CISA KEV八月新增漏洞盘点：被利用漏洞的应对优先级与Splunk事件分析

一、先给结论

CISA 的 Known Exploited Vulnerabilities（KEV，已知被利用漏洞目录）是安全运营的最高优先级输入——进了 KEV 意味着"有真实攻击者在利用"，补丁优先级应高于任何普通 CVE。

2026年8月19-21日前后，CISA KEV 新增了包括 TRENDnet TEW-821DAP（CVE-2026-77946） 在内的多个条目；同期，Splunk Enterprise 修复了多个未认证文件操作漏洞（8.2.12 / 9.0.9 / 9.1.5 / 9.2.3 版本），并已在KEV中被标记为需尽快处置。

三个关键判断：

二、CISA KEV 机制速览

2.1 KEV 是什么

KEV 是美国 CISA 维护的"已知被利用漏洞"目录，收录有证据表明已被在野利用的漏洞。它不收录"理论上可利用"的漏洞，只收录"正在被攻击者使用"的漏洞。

2.2 为什么 KEV 优先级最高

#mermaid-svg-wTTB7OJz747kbfMm{font-family:\”trebuchet ms\”,verdana,arial,sans-serif;font-size:16px;fill:#333;}@keyframes edge-animation-frame{from{stroke-dashoffset:0;}}@keyframes dash{to{stroke-dashoffset:0;}}#mermaid-svg-wTTB7OJz747kbfMm .edge-animation-slow{stroke-dasharray:9,5!important;stroke-dashoffset:900;animation:dash 50s linear infinite;stroke-linecap:round;}#mermaid-svg-wTTB7OJz747kbfMm .edge-animation-fast{stroke-dasharray:9,5!important;stroke-dashoffset:900;animation:dash 20s linear infinite;stroke-linecap:round;}#mermaid-svg-wTTB7OJz747kbfMm .error-icon{fill:#552222;}#mermaid-svg-wTTB7OJz747kbfMm .error-text{fill:#552222;stroke:#552222;}#mermaid-svg-wTTB7OJz747kbfMm .edge-thickness-normal{stroke-width:1px;}#mermaid-svg-wTTB7OJz747kbfMm .edge-thickness-thick{stroke-width:3.5px;}#mermaid-svg-wTTB7OJz747kbfMm .edge-pattern-solid{stroke-dasharray:0;}#mermaid-svg-wTTB7OJz747kbfMm .edge-thickness-invisible{stroke-width:0;fill:none;}#mermaid-svg-wTTB7OJz747kbfMm .edge-pattern-dashed{stroke-dasharray:3;}#mermaid-svg-wTTB7OJz747kbfMm .edge-pattern-dotted{stroke-dasharray:2;}#mermaid-svg-wTTB7OJz747kbfMm .marker{fill:#333333;stroke:#333333;}#mermaid-svg-wTTB7OJz747kbfMm .marker.cross{stroke:#333333;}#mermaid-svg-wTTB7OJz747kbfMm svg{font-family:\”trebuchet ms\”,verdana,arial,sans-serif;font-size:16px;}#mermaid-svg-wTTB7OJz747kbfMm p{margin:0;}#mermaid-svg-wTTB7OJz747kbfMm .label{font-family:\”trebuchet ms\”,verdana,arial,sans-serif;color:#333;}#mermaid-svg-wTTB7OJz747kbfMm .cluster-label text{fill:#333;}#mermaid-svg-wTTB7OJz747kbfMm .cluster-label span{color:#333;}#mermaid-svg-wTTB7OJz747kbfMm .cluster-label span p{background-color:transparent;}#mermaid-svg-wTTB7OJz747kbfMm .label text,#mermaid-svg-wTTB7OJz747kbfMm span{fill:#333;color:#333;}#mermaid-svg-wTTB7OJz747kbfMm .node rect,#mermaid-svg-wTTB7OJz747kbfMm .node circle,#mermaid-svg-wTTB7OJz747kbfMm .node ellipse,#mermaid-svg-wTTB7OJz747kbfMm .node polygon,#mermaid-svg-wTTB7OJz747kbfMm .node path{fill:#ECECFF;stroke:#9370DB;stroke-width:1px;}#mermaid-svg-wTTB7OJz747kbfMm .rough-node .label text,#mermaid-svg-wTTB7OJz747kbfMm .node .label text,#mermaid-svg-wTTB7OJz747kbfMm .image-shape .label,#mermaid-svg-wTTB7OJz747kbfMm .icon-shape .label{text-anchor:middle;}#mermaid-svg-wTTB7OJz747kbfMm .node .katex path{fill:#000;stroke:#000;stroke-width:1px;}#mermaid-svg-wTTB7OJz747kbfMm .rough-node .label,#mermaid-svg-wTTB7OJz747kbfMm .node .label,#mermaid-svg-wTTB7OJz747kbfMm .image-shape .label,#mermaid-svg-wTTB7OJz747kbfMm .icon-shape .label{text-align:center;}#mermaid-svg-wTTB7OJz747kbfMm .node.clickable{cursor:pointer;}#mermaid-svg-wTTB7OJz747kbfMm .root .anchor path{fill:#333333!important;stroke-width:0;stroke:#333333;}#mermaid-svg-wTTB7OJz747kbfMm .arrowheadPath{fill:#333333;}#mermaid-svg-wTTB7OJz747kbfMm .edgePath .path{stroke:#333333;stroke-width:2.0px;}#mermaid-svg-wTTB7OJz747kbfMm .flowchart-link{stroke:#333333;fill:none;}#mermaid-svg-wTTB7OJz747kbfMm .edgeLabel{background-color:rgba(232,232,232, 0.8);text-align:center;}#mermaid-svg-wTTB7OJz747kbfMm .edgeLabel p{background-color:rgba(232,232,232, 0.8);}#mermaid-svg-wTTB7OJz747kbfMm .edgeLabel rect{opacity:0.5;background-color:rgba(232,232,232, 0.8);fill:rgba(232,232,232, 0.8);}#mermaid-svg-wTTB7OJz747kbfMm .labelBkg{background-color:rgba(232, 232, 232, 0.5);}#mermaid-svg-wTTB7OJz747kbfMm .cluster rect{fill:#ffffde;stroke:#aaaa33;stroke-width:1px;}#mermaid-svg-wTTB7OJz747kbfMm .cluster text{fill:#333;}#mermaid-svg-wTTB7OJz747kbfMm .cluster span{color:#333;}#mermaid-svg-wTTB7OJz747kbfMm div.mermaidTooltip{position:absolute;text-align:center;max-width:200px;padding:2px;font-family:\”trebuchet ms\”,verdana,arial,sans-serif;font-size:12px;background:hsl(80, 100%, 96.2745098039%);border:1px solid #aaaa33;border-radius:2px;pointer-events:none;z-index:100;}#mermaid-svg-wTTB7OJz747kbfMm .flowchartTitleText{text-anchor:middle;font-size:18px;fill:#333;}#mermaid-svg-wTTB7OJz747kbfMm rect.text{fill:none;stroke-width:0;}#mermaid-svg-wTTB7OJz747kbfMm .icon-shape,#mermaid-svg-wTTB7OJz747kbfMm .image-shape{background-color:rgba(232,232,232, 0.8);text-align:center;}#mermaid-svg-wTTB7OJz747kbfMm .icon-shape p,#mermaid-svg-wTTB7OJz747kbfMm .image-shape p{background-color:rgba(232,232,232, 0.8);padding:2px;}#mermaid-svg-wTTB7OJz747kbfMm .icon-shape .label rect,#mermaid-svg-wTTB7OJz747kbfMm .image-shape .label rect{opacity:0.5;background-color:rgba(232,232,232, 0.8);fill:rgba(232,232,232, 0.8);}#mermaid-svg-wTTB7OJz747kbfMm .label-icon{display:inline-block;height:1em;overflow:visible;vertical-align:-0.125em;}#mermaid-svg-wTTB7OJz747kbfMm .node .label-icon path{fill:currentColor;stroke:revert;stroke-width:revert;}#mermaid-svg-wTTB7OJz747kbfMm :root{–mermaid-font-family:\”trebuchet ms\”,verdana,arial,sans-serif;}

否

是

漏洞披露

是否在野利用?

普通CVE按常规窗口修复

进入KEV目录

企业必须立即处置优先于一切常规补丁

2.3 本次新增重点：TRENDnet CVE-2026-77946

TRENDnet TEW-821DAP 无线接入点的 NTP 时区配置栈溢出漏洞（CVSS 10.0，PoC已公开）被加入 KEV，说明攻击者已开始批量扫描该设备。此类物联网设备往往长期无人维护，是企业与家庭网络中的"沉默炸弹"。

三、Splunk 未认证文件操作漏洞分析

3.1 漏洞概况

2026年8月，Splunk Enterprise 多个版本修复了未认证文件操作相关漏洞：

风险本质：未认证用户可能通过特定端点执行文件操作（读取/写入/删除）。对 Splunk 这种存储海量日志（可能含敏感数据）的系统来说，后果是灾难性的：

• 未认证读取 → 日志中的密码、令牌、业务数据泄露；
• 未认证写入 → 污染告警、植入恶意配置；
• 未认证删除 → 证据销毁、审计失败。

3.2 攻击者为何盯上 Splunk

3.3 排查：你的 Splunk 是否暴露

# 检查 Splunk 管理端口（8000/8089）公网暴露情况
curl -sk –max-time 5 "https://SPLUNK_IP:8089/services/server/info" \\
-o /dev/null -w "管理端口 -> %{http_code}\\n"

# 检查 web 端口
curl -sk –max-time 5 "https://SPLUNK_IP:8000/en-US/account/login" \\
-o /dev/null -w "Web端口 -> %{http_code}\\n"

自查要点：

四、应对与加固清单

4.1 Splunk 升级步骤

# 1. 备份（Splunk 目录）
tar -czf splunk_backup_$(date +%Y%m%d).tar.gz /opt/splunk

# 2. 检查当前版本
/opt/splunk/bin/splunk version

# 3. 停止服务后升级
/opt/splunk/bin/splunk stop
# 安装新版本（以官方安装包为准）
# 重新启动
/opt/splunk/bin/splunk start

# 4. 验证版本
/opt/splunk/bin/splunk version

升级前请阅读 Splunk 官方升级指南与兼容性说明，尤其是自定义应用与数据接入的兼容性。

4.2 加固清单

# Splunk 加固与 KEV 响应清单 v1.0
## KEV 响应
– [ ] 已核对 CISA KEV 最新清单（https://www.cisa.gov/known-exploited-vulnerabilities-catalog）
– [ ] 已确认受影响资产（TRENDnet 设备 / Splunk 实例等）
– [ ] 已按 72 小时内完成处置或缓解

## Splunk 升级
– [ ] 已确认 Splunk 当前版本
– [ ] 已升级到 8.2.12 / 9.0.9 / 9.1.5 / 9.2.3 及以上
– [ ] 升级前已备份并验证恢复流程

## Splunk 加固
– [ ] 管理端口 8089 未对公网开放
– [ ] Web 端口 8000 已做访问控制（VPN/IP白名单）
– [ ] 已启用身份认证并强制强密码/MFA
– [ ] 已检查是否存在无认证的转发器/接收器
– [ ] 已开启审计日志并接入外部存储
– [ ] 已建立对未认证访问的告警规则

## 物联网设备
– [ ] 已盘点网络中的 TRENDnet TEW-821DAP 等 KEV 设备
– [ ] 已对受影响设备执行加固（封管理端口/升级/替换）

4.3 建立 KEV 自动化监控

#!/bin/bash
# 每日拉取 CISA KEV 清单并比对（示例）
URL="https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json"
SNAP="/var/lib/kev_snapshots/kev_$(date +%Y%m%d).json"

curl -sk –max-time 30 "$URL" -o "$SNAP"
if [ -f "/var/lib/kev_snapshots/kev_prev.json" ]; then
diff <(jq -r '.vulnerabilities[].cveID' "$SNAP" | sort) \\
<(jq -r '.vulnerabilities[].cveID' "/var/lib/kev_snapshots/kev_prev.json" | sort) \\
| grep '^>' | while read -r cve; do
echo "[ALERT] KEV 新增: $cve" | mail -s "CISA KEV 更新" secops@example.com
done
fi
mv "$SNAP" "/var/lib/kev_snapshots/kev_prev.json"

五、风险提醒与红线提醒

六、互动问题

互动问题：你所在团队多久同步一次 CISA KEV 清单？有没有遇到"进了KEV的漏洞，业务部门还不让马上打补丁"的情况？

欢迎评论区分享你的 KEV 响应流程与踩坑经验，尤其是与业务部门协调补丁窗口的实战心得。