ZONE.CI 全球网

《互联网信息内容多渠道分发服务管理规定》是我国首部专门规范该领域的法规，于2026年9月1日实施。规定构建了从设立运行到服务规范的全链条治理机制，明确机构设立要求、平台管理责任、服务行为规范及监管职责。重点包括禁止11类违规行为、加强未成年人保护、规范直播电商等具体要求，旨在推动行业从流量驱动向合规驱动转型，维护网络内容安全与市场秩序。

Gogs修复一个严重的参数注入零日漏洞，允许认证攻击者远程代码执行并访问所有仓库。影响0.14.2及以下版本，需立即升级至0.14.3。缓解措施包括禁用开放注册、限制仓库创建和审计rebase设置。漏洞类似历史CVE，已存在野外利用案例。

CVE-2026-11645是GoogleChromeV8JavaScript引擎中的一个高危内存越界读写漏洞，已在野利用，可导致远程代码执行。影响Chromium149.0.7827.102之前版本，建议立即升级至最新版本，或采取禁用JavaScript等临时缓解措施。

CVE-2026-45454是MicrosoftSharePoint中的路径遍历漏洞，允许普通用户通过跨库文件写入实现远程代码执行。漏洞成因是UploadPage.CurrentFolder属性未验证目标文件夹是否属于指定文档库，攻击者可利用权限文档库将文件写入无权限的系统目录（如/\\_catalogs/masterpage），进而执行恶意ASPX文件。影响版本包括SharePointServer2016/2019/订阅版的特定低版本，建议用户参考微软官方链接及时更新补丁。

Fortra披露CorePrivilegedAccessManager(BoKS)存在严重命令注入漏洞CVE-2026-9862（CVSS9.8），攻击者可通过boks\\_autoregisterd服务在端口6507上无需认证执行任意命令。建议立即限制网络访问、关闭服务或应用补丁，防止系统完全被控。

CVE-2026-25860是OpenClinicGA医疗信息系统中一个反射型XSS漏洞，攻击者通过构造恶意DICOM文件在StudyDescription等元数据字段注入JavaScript代码，利用认证会话修改系统配置参数，最终通过storePicture.jsp实现远程命令执行。文档详细分析了漏洞链利用过程，提供了Docker环境搭建指南和漏洞复现步骤，属于典型的WEB安全漏洞链分析案例。

360漏洞研究院披露AdobeColdFusion多个漏洞，核心为CVE-2026-48282路径穿越漏洞(CVSS10.0)，无需认证即可在启用RDS且未认证的服务器上实现远程代码执行。影响AdobeColdFusion2025<=Update9及2023<=Update20版本。建议用户立即升级至Update10或Update21。360产品已支持检测。

UltraVNCRepeater存在两个高危漏洞:CVE-2026-7840为未授权缓冲区溢出可致远程代码执行,CVSS9.8;CVE-2026-7839为硬编码管理员密码,CVSS9.1。影响1.8.2.2及更早版本。建议立即更新、阻止管理端口公开访问、更改默认凭据并审查日志。

ServiceNow披露并修复了其AI平台中的一个严重沙箱逃逸漏洞CVE-2026-6875，该漏洞可导致未经身份认证的攻击者远程执行代码，影响托管和自托管部署版本。ServiceNow已为托管实例部署安全更新，并为自托管客户提供补丁。建议组织立即审查并应用相应版本更新，同时监控异常活动以防范潜在利用。

该文解读《反网络暴力法（征求意见稿）》，强调在法治轨道上推进反网络暴力工作，建立协同共治格局，压实平台责任，强化责任追究，加强受害者帮扶，为网络暴力治理提供法律保障。

本文为恒安嘉新18周年庆典宣传稿。公司宣布已从数字安全领域升级为专注AI智能治理的垂类大模型企业，依托十八年运营商级全量流量数据打造读懂机器语言的大模型。同时明确表达了冲刺上市与建设百年企业的战略愿景。整体偏向企业公关宣传，无实质技术细节。

DellPowerStoreT系列存在严重SMB漏洞CVE-2026-67271，CVSS评分9.8。攻击者无需身份验证即可通过网络发送特制SMB数据包触发越界写入，导致服务崩溃并可能实现远程代码执行。建议立即将PowerStoreTOS升级至5.0.0.2-2761110或更高版本，并在补丁部署前限制SMB及管理接口的网络访问。

《互联网信息内容多渠道分发服务管理规定》是我国首部专门规范该领域的法规，于2026年9月1日实施。规定构建了从设立运行到服务规范的全链条治理机制，明确机构设立要求、平台管理责任、服务行为规范及监管职责。重点包括禁止11类违规行为、加强未成年人保护、规范直播电商等具体要求，旨在推动行业从流量驱动向合规驱动转型，维护网络内容安全与市场秩序。

Gogs修复一个严重的参数注入零日漏洞，允许认证攻击者远程代码执行并访问所有仓库。影响0.14.2及以下版本，需立即升级至0.14.3。缓解措施包括禁用开放注册、限制仓库创建和审计rebase设置。漏洞类似历史CVE，已存在野外利用案例。

CVE-2026-11645是GoogleChromeV8JavaScript引擎中的一个高危内存越界读写漏洞，已在野利用，可导致远程代码执行。影响Chromium149.0.7827.102之前版本，建议立即升级至最新版本，或采取禁用JavaScript等临时缓解措施。

CVE-2026-45454是MicrosoftSharePoint中的路径遍历漏洞，允许普通用户通过跨库文件写入实现远程代码执行。漏洞成因是UploadPage.CurrentFolder属性未验证目标文件夹是否属于指定文档库，攻击者可利用权限文档库将文件写入无权限的系统目录（如/\\_catalogs/masterpage），进而执行恶意ASPX文件。影响版本包括SharePointServer2016/2019/订阅版的特定低版本，建议用户参考微软官方链接及时更新补丁。

Fortra披露CorePrivilegedAccessManager(BoKS)存在严重命令注入漏洞CVE-2026-9862（CVSS9.8），攻击者可通过boks\\_autoregisterd服务在端口6507上无需认证执行任意命令。建议立即限制网络访问、关闭服务或应用补丁，防止系统完全被控。

CVE-2026-25860是OpenClinicGA医疗信息系统中一个反射型XSS漏洞，攻击者通过构造恶意DICOM文件在StudyDescription等元数据字段注入JavaScript代码，利用认证会话修改系统配置参数，最终通过storePicture.jsp实现远程命令执行。文档详细分析了漏洞链利用过程，提供了Docker环境搭建指南和漏洞复现步骤，属于典型的WEB安全漏洞链分析案例。

360漏洞研究院披露AdobeColdFusion多个漏洞，核心为CVE-2026-48282路径穿越漏洞(CVSS10.0)，无需认证即可在启用RDS且未认证的服务器上实现远程代码执行。影响AdobeColdFusion2025<=Update9及2023<=Update20版本。建议用户立即升级至Update10或Update21。360产品已支持检测。

UltraVNCRepeater存在两个高危漏洞:CVE-2026-7840为未授权缓冲区溢出可致远程代码执行,CVSS9.8;CVE-2026-7839为硬编码管理员密码,CVSS9.1。影响1.8.2.2及更早版本。建议立即更新、阻止管理端口公开访问、更改默认凭据并审查日志。