2026年7月下旬JetBrains一次性披露了18个安全漏洞的修复方案波及旗下几乎所有主流开发工具。这并非一次普通的安全更新——其中两个漏洞拿到了CVSS v3评分体系下的满分10分另有13个被评为高危。更令人警觉的是这些漏洞的利用门槛极低很多时候开发者只是打开了一个项目恶意代码就已经在后台运行了。满分的漏洞长什么样这次披露中最扎眼的是分配给IntelliJ IDEA的两个CVE编号CVE-2026-64812和CVE-2026-64813。它们都藏在IDE的远程开发Remote Development功能里。CVE-2026-64812属于CWE-306类型说白了就是关键功能缺少身份验证。攻击者可以在远程开发会话中注入未经授权的输入而系统根本不会问你是谁。CVE-2026-64813则更隐蔽一些它允许攻击者在同样的远程开发场景下篡改IDE设置CWE-602把客户端的安全控制当成摆设。这两个漏洞的CVSS评分双双达到10.0意味着它们在可利用性、影响范围、所需权限等维度上几乎没有任何短板。顺带一提同系列的CVE-2026-64814评分8.6也值得关注它让攻击者能够在远程开发会话中未经授权访问文件。这三个漏洞组合起来基本等于给攻击者开了一扇后门——先注入、再改配置、最后拿文件链条相当完整。不只是IDE构建服务器也中招如果说IDE漏洞威胁的是单个开发者的工作站那TeamCity上的问题则直接指向整个软件供应链的根基。CVE-2026-65907拿到了9.1的高分漏洞出在TeamCity的Git版本控制系统根目录VCS Root上。攻击者可以通过精心构造的Git配置在构建服务器上执行任意代码。要知道TeamCity这类CI/CD工具通常手握源代码仓库的完整访问权限、部署密钥、甚至生产环境的凭证。一旦这里被攻破后续的影响就不是丢几行代码那么简单了——攻击者完全有能力在软件发布流程中夹带私货。TeamCity的另一个漏洞CVE-2026-65906评分8.8则涉及Kotlin DSL沙箱逃逸。这个漏洞由安全研究员Antoni Tremblay发现并报告说明沙箱隔离机制在特定条件下可以被突破。值得一提的是这位研究员还同时提交了WebStorm上的三个漏洞可见JetBrains这次暴露的攻击面确实不小。打开项目就中招——项目信任机制的失效这次漏洞集合中有一个反复出现的模式特别值得开发者警惕很多漏洞都发生在IDE弹出是否信任此项目对话框之前。具体来说当你用GoLand打开一个Go项目、用WebStorm打开一个Node.js项目、或者用PhpStorm打开一个PHP项目时IDE为了提供代码补全、语法检查、依赖分析等功能会主动调用项目目录下配置的解释器、SDK、包管理器、代码检查工具linter以及开发容器DevContainer配置。而攻击者正是利用了这些自动化行为——在项目的配置文件里埋入恶意指令IDE一加载项目就自动执行根本不给用户反应时间。这种攻击路径的可怕之处在于它完全不需要开发者主动去运行什么。你只是想看看别人的代码结果本地环境已经被渗透了。开发者工作站上通常存放着源代码、云服务商的访问令牌、签名密钥、SSH私钥等敏感资产一旦失守攻击者就拿到了进入整个软件供应链的第一张门票。漏洞全景18个CVE的分布把这次披露的漏洞摊开来看严重程度分布相当不均衡3个危急、13个高危、1个中等、1个低危。目前还没有任何公开的概念验证PoC代码也没有已确认的在野利用案例——但这恰恰是打补丁的黄金窗口期。表格CVE编号CVSS评分漏洞类型修复版本影响产品CVE-2026-6481210.0CWE-3062026.2IntelliJ IDEACVE-2026-6481310.0CWE-6022026.2IntelliJ IDEACVE-2026-659079.1CWE-942026.1.2 / 2025.11.6TeamCityCVE-2026-659068.8CWE-942026.1.2 / 2025.11.6TeamCityCVE-2026-648148.6CWE-8622026.2IntelliJ IDEACVE-2026-659088.6CWE-8292026.1.4 / 2026.2PyCharmCVE-2026-648048.4CWE-8292026.2WebStormCVE-2026-648058.4CWE-8292026.2WebStorm其余漏洞涵盖了GoLand、PhpStorm、WebStorm等多个产品主要围绕项目信任绕过这一主题展开。JetBrains官方的安全修复页面已经公布了完整的漏洞列表和对应补丁。现在该做什么如果你还在用旧版本建议立刻动手升级。JetBrains提供了两条更新路径通过Toolbox App统一管理或者直接在IDE内置的更新程序里操作。各产品的安全版本如下IntelliJ IDEA、GoLand、PhpStorm、WebStorm升级至2026.2PyCharm升级至2026.1.4或2026.2TeamCity升级至2026.1.2或2025.11.6对于TeamCity管理员来说优先级应该更高。构建服务器的影响半径远大于单个开发者工作站一旦沦陷整个团队的发布流程都可能被污染。在补丁落地之前有几条临时缓解措施可以参考不要随便打开来源不明的代码仓库如果必须使用远程开发功能确保后端服务器不暴露在公网上对团队内部的项目引入流程做一次梳理区分可信来源和第三方代码。JetBrains这次的大规模漏洞修复本质上暴露了一个行业性的认知盲区——开发者工具本身已经成为供应链攻击的高价值目标。过去我们总把注意力放在运行时环境和生产服务器上却常常忽略了每天被打开无数次的IDE。当打开项目这个动作本身就带有执行恶意代码的风险时传统的不要运行不明程序的安全建议已经不够用了。这一次更新补丁不是可选项而是必选项。
企业数字化 ERP 产品动态
相关推荐
DeepSeek V4 API成本优化:缓存策略与批量处理的工程实践 最近在技术社群里,不少开发者都在讨论一个现象:DeepSeek V4 API在高峰时段的价格似乎出现了明显波动。作为一个长期关注AI工具成本优化的实践者,我决定深入分析一下这个现象背后的逻辑,以及我们作为使用者应该如何应对。1. 先搞清… · 2026/10/2 16:50:02
段言中文编程语法翻译模型继续调试 长语句、类、复杂代码等方面,是否还需要再多添加一些数据集?回答:确实需要补充,而且有数据质量数据覆盖两类问题一、最严重的发现:数据集本身还有质量问题不是"量不够",是已有的数据本身就有错&a… · 2026/10/3 1:25:13
在FreeBSD15.1系统安装Ubuntu24.04 noble Linux兼容系统 安装非常简单方便,先安装debootstrap在FreeBSD系统,用超级账户或者sudu执行sudo pkg install debootstrap再安装noble在FreeBSD系统,用超级账户或者sudu执行sudo debootstrap noble /compat/ubuntu24 http://mirrors.ustc.edu.cn/ubuntu/ 这个… · 2026/11/2 0:17:10
电工证多久复审为永久?上岗必备的证书有效期和复审攻略 电工证多久复审为永久?上岗必备的证书有效期和复审攻略 证书过期了不知道怎么复审延期,这是很多特种作业人员在工作中的真实困境。尤其是电工证,作为上岗必备的资质,一旦失效,不仅影响工作安排,还可能带来严重的安全风险。很多人对电工证复审的规则不清… · 2026/11/15 19:49:16
安平特种工真实经历:电工证考过才敢进工地干活 安平特种工真实经历:电工证考过才敢进工地干活 你是不是正愁没特种作业证,干不了工地活?别急,我这就有个真实经历,去年在信阳房建工程干杂工的小王,就是靠着考了低压电工证,才从临时工转成了正式电工。安平特种工证不是摆设,它直接决定了你能不能进工… · 2026/11/15 19:49:16
电工专业工作业绩成果怎么考 电工证考前押题怎么准备 电工专业工作业绩成果怎么考 电工证考前押题怎么准备 之前考的证在外省能不能转过来?这几乎是每个准备考电工证的小伙伴最先问的问题。说实话,我身边就有人因为这个问题白白浪费了几个月的时间,甚至影响了职业发展。今天我就从一个转岗电工的角度,聊聊… · 2026/11/15 19:49:16
北京电工证在哪学?考前押题帮你避开坑 北京电工证在哪学?考前押题帮你避开坑 怕考不过白交培训费?这年头考个电工证,动辄几千块培训费,报名前不搞清楚流程和考试重点,真怕花钱打水漂。别急,今天咱就从 北京电工证在哪学 说起,从 考前押题 入手,帮你理清思路,少走弯路。… · 2026/11/15 19:49:16
制冷证和电工证的区别,考前押题怎么选更划算 制冷证和电工证的区别,考前押题怎么选更划算 你正愁找不到工作,手里又没证,特种作业证成了你眼下最现实的出路。别急,先搞清楚制冷证和电工证的区别,选对证才能少走弯路,少花冤枉钱。今天就从咱们劳务班组负责人的角度,说说这两类证到底有啥不一样,怎… · 2026/11/15 19:49:16
没学历也能报名?诚博教育电工证官方报名入口全攻略 没学历也能报名?诚博教育电工证官方报名入口全攻略 学历不高怕报不上名?别急,现在考电工证已经不看你学历了,关键是你能不能通过考试、有没有相关工作经验。很多人以为考个电工证还得本科毕业,其实不然, 诚博教育电工证… · 2026/11/15 19:48:15
长春初级电工证怎么考?通过率揭秘全在这里 长春初级电工证怎么考?通过率揭秘全在这里 之前考的证在外省能不能转过来?这几乎是每个想从事电工工作的人都会问的问题。特别是那些在外地打拼多年、手里握着一张“外地电工证”的人,到了长春想继续干这一行,第一反应就是“我的证能用吗?”。今天我们就… · 2026/11/15 0:00:50
国内电工证报考条件与考试时间 低压电工证怎么考?学历不高也能报名,官方报名入口全在这 你是不是经常听说“电工证是入行门槛”,但又担心自己学历不够、经验不足,根本报不了名?别急,今天就带你从零了解【国内电工证】的报考流程、考试内容,还有怎么在 官方报名入口… · 2026/11/15 0:00:50
电工作业时如何断电?电子证书到底能不能全国通用? 电工作业时如何断电?电子证书到底能不能全国通用? 实操考试心里没底怕挂科,特别是电工作业时如何断电这一操作,不仅关系到你能不能拿到证书,更关系到以后能不能顺利上岗。很多人觉得这不过就是“断个电”,但其实这里面的门道可不少,稍有不慎就可能出错… · 2026/11/15 0:00:50
长春初级电工证怎么考?通过率揭秘全在这里 长春初级电工证怎么考?通过率揭秘全在这里 之前考的证在外省能不能转过来?这几乎是每个想从事电工工作的人都会问的问题。特别是那些在外地打拼多年、手里握着一张“外地电工证”的人,到了长春想继续干这一行,第一反应就是“我的证能用吗?”。今天我们就… · 2026/11/15 0:00:50
国内电工证报考条件与考试时间 低压电工证怎么考?学历不高也能报名,官方报名入口全在这 你是不是经常听说“电工证是入行门槛”,但又担心自己学历不够、经验不足,根本报不了名?别急,今天就带你从零了解【国内电工证】的报考流程、考试内容,还有怎么在 官方报名入口… · 2026/11/15 0:00:50
电工作业时如何断电?电子证书到底能不能全国通用? 电工作业时如何断电?电子证书到底能不能全国通用? 实操考试心里没底怕挂科,特别是电工作业时如何断电这一操作,不仅关系到你能不能拿到证书,更关系到以后能不能顺利上岗。很多人觉得这不过就是“断个电”,但其实这里面的门道可不少,稍有不慎就可能出错… · 2026/11/15 0:00:50
双极步进电机控制实战:DRV8818PWPR与PIC18F86K22驱动调试 /* MD / 富文本中的 .toc(含博客园搬家等嵌套结构);.toc-box 在侧栏,不受影响 */#content_views .toc,/* 编辑器常在目录前后插入空 p(:empty 仍占 20px),一并去掉避免顶空隙 */#content_views.markdown_views > p:empty:has(+ .toc),#content_views.markdown_views … · 2026/11/15 1:51:20
STM32F207ZG + DRV8818PWPR 步进电机驱动实战解析 /* MD / 富文本中的 .toc(含博客园搬家等嵌套结构);.toc-box 在侧栏,不受影响 */#content_views .toc,/* 编辑器常在目录前后插入空 p(:empty 仍占 20px),一并去掉避免顶空隙 */#content_views.markdown_views > p:empty:has(+ .toc),#content_views.markdown_views … · 2026/11/15 4:02:19
DRV8818PWPR+dsPIC30F4013工业级双极步进电机控制方案 /* MD / 富文本中的 .toc(含博客园搬家等嵌套结构);.toc-box 在侧栏,不受影响 */#content_views .toc,/* 编辑器常在目录前后插入空 p(:empty 仍占 20px),一并去掉避免顶空隙 */#content_views.markdown_views > p:empty:has(+ .toc),#content_views.markdown_views … · 2026/11/15 3:02:05