ZONE.CI 全球网

WordPress核心存在两处可组合利用的高危漏洞，攻击者无需身份认证即可实现远程代码执行。漏洞链名为wp2shell，结合RESTAPI路由混淆漏洞与SQL注入漏洞，影响6.9.0至6.9.4及7.0.0至7.0.1版本。修复版本为6.8.6、6.9.5、7.0.2，建议立即升级并排查异常管理员账号与可疑插件。

本文系统梳理AI系统全生命周期六大安全漏洞类型，包括训练数据投毒、模型窃取、成员推断、对抗样本、插件工具调用越权及供应链风险，并针对每类漏洞给出具体缓解措施。文章强调AI安全需采用纵深防御策略，在数据采集、模型训练、部署及运行各阶段均需建立多层防护，定期开展安全评估与红队测试，以将整体风险控制在可接受水平。

本文通报Windows内核驱动mskssrv.sys存在本地提权漏洞CVE-2026-83834，攻击者可利用UAF与TOCTOU竞态实现内核代码执行，影响多个Windows版本，POC已公开，建议用户升级至官方安全版本。

本文预警Next.js图片优化接口存在的RCE漏洞CVE-2026-96889，根因是依赖链中librsvg的释放后使用问题，影响10.0.0至15.5.27及16.0.1至16.4.0版本，修复版本为15.5.28和16.4.1。攻击无需认证且默认配置即可触发，但获取执行权需特定环境。建议受影响用户立即升级修复版本。

本文复盘CVE-2025-52488漏洞，攻击链利用全角反斜杠绕过过滤，经Unicode归一化还原为反斜杠，结合Path.Combine的绝对路径覆盖特性，构造UNC路径触发SMB外联，导致NTLM哈希泄露。漏洞影响DNN6.0.0至10.0.0，补丁为10.0.1。检测需阻断出站445端口并审计NTLM外联，修复应遵循先归一化再校验原则。

本文评测开源漏洞管理平台Faraday，其将80+安全工具扫描结果聚合统一视图，支持自动去重、多用户协作与报告导出。Docker全栈部署且数据自托管，MIT协议免费商用。文章介绍典型工作流与选型建议，指出其核心价值在于管理漏洞发现而非发现漏洞，适合有持续安全测试需求的团队。

ArmoryCastleAPT组织利用BeyondTrust远程支持设备零日漏洞CVE-2026-102764发起攻击，该漏洞CVSS评分9.3，影响26.2.3及之前版本。攻击者部署Sawfly后门和Bareclaw隧道工具获取根权限，窃取敏感文档并清除日志。建议用户尽快升级至修复版本24.3.1及以上，并关注Mandiant和GTIG发布的技术报告。

微软2026年10月补丁日发布1415个CVE创历史新高，首次突破四位数，但仅一个漏洞被列为正在遭受攻击。漏洞涵盖Windows、Office、Azure等广泛产品，严重程度以重要为主。重点漏洞包括CVE-2026-96951MotW绕过、SharePoint权限提升、SQLServer和ExchangeRCE等。59个可蠕虫利用漏洞需重视。建议团队不应仅根据CVE数量判断漏洞利用优先级，而应优先修复已被证实、优先级高且已公开的漏洞。

本周网络安全三大防线遭多重冲击，黑客滥用Cloudflare域名实施电话诈骗，AI代理协助劫持Linuxsudo窃取凭证，37年内核漏洞致OpenBSD提权，新型YuanKong木马窃取银行信息，iOS27完美越狱演示成功，AI代理入侵全球PaperCut服务器，谷歌自动绑定手机号引发隐私担忧，印度CERT-In警告AI加速攻击，MITRE新增9项AI相关攻击技术。

黑客利用NextcloudCollaboraOnline内置CODEServer应用中的CVE-2026-110447严重命令执行漏洞，自9月中旬起发起攻击，植入PHPwebshell以搜索密码数据库及加密货币钱包。该漏洞影响26.4.303之前版本，无需认证即可利用。建议管理员立即升级至26.4.303或更高版本，若不需要应移除该应用。文章还揭示了安全修复与CVE发布之间的时间差问题，以及AI辅助漏洞发现对CVE处理流程带来的压力。

GitLab警告存在最高严重级别的代码执行漏洞CVE-2026-97229，源于CI/CD正则表达式编译器整数溢出，可能允许未经身份验证的攻击者通过精心构造的正则表达式在服务器上执行任意代码。已修复19.2.8、19.3.4、19.4.2之前版本，建议立即升级。近期GitLab还修复了多个高危漏洞，CISA已将其加入被利用漏洞目录。

中通安全应急响应中心发布通知，因双十一业务高峰，于2026年10月19日至11月14日暂停外部授权测试及漏洞收录。期间未经授权的测试将被视为违规，可能面临取消奖励、账号封禁等处置，严重者保留追责权利。暂停期结束后恢复正常收录，建议白帽子遵守规定，保障业务安全稳定。

文档汇总2026年10月19日安全威胁动态，重点包括opencode在Windows和WSL存在远程代码执行漏洞，影响1.0.137至1.18.32版本，修复版为1.18.33；另披露遗留系统漏洞致API密钥泄露风险，涉及OpenAI等第三方服务。此外提及GiteaSSH证书权限提升、Linux内核KVM漏洞等。建议用户及时升级并排查密钥使用情况。

研究员公开六个Linux内核漏洞细节及PoC，其中五个可导致本地权限提升和容器逃逸，一个可致内核崩溃。漏洞位于定时器、信号、内存管理等核心代码，影响多版本内核。已有公开利用代码，暂无在野利用报告。建议管理员立即安装已修补内核，优先处理多租户主机和容器节点。

CVE-2026-21589影响Atlassian多款产品，源于共享库路径穿越缺陷，未授权可读取WEB-INF下任意文件，Jira集成Crowd场景可升级为管理员接管。建议立即升级至修复版本，排查日志并轮换凭据，临时下线公网或配置访问限制。

本文介绍利用Workbuddy搭配Skill技能库自动化探测SSRF漏洞的完整流程，包括配置AI约束、收集接口、批量Payload测试、人工复现验证、根因分析与修复方案，并生成SRC标准漏洞报告。文章强调仅限授权测试，并提供白名单校验、黑名单过滤等修复建议，末尾推广AI挖洞技能库。

文档汇总2026年10月19日网络安全新闻，涵盖AnthropicMythos检出大量漏洞致美国银行增聘千名外包人员修复、AI生成漏洞报告泛滥促使Intel与Google调整赏金计划、美国多机构发布前沿AI系统安全指引、ConnectWise供应链攻击入侵大量Microsoft365租户、OpenAI披露7起AI模型越权事件等，凸显AI安全双面效应与供应链风险。

文章探讨AI时代漏洞挖掘趋势，指出2026年漏洞提交量暴涨但厂商预算紧张，简单漏洞将逐渐消失，白帽子需深入研究高危漏洞才能获得赏金。建议夯实基本功，深入研究感兴趣方向，挖出AI挖不到的漏洞，经济拮据可自学，宽裕可报班。

该通报汇总2026年10月17日六大安全风险，包括协作平台任意文件读取漏洞遭在野利用、制冷装置控制器遭入侵、AI平台命令注入、虚拟化认证绕过、零售集团遭入侵及云数据库反序列化漏洞。建议优先修复互联网可访问系统、收敛管理面暴露、升级至修复版本并实施最小权限管理。

WindowsShell漏洞CVE-2026-96951利用SettingContent-ms文件绕过MOTW安全标记，双击即可无警告执行任意命令，CVSS8.8分，已在野利用。微软于2026年10月13日发布补丁修复，建议用户立即安装累积更新KB5127648等，并检查系统版本是否低于修复线，未修复环境需警惕钓鱼邮件投递的此类文件。