Apache-Traffic Server存在参数注入漏洞(CVE-2026-111813)

01 漏洞概况

Apache Traffic Server 的实验性 magick 插件在其默认（未签名）配置下允许未经身份验证的客户端控制 ImageMagick 的 convert 参数。此问题影响 Apache Traffic Server：8.0.1 至 8.1.11、9.0.0 至 9.2.15、10.0.0 至 10.1.4、10.2.0。建议用户升级至 9.2.16、10.1.5 或 10.2.1 版本以修复该问题。

02 漏洞处置

综合处置优先级：高

漏洞信息	漏洞名称	Apache-Traffic Server存在参数注入漏洞
漏洞编号	CVE编号	CVE-2026-111813‍
漏洞评估	披露时间	2026-10-21
	漏洞类型	参数注入
	危害评级	高危
	公开程度	PoC未公开
	威胁类型	远程
利用情报	在野利用	是
影响产品	产品名称	Apache-Traffic Server
	受影响版本	Apache-Traffic Server <8.1.11,9.0.0
	影响范围	广
	有无修复补丁	有

03 漏洞排查

用户尽快排查业务系统、服务器节点是否部署了 Apache Traffic Server 应用且加载了 magick 插件。若应用版本在 8.0.1至8.1.11、9.0.0至9.2.15、10.0.0至10.1.4 或 10.2.0 范围内，极大可能会受到参数注入攻击影响。请立即将组件升级至安全版本（9.2.16、10.1.5 或 10.2.1 及以上），如暂无法升级，请立即在配置文件中禁用未签名的 magick 插件。

04 修复方案

将组件 traffic_server 升级至9.2.16 及以上版本将组件 traffic_server 升级至10.1.5及以上版本将组件traffic_server升级至10.2.1及以上版本

05 时间线

  2026.10.21 CVE发布CVE-2026-111813漏洞通告

      2026.10.21 安迈信科安全运营团队发布通告