技术说明
趋势科技Apex One（本地部署版）服务器存在目录遍历漏洞（CWE-23），允许具有管理员凭据的预认证本地攻击者修改服务器上的关键表，以注入恶意代码并部署到受影响安装的代理程序。CVSS 3.1评分：6.7（AV:L/AC:H/PR:H/UI:N/S:C/C:H/I:L/A:L）。此漏洞仅在Apex One的本地部署版本中可利用；SaaS版本不受影响。
攻击途径
已通过其他方法获得Apex One服务器本地管理员访问权限的攻击者可以利用目录遍历缺陷访问预期路径之外的文件，修改关键表并注入恶意代码。由于Apex One是终端安全管理软件，注入的代码随后会分发到整个企业的受管代理程序，从而通过单个服务器级别的入侵实现大规模感染。
受影响系统
Apex One（本地部署版）服务器和代理程序构建版本低于2019构建版本17079。使用本地部署Apex One进行终端安全管理的组织。
缓解措施
将Apex One本地部署版升级至SP1 CP Build 18012（适用于现有SP1用户）或SP1 Build 17079（适用于新安装），并确保代理程序构建版本至少为14.0.0.17079。按照趋势科技公告KA-0023430应用缓解措施。根据CISA KEV要求，联邦民用机构必须在2026年6月4日之前应用缓解措施。