ZONE.CI 全球网

LiteSpeedcPanel插件存在高危漏洞CVE-2026-48172（CVSS10.0），因权限分配错误导致任意cPanel用户账号可调用lsws.redisable函数获取root权限执行恶意脚本。影响2.3至2.4.4版本，2.4.5已修复。官方证实漏洞遭野外利用，提供grep命令排查入侵痕迹，建议升级至WHM插件5.3.1.0或卸载用户端插件。

本文详细披露了GoogleCloud生产环境中一个从调试端点信息泄露演变为完整RCE的攻击链。研究员通过cloudcrmipfrontend-pa.googleapis.com端点泄露内部protobuf定义，利用StubbyRPC机制绕过安全策略，最终通过GenericStubbyTypedTask实现远程代码执行。该漏洞被评定为P0/S0最高级别，获得148,337美元奖金，揭示了Google安全模型中Stubby调用链的核心风险。

NGINXngx_http_rewrite\\_module存在堆缓冲区溢出漏洞(CVE-2026-42945)，攻击者可通过构造HTTP请求实现远程代码执行。影响版本包括1.0.0-1.30.0等多个NGINX系列产品，目前POC已公开。建议用户立即升级至官方安全版本。

ApacheTomcatTribes集群通信框架的EncryptInterceptor组件存在加密绕过反序列化漏洞（CVE-2026-34486），因修复CVE-2026-29146时引入逻辑缺陷，导致解密失败后仍继续反序列化未加密数据。攻击者通过向Tribes端口（默认4000）发送恶意序列化载荷即可实现远程代码执行，影响Tomcat9.0.116/10.1.53/11.0.20版本。建议升级至安全版本或验证EncryptInterceptor配置。

本文是作者关于漏洞赏金之旅的经验分享，讲述了从零基础起步，历经两年失败后首次获得500美元奖励，再到最终年收入突破3.2万美元的成长历程。核心经验包括专注于访问控制等特定领域、持之以恒地学习与实践，并分享了一个GitLab的IDOR（不安全的直接对象引用）漏洞案例及其利用步骤。文章强调，漏洞赏金是一场需要耐心和持续努力的马拉松。

华住安全响应中心将于2026年5月25日至6月3日暂停漏洞测试及平台使用以进行升级优化，预计6月4日12:00恢复。暂停期间发现高风险漏洞可通过邮箱[email protected]提交并获得奖励，同时强烈谴责恶意攻击行为并保留法律追责权利。

本文详细介绍了云服务AccessKey泄露的渗透利用方法，包括阿里云LTAI和腾讯云AKID等密钥特征识别，并推荐了cloudTools、API-T00L、EasyTools等多款自动化利用工具。文章还展示了session_key三要素泄露导致手机号解密的实战案例，最后部分为SRC漏洞挖掘培训课程的广告推广内容。

厦门四信通信水利信息化平台index.do存在SQL注入漏洞，攻击者可通过构造恶意SQL语句获取数据库敏感信息。文档提供了漏洞复现步骤和验证方法，并引导用户关注公众号获取POC详情。同时推荐加入内部圈子获取Nuclei批量验证脚本和持续更新的漏洞库资源。

文档介绍无镜靶场中的并发逻辑漏洞案例，攻击者通过注册账号、修改生日日期至当天并利用并发请求多次领取50元礼包，最终累计400元购买商品获取flag。关键发现是后端在检查领取状态与更新数据库之间存在时间窗口漏洞，建议开发者采用原子操作或锁机制防范并发问题。

AI模型Mythos在30天内扫描千余项目发现23019个漏洞，效率远超人工且能自主构建攻击链，导致传统安全模式崩溃及股市震荡。文章指出漏洞由稀缺转为快消，特征库防御失效，行业面临修复挑战，未来必须全面升级为以AI对抗AI的智能防御体系。

本文详细记录了通过DeepSeek和Claude等AI工具纯黑盒挖掘某ERP系统9.8分RCE0day漏洞的全过程。AIagent通过公开漏洞情报定位攻击面，发现BinaryFormatter反序列化入口，最终利用ActivitySurrogateSelectorFromFile绕过WAF实现RCE。文章展示了AI在侦察、验证、利用各阶段的能力边界，并提出了分层使用模型和极简架构的新思路。

Anthropic公司’玻璃之翼’项目利用ClaudeMythos预览版AI模型在全球关键软件中发现超10000个高危漏洞，揭示网络安全挑战从漏洞发现转向修复瓶颈。项目扫描1000多个开源项目发现6202个高危漏洞，验证通过率达90.6%。AI模型使漏洞发现效率提升10倍，但补丁修复滞后加剧风险，建议开发者缩短补丁周期、防御者加强基础安全控制。

该文档披露某多语言数字货币交易所存在前台任意文件上传漏洞，核心问题为JWT签名密钥硬编码导致可伪造任意用户令牌，结合未授权文件上传功能可实现Webshell植入。漏洞位于ThinkPHP框架的JwtAuth.php和Member.php，文章提供了完整的Python利用工具和HTTP攻击载荷。关键发现包括权限绕过机制和文件上传路径可控性，建议立即更换密钥并加强文件类型验证。

该文档详细分析了BashShellshock漏洞（CVE-2014-6271）的成因与复现方法。漏洞因Bash解析环境变量时未严格校验函数边界，导致攻击者可通过恶意构造的HTTP头等途径实现远程代码执行。文档提供了Vulhub环境下的完整复现步骤，包括Docker部署、漏洞验证及利用场景分析，并指出影响范围为Bash≤4.3版本。

AI工具显著降低漏洞发现成本导致漏洞赏金报告数量激增但质量下降，HackerOne平台中等漏洞赏金从1843美元降至297美元，关键漏洞从9250美元降至2257美元。开源项目如curl确认漏洞比例从15%暴跌至5%，维护者处理垃圾报告负担加重。AI可生成报告但仍需人类验证影响、去重和协调修复，IBB项目暂停反映行业需重新评估AI时代安全研究价值。

谷歌公开了Chromium浏览器中一个存在42个月未修复的高危漏洞的PoC利用代码，该漏洞位于BrowserFetchAPI，攻击者可通过恶意网页创建永不终止的后台任务，将用户浏览器变为僵尸网络节点。漏洞允许建立隐蔽C2通信通道，即使关闭浏览器也可能持续存在，潜在危害包括DDoS攻击、流量代理和用户行为监控。目前受影响浏览器包括Chrome、Edge等基于Chromium的产品，建议通过禁用ServiceWorker或部署浏览器隔离技术进行缓解。

CNVD漏洞周报2026年第20期显示，上周信息安全漏洞威胁整体评价为中，共收录632个漏洞，其中高危285个、中危289个、低危58个。本周收录的漏洞中有83%为0day漏洞，并通报了多起涉及重要行业单位的漏洞事件。漏洞主要集中在WEB应用（282个）和应用程序（195个），同时披露了Google、Microsoft、Mozilla、Adobe等多家厂商产品的多个高危安全漏洞，并提醒用户及时下载补丁更新。

CNVD发布2026年5月18日至24日关注度较高的产品安全漏洞清单，涵盖ApacheOFBiz服务端请求伪造、AdobeColdFusion路径遍历、Linux内核权限提升等10个境外境内厂商漏洞。文档提供了各漏洞的危害描述和官方参考链接，建议用户及时关注CNVD平台获取修补方案。

DrupalCore存在SQL注入漏洞CVE-2026-9082，攻击者可通过JSON:API接口在PostgreSQL环境下注入恶意SQL代码获取敏感信息。影响8.9.0至11.3.10等多个版本，威胁等级高危。官方已发布修复版本，建议立即更新至最新版，临时措施包括关闭未使用模块、限制公网访问及遵循最小权限原则。

微软Win11内核曝出高危漏洞CVE-2026-40369，CVSS评分7.8，影响24H2和25H2版本。漏洞位于ntoskrnl.exe的nt!ExpGetProcessInformation函数，攻击者可通过NtQuerySystemInformation调用绕过ProbeForWrite校验，从Chrome等浏览器沙箱100%成功率提权至系统最高权限。微软已在5月补丁星期二发布修复更新，建议用户及时安装安全更新。