Nginx UI 信息泄露漏洞CVE-2026-27944
【检测结果】
1、通过MSSP大数据平台分析近一个月服务资产访问行为数据及资产指纹信息匹配，尚未发现受此组件版本影响的服务资产。
2、为确保无遗漏，建议业务运维进行二次核实，检查业务资产是否有使用相关组件的情况，如有可参考详细修复建议操作避免漏洞被恶意利用。
【漏洞描述】
Nginx UI 存在信息泄露漏洞，由于 /api/backup 接口缺失身份验证，导致任何未经授权的攻击者都可以直接下载系统的完整加密备份。并且该接口在响应的 X-Backup-Security 头中明文泄露了用于加密的 AES-256 密钥和初始化向量 (IV)。这使得攻击者能够立即解密下载的备份文件，从而获取其中包含的管理员凭据、SSL 私钥、数据库信息、Nginx 配置以及会话令牌等所有核心敏感数据，最终可能导致服务器被完全接管。
目前受影响的 Nginx UI 版本：
Nginx UI < 2.3.3
官方已发布最新版本修复该漏洞，建议受影响用户更新到 2.3.3 版本。
下载链接：https://github.com/0xJacky/nginx-ui/releases/


【OpenClaw 漏洞风险】
随着 OpenClaw 的广泛部署，一系列安全漏洞被陆续发现并分配了 CVE 编号。
已披露漏洞统计：
1、总计80余个CVE漏洞：截至2026年3月初，已披露80余个OpenClaw相关CVE漏洞
2、3个存在公开利用代码：可实现远程代码执行
3、修复进度：截至2026年2月26日发布的v2026.2.26版本，已修复超过40个漏洞
【加固建议】
OpenClaw可访问用户文件系统、执行Shell命令、调用各类第三方服务凭据，一旦被攻击者控制，将导致用户数字权限完全泄露。在企业环境中，单个被入侵实例可成为内网横向移动跳板，引发核心数据窃取、关键系统受控等严重安全事件，对于个人用户来说，隐私信息存在被窃取风险。
对企业用户的建议：
1、紧急处置与基础防护
（一）漏洞闭环与凭据管理
（二）网络层面防护
（三）认证与权限管控
2、长效安全管控
（一）供应链与插件管理
（二）监控与审计机制
（三）企业政策与流程管控

OpenClaw WebSocket共享令牌权限提升漏洞
【检测结果】
1、通过MSSP大数据平台分析近一个月服务资产访问行为数据及资产指纹信息匹配，尚未发现受此组件版本影响的服务资产。
2、为确保无遗漏，建议业务运维进行二次核实，检查业务资产是否有使用相关组件的情况，如有可参考详细修复建议操作避免漏洞被恶意利用。
【漏洞详情】
OpenClaw 在使用共享令牌或密码进行 WebSocket 连接认证时，服务端未对客户端自行提交的权限作用域做校验与限制，直接信任并采纳客户端声明的高权限，导致持有普通共享令牌或密码的用户可非法声明管理员权限，实现权限提升。
目前受影响的OpenClaw版本：
OpenClaw ≤ 2026.3.11
官方已发布最新版本修复该漏洞，建议受影响用户将OpenClaw更新到2026.3.12及以上版本。
下载链接：https://github.com/openclaw/openclaw


微软漏洞通告
【SQL Server特权提升漏洞 CVE-2026-21262】
Microsoft SQL Server是微软推出的关系型数据库管理系统，为企业级应用提供数据存储、查询、事务处理与权限管理等核心服务，广泛应用于各类业务系统、后台服务与数据平台，负责处理结构化数据、保障数据一致性与访问安全。
其中存在权限提升漏洞，攻击者可以利用该漏洞在目标系统获取更高权限。经过评估，该漏洞危害较大，我们建议用户及时更新微软安全补丁。
【.NET 拒绝服务漏洞 CVE-2026-26127】
.NET 是微软推出的跨平台开发框架，为各类应用提供统一的运行时环境、基础类库与安全机制，广泛用于构建 Web 服务、桌面应用与云原生程序，保障应用的兼容性、安全性与运行效率。
其中存在拒绝服务漏洞，攻击者可利用该漏洞通过网络向基于 .NET 的应用发送特制请求，导致应用崩溃、服务不可用。经过评估，该漏洞危害较大，我们建议用户及时更新微软安全补丁。

官方解决方案：
微软官方已更新受影响软件的安全补丁，用户可根据不同系统版本下载安装对应的安全补丁，安全更新链接如下：
1、https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-21262
2、https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-26127


一审：权永云

二审：杨贵良

三审：吴长虹