2026 年 9 月 3 日，美国网络安全和基础设施安全局（CISA）一次性把 7 个漏洞加入 KEV（已知被利用漏洞目录）。其中两个直接命中「很多人自己装在服务器上」的那类软件：

  • CVE-2026-49869 —— Kestra OSS 命令注入，CVSS 10.0
  • CVE-2026-59822 —— Berri LiteLLM 鉴权不当，CVSS 8.8

另外五个分别是：CVE-2026-83548（SonicWall SMA 1000 服务端请求伪造，10.0）、CVE-2026-83549（同产品 OS 命令注入，7.8）、CVE-2026-9586（Sangoma Switchvox SQL 注入，9.3）、CVE-2026-82329（JFrog Artifactory 鉴权不当，9.8）、CVE-2026-48710（Kludex Starlette HTTP 请求走私，6.5）。

攻击者的目标不是数据，是你的 CPU

这批的实际利用行为已被观察到并写进通报：攻击者投递反弹 shell 并建立持久化；针对 LiteLLM 的部署，通过 ELF 二进制落了 XMRig 矿工；Kestra 那条则是借工作流引擎执行 shell，同样以部署矿工、劫持主机资源收尾。

这一点值得说清楚：如果你自建的是内部工具，很容易觉得「里面没有客户数据，被打就被打」。但挖矿类利用不需要你的数据也能变现，它要的是 CPU 时间和带宽——而账单和服务商的滥用通知都落在你头上。

为什么这批特别贴近 VPS 用户

看一眼受影响的软件类型就明白了：LiteLLM 是很多人用来统一多家模型 API 的网关，Kestra 是工作流/调度引擎，Artifactory 是制品仓库，Starlette 是 FastAPI 的底层框架。这些全都是典型的「我在自己 VPS 上跑一个」的东西，而且它们的快速上手文档为了让你三分钟跑起来，默认往往监听 0.0.0.0。装完不改，就等于开在公网上。

联邦机构的整改期限也说明了紧迫程度：其中五个必须在 9 月 5 日前处理完，CVE-2026-48710 与 CVE-2026-59822 的期限是 9 月 16 日。KEV 的期限在法律上只约束美国联邦机构，但对其他人来说，「已确认在野利用」这个标签是目前最好用的补丁优先级排序信号——它比 CVSS 分数更能说明「现在就有人在打」。

三分钟自查

  • 看 CPU 有没有被吃掉：uptime 看 load，ps aux --sort=-%cpu | head 看谁在占。业务没量而 CPU 长期满载是最典型的症状，排查路径见《VPS CPU 占用 100% 的诊断方法》。
  • 看有没有异常外连：ss -tnp state established，重点看指向 3333、5555、7777、14444 这类矿池常用端口的连接，以及你不认识的域名。
  • 看持久化：crontab -l、ls -la /etc/cron.*、systemctl list-timers、ls -la ~/.config/systemd/user/。矿工很少只跑一个进程，它一定会想办法活过重启。
  • 看暴露面：ss -tlnp 列出所有监听端口，把每一个 0.0.0.0: 开头的都问一遍「这个真的需要公网可达吗」。

正确的部署姿势

  • 默认绑回环：管理界面和内部 API 绑到 127.0.0.1，需要远程访问就走 SSH 隧道（ssh -L 8080:127.0.0.1:8080 user@host）或者 WireGuard，而不是开公网端口再加个弱口令。
  • 必须公网暴露时：前面放反向代理，加真正的鉴权（不是应用自带的默认管理员），配 IP 白名单，并把防火墙调成默认拒绝入站——ufw 防火墙与 SSH 密钥登录的加固步骤里有完整命令。
  • 升级到修复版本，并且给这类自托管组件建立一个「谁负责看它的安全公告」的习惯。装的时候三分钟，之后三年没人看，是这类事故的共同剧本。

如果已经中了

不要只做「杀进程 + 删文件」。能落矿工的入口通常也足够落别的东西，而持久化手段往往不止一处。按《VPS 被入侵后如何排查与重建》的流程走：先取证再清理，凭证全部轮换，能重建就重建。SharkCloud 的日本、新加坡、香港、美国节点都是独立实例，重建一台干净机器再把数据迁回去，通常比在一台已失陷的机器上做外科手术更快也更可靠。