Sophos UTM出现严重远程代码执行漏洞

Sophos的安全网关产品Sophos UTM被发现存在严重漏洞。该产品的支持已于近期结束，但公司已准备好修复补丁，并急切要求用户尽快应用。

在2026年10月28日，Sophos发布了安全顾问，揭示了该产品的路径遍历漏洞CVE-2026-118633。该漏洞是通过外部安全研究人员通过公司的漏洞赏金计划报告的。

该漏洞影响使用邮件代理并启用扫描功能的用户。在攻击者反复进行攻击的几分钟内，可能导致处理竞态条件，从而以root权限执行任意命令，无需身份验证。

根据通用漏洞评分系统CVSSv4.0，该漏洞的基础得分为9.2，被评为四个等级中最高的“关键（Critical）”。

所有版本的Sophos UTM均受到此漏洞影响。由于支持已结束，公司不会通过自动更新提供补丁，用户需要手动安装。

Sophos呼吁用户在使用邮件保护功能时，立即应用补丁，并建议迁移到提供支持的Sophos Firewall。