AnyDesk Linux 未授权 RCE CVE-2026-109390 处置提示

这篇说的是 AnyDesk 在 Linux 上的那个洞，编号 CVE-2026-109390。厦门大学信息与网络中心 10 月 13 日挂的通告里提到了，启明星辰 VSRC 10 月 15 日也发了一份，两边描述能对上。



漏洞出在 AnyDesk 的会话协议上，具体是 mode-5 数据包的处理程序。远程传进来的长度字段没有做有效校验，程序拿它去算要分配多大的内存，用 32 位整数算的时候溢出了，实际申请到的缓冲区比预期小，但写入还是按报文声称的数据量来写，堆上相邻的内存就被攻击者控制的数据覆盖了，最终可以导向任意代码执行。

关键是两件事叠在一起：不需要任何凭据，攻击者不用拿到远程桌面控制授权；AnyDesk 服务在 Linux 上通常以 root 权限运行，打成了就是系统最高权限。

受影响版本：AnyDesk Linux 8.0.3 以下。修复版本是 8.0.3 及以上。

查自己装的版本，Debian / Ubuntu 系用 dpkg：

dpkg -l anydesk

RPM 系用 rpm：

rpm -qa | grep anydesk

回显里的版本号低于 8.0.3 就该升了。升级直接用官方源或者下载页拿包：

https://anydesk.com/zhs/downloads/linux

临时处置这块，两份通告都没给出配置层面的开关，只能靠收敛暴露面：关闭用不到的功能模块；按最小权限原则收紧操作权限；非必要不要把服务暴露到公网，把访问源限制到可信范围。

另外要提醒一句，PoC 已经在 GitHub 上公开了（v12-security 的 pocs 仓库），公开时间就在通告发布前后，所以别说“等下个维护窗口”，这类不需要认证、权限又高的洞拖不起。

来源：

1. 厦门大学信息与网络中心《【漏洞通告】AnyDesk Linux 预认证堆溢出漏洞和 GitLab 远程代码执行漏洞》（2026-10-13）
https://inc.xmu.edu.cn/info/1041/9652.htm

2. 启明星辰安全应急响应中心 VSRC《AnyDesk 会话协议整数溢出导致远程代码执行漏洞（CVE-2026-109390）》通告（2026-10-15）
https://mp.weixin.qq.com/s?__biz=MzkzNzY5OTg2Ng==&mid=2247503073&idx=2&sn=39e76068219d53d85c25f6f916694055

3. NVD 条目
https://nvd.nist.gov/vuln/detail/cve-2026-109390

真实性核对说明：CVE 编号、受影响版本范围（AnyDesk Linux 低于 8.0.3）、修复版本 8.0.3、漏洞机理（mode-5 数据包长度字段未校验导致 32 位整数溢出、堆越界写入）、无需凭据即可触发，这五点在厦大通告与启明星辰 VSRC 通告上一致。有两处差异如实保留：一是评级口径，厦大通告写“高危”，VSRC 通告写 9.8 并标“严重”，两份都没给出同一套评分依据，这里不做合并判断；二是监测时间，厦大写 10 月 13 日、VSRC 写 10 月 15 日，属于各自监测到信息的时间差。NVD 页面因需要加载脚本未能取回完整分值，所以评分部分只列来源原文，不做二次推断。

HKTULU
2026-10-25