Nexpose 8.63.0 for Linux & Windows - 漏洞扫描

Rapid7 on-prem Vulnerability Management, released October 2026

下载地址原文链接：https://sysin.org/blog/nexpose/ 查看最新版。原创作品，转载请保留出处。

作者主页：sysin.org

摘要：Nexpose 8.63.0 优化了 SSH 凭据审计、Scan Assistant、Windows Java 版本识别及 Juniper Junos OS 漏洞检测，并修复了扫描启动失败和 CIS Windows 合规评估结果异常等问题，提升了漏洞检测准确性、扫描可靠性与合规评估能力。

Nexpose Vulnerability Scanner

本地部署的漏洞扫描器

一款强大的漏洞管理解决方案，可在整个环境中提供全面的资产可见性，同时协助风险的优先级排序与修复。

Nexpose

新增功能

Nexpose 最新发布

Nexpose 版本 8.63.0

软件发布日期：2026 年 10 月 12 日 | 发行说明发布日期：2026 年 10 月 12 日

Download Product

✨ 改进：

凭据扫描审计。现在，SSH 密钥凭据的凭据审计记录会显示所使用的用户名，以便您查看每个资产通过身份验证时使用的账户。
Scan Assistant 1.9.0：Scan Assistant 已更新至 1.9.0 版本，并升级了其底层 Go 运行时，以确保该组件保持最新状态并具备良好的安全性。
Windows 上的 Java 运行时环境（JRE）检测：指纹识别现在能够捕获 JRE 安装的完整补丁版本，例如识别为 25.0.4.1，而不是 25.0.4。这有助于减少对运行已打补丁版本的资产产生的误报。
Juniper Junos OS 漏洞检查：现在，版本比较能够跨不同的 Junos 发布分支正常进行。这可以防止系统跳过实际存在漏洞的资产的相关检查。

🐞 修复：

引擎与控制台配对时的扫描启动失败问题：当扫描同时启动时，采用反向配对的扫描引擎可能会间歇性地出现扫描失败，并显示“引擎离线或不可用”（engine offline or unavailable）错误。现在，控制台能够检测到过期连接并自动重试，从而确保这些扫描能够可靠启动。
部分 CIS Windows 基准的策略评估问题，包括 CIS Microsoft Windows 11 Enterprise（Level 1）和 CIS Microsoft Intune for Windows 11 v4.0.0：评估结果报告的规则数量超过了所选基准配置文件实际包含的规则数量。其中一些额外规则还会显示为“未检查”（Not Checked）。现在，评估报告中的规则数量与基准保持一致，因此可以直接根据 CIS 标准核对合规性结果。
修复了一个问题：当目标的操作系统指纹识别置信度较低时，CIS Windows 规则会被报告为“错误”（Error），而不是“不适用”（Not Applicable）。现在，这些规则能够正确报告为“不适用”。

Nexpose 版本 8.62.0

软件发布日期：2026 年 10 月 5 日 | 发行说明发布日期：2026 年 10 月 5 日

Download Product

改进：

NTLM 身份验证 — 现在，身份验证请求中会包含扫描引擎主机名。扫描引擎现在通过 SMB 和 HTTP 使用 NTLM 进行身份验证时，能够正确使用主机名标识自身，确保扫描活动能够准确地记录在安全审计日志和 Microsoft Defender for Identity（MDI）中，同时消除可能造成安全监控混淆的“UNKNOWN”（未知）来源条目。
现已提供 PostgreSQL 15.18 版本。将控制台的内部数据库升级至 PostgreSQL 15.18，以获得该版本包含的稳定性和安全性改进。
- 注意：如果您之前从未执行过 PostgreSQL 次要版本升级，则在升级至 8.62.0 或重启控制台时，此更新将自动应用。如果您过去曾手动执行过次要版本升级，则必须由全局管理员手动应用此更新，操作路径为 Administration > Maintenance > Run Manual Maintenance > Update PostgreSQL。更新期间，控制台会短暂进入维护模式。请等待更新完成后，再刷新页面并重新登录。
Oracle JRE — 现在能够在 Windows 上正确识别已打补丁的版本。现在可以准确捕获 Windows 上 Oracle JRE 的完整版本字符串，包括补丁版本部分（例如 25.0.4.1，而不是 25.0.4），从而消除针对运行已打补丁 JRE 版本的资产产生的漏洞误报。
Oracle HTTP Server — 新增检测支持。现在支持对 Windows 和 Linux 上的 Oracle HTTP Server 进行经过身份验证的指纹识别，从而能够准确地对该产品进行软件资产清单管理和漏洞评估。
新增 CIS 策略内容：CIS Microsoft SQL Server 2025 Benchmark v1.0.0。现已提供内置的 CIS Microsoft SQL Server 2025 Benchmark v1.0.0 策略内容，可依据 CIS 针对 SQL Server 2025 发布的最新安全加固指南开展合规性评估。

修复：

修复反向配对扫描引擎产生的虚假加密警告。配置了引擎与控制台配对的扫描引擎此前会在安全控制台日志中反复生成 Connection to scan engine not encrypted（与扫描引擎的连接未加密）警告。尽管连接实际上是安全的，这些警告仍会引起不必要的担忧。此问题现已修复。
修复动态资产组中的漏洞例外导致扫描不稳定的问题。此前，如果漏洞例外应用于使用基于风险评分或漏洞评分的筛选条件定义的动态资产组，可能会形成自我强化的循环，导致资产在扫描期间反复加入和退出该组。此问题现已修复。创建此类例外时，现在会限制使用 CVSSv3 评分条件，从而确保扫描结果保持一致且稳定。
Check Point GAiA — 修复现代 Jumbo Hotfix 软件包导致的漏洞误报。在现代 Check Point GAiA R81.20 环境中执行漏洞扫描时，由于指纹识别器无法识别当前 Jumbo Hotfix 软件包的命名格式，导致系统错误地计算出最高已安装版本，从而产生漏洞误报。现已更新检测机制，以准确识别所有当前的软件包格式。

Nexpose 版本 8.61.0

软件发布日期：2026 年 9 月 28 日 | 发布说明发布日期：2026 年 9 月 28 日

✨ 改进：

增加对 Microsoft 365 Copilot for Desktop 的指纹识别支持。InsightVM 现在可以将 Microsoft 365 Copilot for Desktop 检测并清点为已安装软件，确保该应用程序显示在资产数据中，并纳入漏洞评估范围。
增加对 Microsoft Office LTSC 2024 的指纹识别支持。InsightVM 现在能够正确识别 Microsoft Office LTSC 2024 这一独立产品，使漏洞结果能够针对该 Office 版本准确报告，并确保运行 LTSC 部署的客户获得完整覆盖。
更新指纹识别功能，确保能够检测 Microsoft Edge 的 Stable 和 Extended Stable 发布渠道，从而提供更准确的软件清单，并确保漏洞评估能够反映环境中部署的具体 Edge 版本。
增加对 Microsoft Teams 的指纹识别支持，使该应用程序能够在扫描过程中被准确识别，并针对已知漏洞进行评估。

✨ 改进：

解决 IBM WebSphere Application Server 与 Direct Toolkit (DT) 修复相关的 iFix 软件包被错误报告为缺失的问题，避免已应用这些补丁的客户出现误报漏洞结果。
更新指纹识别功能，使其能够正确检测 Windows 资产中已安装的 Microsoft .NET Framework 1.1 版本，确保该旧版运行时环境的生命周期终止（End-of-Life）漏洞结果能够被准确报告，并且不再在扫描或 Agent 评估过程中遗漏。
解决第三方应用程序（例如 Pencil9 Harmony）显示名称为 “Harmony” 时被错误识别为 Cleo Harmony 的问题，避免在未安装 Cleo Harmony 的资产上针对 CVE-2024-55956 和 CVE-2024-50623 产生误报。
解决在同时安装 Firefox ESR 的资产上无法检测 Mozilla Firefox（标准版）的问题，避免遗漏标准版 Firefox 相关漏洞结果。
修复在操作系统指纹识别过程中无法正确解析 Arista 网络设备 MAC 地址的问题，该问题可能影响资产关联和清单准确性。
解决 CIS Microsoft SQL Server 2019 v1.2.0 基准中的多个规则在正确配置的 SQL Server 实例上生成误报合规结果的问题，确保策略评估结果能够准确反映实际合规状态。
解决 Ivanti Endpoint Manager Mobile (EPMM) 指纹识别逻辑问题，其中错误的模式匹配导致产品无法在扫描资产中被准确检测，确保漏洞评估现在能够正确反映环境中 Ivanti EPMM 的存在状态及版本信息。

工作原理

Collect

收集

通过对整个网络的实时覆盖，随时掌握风险情况。

Prioritize

优先级排序

借助更具意义的风险评分，了解应优先关注哪些漏洞。

Remediate

修复

为 IT 提供快速高效修复问题所需的信息。

Quote Icon

评语：对于大型企业来说 —— 无论多大规模 —— 这款产品都非常值得考虑。它功能强大，具有可靠的历史表现与优秀的支持选项。

—— SC Magazine

核心功能

助你在关键时刻采取行动的漏洞扫描软件。

实际风险评分

传统的 1-10 CVSS 分数往往会标记成千上万个“高危”漏洞。我们的漏洞扫描器采用实际风险评分（Real Risk Score），提供更具可操作性的洞见 (sysin)。该评分不仅考虑漏洞的存在时间，还包括公开利用代码或恶意软件工具包等因素，1-1000 的评分范围可突显最有可能被攻击者利用的漏洞，助你优先处理真正关键的问题。

结合强大的标签系统，还可自动优先处理对你的业务最关键的系统。

Real risk score