CVE-2026-25770 是 Wazuh Manager 中的一个权限提升漏洞。该漏洞允许经过身份验证的节点利用 Wazuh Manager 的集群同步协议，以 wazuh 系统用户的权限在管理器文件系统中写入任意文件。受影响的版本包括 3.9.0 及以上版本，但不包括 4.14.3。通过升级到 4.14.3 版本可以解决此问题。
该漏洞的潜在影响非常严重。攻击者可以利用此漏洞在 Wazuh Manager 上获得提升的权限，进而可能控制整个 Wazuh 环境。具体而言，攻击者可以利用集群协议覆盖 Wazuh 的主配置文件 /var/ossec/etc/ossec.conf，从而修改 Wazuh 的行为，例如禁用安全规则、添加恶意规则或泄露敏感信息。如果 Wazuh 用于保护关键系统或数据，那么此漏洞可能导致严重的安全事件，包括数据泄露、系统入侵和业务中断。由于 Wazuh 经常被用于集中式日志管理和安全监控，因此攻击者可能利用此漏洞获取对整个网络环境的可见性。
目前，该漏洞的公开利用代码 (POC) 尚未公开。然而，由于漏洞的严重性，预计未来可能会出现公开的利用代码。该漏洞已添加到 CISA KEV 目录，表明其具有较高的潜在风险。建议密切关注安全社区的动态，并及时采取必要的缓解措施。
Organizations utilizing Wazuh Manager versions 3.9.0 through 4.14.2 are at risk. This includes those relying on Wazuh for security monitoring and incident response, particularly those with exposed cluster synchronization interfaces or inadequate network segmentation. Shared hosting environments running Wazuh Manager are also at increased risk due to potential shared access to the Wazuh cluster.
• linux / server:
journalctl -u wazuh-clusterd | grep -i "write access"• linux / server:
find /var/ossec/etc/ossec.conf -type f -mmin -60 # Check for recent modifications• linux / server:
lsof -i :1567 -p $(pidof wazuh-clusterd) # Check for connections to the cluster protocoldisclosure
漏洞利用状态
EPSS
0.05% (14% 百分位)
CISA SSVC
为了缓解 CVE-2026-25770 漏洞，首要措施是立即升级 Wazuh Manager 到 4.14.3 或更高版本。如果无法立即升级，可以考虑以下临时缓解措施：首先，限制集群同步协议的访问权限，只允许受信任的节点参与同步。其次，审查 Wazuh Manager 的文件系统权限，确保 wazuh 用户对关键配置文件没有不必要的写入权限。此外，可以考虑使用 Web 应用防火墙 (WAF) 或代理服务器来过滤对 Wazuh Manager 的流量，阻止恶意请求。最后，定期监控 Wazuh Manager 的日志文件，查找任何异常活动，例如未经授权的文件修改。
将 Wazuh Manager 更新到版本 4.14.3 或更高版本。这修复了集群同步协议中的权限提升漏洞。
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2026-25770 是 Wazuh Manager 3.9.0 及以上版本，低于 4.14.3 中的一个权限提升漏洞，允许攻击者利用集群同步协议写入任意文件，可能导致配置被篡改。
如果您正在使用 Wazuh Manager 3.9.0 及以上版本，但不包括 4.14.3，则可能受到此漏洞的影响。请立即检查您的版本并升级。
升级 Wazuh Manager 到 4.14.3 或更高版本是修复此漏洞的最佳方法。
目前尚未确认 CVE-2026-25770 正在被积极利用，但由于漏洞的严重性，预计未来可能会出现利用代码。
请访问 Wazuh 官方安全公告页面，查找有关 CVE-2026-25770 的详细信息：[请在此处插入 Wazuh 官方安全公告链接，如果已知的话]
CVSS 向量