（关键功能缺少身份验证）。

具体来说，ThemisNETPanel 暴露了一个未受保护的端点（endpoint），未经身份验证的攻击者可以通过向该端点提交一个经过 base64 编码的载荷（payload），上传任意 PHP 文件。一旦恶意 PHP 文件被上传至服务器，攻击者即可在底层服务器上执行任意代码，从而完全控制受影响的系统。

该漏洞已在 2026 年 4 月发布的补丁中得到修复。

影响范围

  • 受影响软件：ThemisNETPanel（所有未应用 2026 年 4 月补丁的版本）
  • CVSS 向量：CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:L/SI:L/SA:L/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
  • CVSS 评分：根据向量分析，该漏洞攻击复杂度低（AC:L），无需攻击者具备任何权限（PR:N）或用户交互（UI:N），且攻击路径为网络远程（AV:N），因此基础评分极高，属于 严重（Critical） 级别。

风险分析

  • 攻击后果：成功利用此漏洞的攻击者可以实现：
    • 完全机密性丧失（VC:H）：能够读取服务器上的所有敏感数据，包括数据库凭据、配置文件、用户信息等。
    • 完全完整性丧失（VI:H）：能够修改或破坏服务器上的任何文件，包括篡改网站内容、植入后门、修改系统配置。
    • 完全可用性丧失（VA:H）：能够导致服务中断、删除关键文件或执行拒绝服务（DoS）攻击，使系统无法正常运行。
  • 影响范围：由于攻击无需任何身份验证，任何能够访问 ThemisNETPanel 网络端口的攻击者均可发起攻击。该漏洞可能被用于大规模自动化扫描和入侵，导致服务器被植入 webshell、用于发起进一步攻击（如横向移动、挖矿、勒索软件部署等）。
  • 修复建议：立即升级 ThemisNETPanel 至包含 2026 年 4 月补丁的最新版本，并检查服务器上是否存在可疑的 PHP 文件。在无法立即升级的情况下，应通过 Web 应用防火墙（WAF）或网络访问控制列表（ACL）临时限制对该文件上传端点的访问。

🔍 技术细节

字段 值
CVE ID CVE-2026-6847
CVSS 评分 9.3 🔴
严重程度 严重
CVSS 向量 CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:L/SI:L/SA:L/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
CWE 分类 CWE-306
发布时间 2026-07-13
最后更新 2026-07-13
状态 Received
数据来源 cvd@cert.pl

🔗 参考链接