【紧急预警】泛微 e-cology 协同办公平台核心接口未授权 SQL 注入与任意文件上传高危漏洞通报

【漏洞概述与实战研判】
泛微 e-cology 作为国内政企事业单位使用最广泛的协同办公平台之一，其移动端接口在解析外部 XML 请求与数据库交互时，
未能对用户输入实施完备的白名单过滤与参数预编译绑定，导致攻击者无需账号密码即可通过远程网络调用注入恶意 SQL 语句，
并进一步结合文件流上传接口突破后缀检测，在 Web 容器中生成持久化动态脚本（WebShell），彻底接管办公系统服务器。

【危害级别】
极危。OA 系统往往直连企业核心数据库、员工花名册、财务审批流及内部合同文档，且多数与内网 AD 域直接打通，是实战攻防中最具价值的目标。

【受影响版本范围】
• 泛微 e-cology 9.x 系列未打 2026 专项安全补丁版本
• 泛微 e-cology 8.x 系列相关未打补丁版本

【排查处置指南】
1. 立即联系官方技术支持获取并应用最新安全累积更新补丁包；
2. 检查 OA 系统根目录及上传目录，重点排查近期是否存在新增的 `.jsp`、`.jspx` 文件；
3. 在边界 WAF 部署针对泛微接口特征参数的严格语义过滤规则；
4. 鸿煌科技应急响应团队已就国内主流 OA 系统建立专项巡检保障，协助企业快速排查后门。