Nexpose 8.60.0 for Linux & Windows - 漏洞扫描

Rapid7 on-prem Vulnerability Management, released September 2026

请访问原文链接：https://sysin.org/blog/nexpose/ 查看最新版。原创作品，转载请保留出处。

作者主页：sysin.org

摘要：Nexpose 8.60.0 发布，新增 TLS 1.3 支持，更新 CIS 策略内容，并修复 Oracle 凭据测试、站点计划显示及 Investigations 扫描等问题。

Nexpose Vulnerability Scanner

本地部署的漏洞扫描器

一款强大的漏洞管理解决方案，可在整个环境中提供全面的资产可见性，同时协助风险的优先级排序与修复。

Nexpose

新增功能

Nexpose 最新发布

Nexpose 版本 8.60.0

软件发布日期：2026 年 9 月 21 日 | 发布说明发布日期：2026 年 9 月 18 日

✨ 改进：

增加了对 TLS 1.3 的支持，并将其作为控制台连接的首选安全协议，从而提升连接性能并符合当前安全标准。TLS 1.2 仍然得到完全支持 (sysin)；当 TLS 1.3 不可用时，系统将自动使用 TLS 1.2，确保现有集成或工作流程不会受到影响。
策略内容更新：
- 增加对 CIS Apache Tomcat 11 Benchmark v1.1.0 的内置策略支持。
- 将 CIS Kubernetes (K8s) Benchmark 的支持版本从 v1.6.1 更新至 v2.0.1。

🐞 修复：

修复了一个问题：对于配置为使用 Service Name 的 Oracle 数据库，凭据测试可能会错误地将有效凭据报告为身份验证失败。现在，凭据测试能够准确反映身份验证结果。
修复了 Security Console UI 中的一个问题：在多个页面之间导航时，站点计划的启用/禁用状态可能显示不正确。现在，计划状态能够始终一致且准确地显示。
修复了 Investigations 功能的一个问题：在特定条件下，该功能可能会启动多个扫描任务，从而对扫描引擎性能产生不利影响。该问题现已解决，以确保 Investigate 工作流程能够按预期运行。

Nexpose 版本 8.59.0

软件发布日期：2026 年 9 月 15 日 | 发布说明发布日期：2026 年 9 月 14 日

✨ 改进：

8.59.0 版本对 Security Console 内置的 Spring Boot 框架进行了重大升级。此次框架升级通过保持核心应用组件处于最新状态 (sysin)，并使其符合现代安全标准，进一步增强了 Security Console 的整体安全性。
- 8.59.0 版本仅专注于 Spring Boot 框架升级，不包含任何新产品功能或缺陷修复。

Nexpose 版本 8.58.0

软件发布日期：2026 年 9 月 7 日 | 发布说明发布日期：2026 年 9 月 9 日

🆕 新增：

扫描模板支持基于凭据的预端口发现（Credentialed Pre-Port Discovery）。扫描模板现在在 Asset Discovery（资产发现）下新增 Use credentialed pre-port discovery（使用基于凭据的预端口发现）选项（默认关闭）。启用后，扫描引擎会通过 Scan Assistant、SSH 或 Windows 凭据，直接从每个目标获取开放端口信息，从而绕过针对这些资产的基于网络的 Nmap 端口扫描。对于没有匹配凭据或身份验证失败的目标，将自动回退到标准 Nmap 扫描，因此不会造成任何资产覆盖范围的丢失。
- 重要提示：主机会报告其在本地监听的所有端口，而不会感知主机与扫描引擎之间存在的防火墙或网络控制措施 (sysin)。在启用此选项之前，请检查您的防火墙规则。在网络高度分段的环境中，基于网络的端口扫描可能仍然是更好的选择。此功能可以通过 Administration > Scan Templates > Asset Discovery 启用，也可以通过 REST API 将 discovery.asset.prePortDiscovery 参数设置为 true 来启用。

✨ 改进：

策略内容更新：
- 新增对 CIS Mozilla Firefox ESR GPO Benchmark v1.0.0 的支持
- [CIS] 将 CIS Microsoft Windows Server 2022 Benchmark 内置策略内容从 v4.0.0 更新至 v5.1.0
- [CIS] 将 CIS Microsoft Windows Server 2025 Benchmark 内置策略内容从 v1.0.0 更新至 v2.1.0
- [CIS] 将 CIS Amazon Linux 2 Benchmark 内置策略内容从 v3.0.0 更新至 v4.0.0

🐞 修复：

修复了在某些情况下，自定义策略合规性扫描能够成功完成，但报告集成资产数量为零的问题。这会导致扫描结果无法记录到控制台中的任何资产上。该问题现已解决——自定义策略合规性扫描完成后，资产现在可以正确完成集成。
修复了 使用 Shell Command Checks 的 CIS Benchmark ARF 报告无法打开的问题。针对使用 Shell Command Checks（Shell 命令检查）的 CIS Benchmark（例如 CIS PostgreSQL 17）生成的 Asset Reporting Format（ARF）报告，在浏览器中打开时会产生 XML 错误，导致报告无法使用。该问题现已解决，ARF 报告现在可以正常打开。
控制台 CLI 重置密码命令失败。命令行重置密码功能会因数据库错误而失败，导致管理员无法通过控制台 CLI 重置用户密码。该问题现已解决，重置密码命令现在可以成功完成。
Discovery Connections 页面加载失败。当某个发现连接的状态缺失或不完整时 (sysin)，可能会导致整个 Discovery Connections（发现连接）表无法加载，使用户无法查看或管理任何连接。该问题现已解决——无论单个连接处于何种状态，该页面现在都可以正常加载。

Nexpose 版本 8.57.0

软件发布日期：2026 年 8 月 31 日 | 发行说明发布日期：2026 年 8 月 28 日

✨ 改进：

新增策略内容 DISA STIG Amazon Linux 2023，Version 1 Release 4。针对 Amazon Linux 2023 环境执行合规性评估的客户现在可以依据最新基准进行扫描，确保评估结果符合当前的联邦安全要求。

🐞 修复：

解决了影响 Red Hat JBoss Enterprise Application Platform 8.1 Update 7.1 的误报问题。已更新检测逻辑，以正确识别已修补的版本，从而消除该误报。
在扫描使用交互式 SSH Shell 的设备（例如 Fortinet FortiGate 防火墙）时，扫描期间发生的命令超时可能导致引擎完全终止 SSH 会话，从而造成扫描数据不完整。现已解决此问题；超时现在可以得到正常处理，扫描会按预期继续进行。
解决了影响使用 Investigate 功能显示的部分结果准确性的问题。已对 Investigate 功能进行改进，以确保能够更准确地验证 Windows 资产上基于文件的漏洞发现结果，从而提供更可靠的调查结果。
修复了部分使用 Azure discovery connections 的客户在导入资产时出现失败的问题。该问题是由于某些 Azure 资产属性超过内部数据库大小限制所导致的。现已更新数据存储机制，以支持较大的属性值，确保 Azure 资产能够成功完成导入。

Nexpose 8.56.0

软件发布日期：2026 年 8 月 24 日 | 发布说明发布日期：2026 年 8 月 21 日

改进：

InsightVM 控制台和扫描引擎中捆绑的 Java 运行时环境（Azul Zulu JDK 17）已从 17.0.18 版本更新至 17.0.20 版本，提升了安全控制台整体的安全性。

修复：

修复了部分客户在运行包含“基线比较”（Baseline Comparison）部分的报告（例如“执行概览”（Executive Overview）、“审计报告”（Audit Report））时遇到报告生成失败的问题。该问题发生的原因是某些内部漏洞标识符超过了预期的长度限制 (sysin)，导致报告生成失败。现在，无论漏洞标识符长度如何，基线比较报告均可成功生成。
修复了“筛选资产搜索”（Filtered Asset Search）页面上的一个问题：用户输入筛选值后，如果未先离开输入字段就直接点击“搜索”（Search），系统可能会发送一个空筛选条件，并返回未经过筛选的全部资产结果。现在，筛选条件始终能够正确应用。

工作原理

Collect

收集

通过对整个网络的实时覆盖，随时掌握风险情况。

Prioritize

优先级排序

借助更具意义的风险评分，了解应优先关注哪些漏洞。

Remediate

修复

为 IT 提供快速高效修复问题所需的信息。

Quote Icon

评语：对于大型企业来说 —— 无论多大规模 —— 这款产品都非常值得考虑。它功能强大，具有可靠的历史表现与优秀的支持选项。

—— SC Magazine

核心功能

助你在关键时刻采取行动的漏洞扫描软件。

实际风险评分

传统的 1-10 CVSS 分数往往会标记成千上万个“高危”漏洞。我们的漏洞扫描器采用实际风险评分（Real Risk Score），提供更具可操作性的洞见 (sysin)。该评分不仅考虑漏洞的存在时间，还包括公开利用代码或恶意软件工具包等因素，1-1000 的评分范围可突显最有可能被攻击者利用的漏洞，助你优先处理真正关键的问题。

结合强大的标签系统，还可自动优先处理对你的业务最关键的系统。

Real risk score