ZONE.CI 全球网

本文复现了2026年Notepad++供应链攻击手法，通过NSIS制作恶意update.exe安装包，执行后创建目录、收集系统信息并上传至temp.sh，再通过User-Agent将返回地址发送至攻击者服务器，最终释放Lua加载器连接CobaltStrike。文章强调更新服务应使用HTTPS、警惕exe释放器，并建议加速EDR普及以应对AI加速恶意代码形成的挑战。

本文披露RedisBloom模块TDigest反序列化存在堆越界写0day漏洞，CVSS评分8.8，可致远程代码执行。漏洞因cap字段覆盖真实容量引发越界，攻击者借此泄露地址并覆盖函数指针为system实现利用，影响Redis8.8.0等版本。官方暂无补丁，建议临时采取启用强认证、卸载RedisBloom模块、限制高危命令及禁止公网暴露等措施缓解风险。

奇安信CERT披露MariaDB认证远程代码执行漏洞(QVD-2026-48306),高危且PoC已公开。攻击者可通过低权限账号利用GRANTPROXY提权与内存释放缺陷组合,以SQL语句实现远程代码执行,控制服务器。影响版本为10.6.27至13.0.1,国内风险资产约1.7万个。建议升级或限制3306端口访问。

奇安信CERT发布高危漏洞通告，LinuxKernelOpenvSwitch存在本地权限提升漏洞(CVE-2026-64531)，CVSS评分7.8。攻击者利用Netlink属性长度截断可获root权限，PoC已公开。影响多个内核版本及主流发行版。建议立即升级内核至修复版本，或临时禁用OVS模块。

ComfyUI高危漏洞CVE-2026-68771因不安全反序列化导致未授权RCE，评分9.8。绿盟Moby.AI称提前两月自主挖掘验证该0day。建议立即升级至v0.26.0以上，收敛公网暴露面，限制不可信数据提交，落实最小权限并排查日志，以防模型与资产泄露。

奇安信CERT通告Fastjson2远程代码执行漏洞，影响2.0.62及以下版本，CVSS评分9.8。该漏洞无需开启SupportAutoType，攻击者通过哈希碰撞绕过白名单结合类加载器即可实现RCE。建议尽快升级至修复版本，临时可通过开启SAFE\\_MODE禁用AutoType或WAF拦截含@type的请求进行缓解。

Fastjson2<=2.0.62版本存在严重远程代码执行漏洞，源于白名单校验仅依赖FNV-1a哈希值，攻击者可通过哈希碰撞绕过并利用jar:协议远程加载恶意类。漏洞影响所有JDK版本，实际利用程度与classpath中第三方库相关。建议立即升级至2.0.62以上版本并关闭AutoType。

WordPressCore存在预认证XSS远程代码执行漏洞(CVE-2026-64638)，影响6.4至7.0.2版本，CVSS评分9.8。攻击者无需认证即可通过登录失败流程注入DOM，结合SOME技术窃取管理员ApplicationPassword，最终上传恶意插件实现RCE。官方已发布7.0.3版本修复，建议立即升级或临时禁用ApplicationPassword。

Metabase存在CVSS10.0的未授权SQL注入漏洞，影响多个版本。攻击者无需认证即可通过/api/session/reset\\_password接口注入SQL，获取管理员权限并窃取数据。官方已确认在野利用并发布安全更新。建议用户立即升级至安全版本。

NGINX曝出高危堆溢出漏洞CVE-2026-42533，CVSS评分为8.1且RCE代码已公开。漏洞源于map指令正则匹配对变量引用处理不当，特定配置下攻击者可构造HTTP请求触发堆溢出并实现远程代码执行。漏洞影响开源及Plus版多个版本，建议立即排查配置并升级至安全版本规避风险。

Metabase存在CVSS10.0零日漏洞，攻击者可通过未认证密码重置请求注入SQL，即使返回HTTP400也能写入管理员会话。复现显示攻击链可接管管理员权限，官方已确认主动利用。处置需先升级至安全版本，阻断/api/session/reset\\_password端点，清理会话并轮换凭据。检测应关注400后跟200的行为模式，而非单次状态码。

CVE-2026-34486是ApacheTomcat中一个需要特定配置才能利用的反序列化漏洞，影响9.0.116等版本。漏洞成因是解密失败后未停止处理，导致未加密的Tribes消息被反序列化。复现需启用Cluster和EncryptInterceptor，且classpath存在Gadget。攻击流量特征为短连接和明文序列化对象。建议升级到修复版本并检查网络配置。

Docker曝出高危dockercp文件复制逃逸漏洞CVE-2026-17106，攻击者可通过恶意容器构造竞争条件，利用符号链接覆盖宿主机任意文件，如/usr/bin/runc，从而获取root权限。影响DockerEngine/CLI低于29.7.0、Desktop低于4.86.0等版本。360漏洞研究院已成功复现，建议用户立即升级至修复版本。

Fastjson2存在高危远程代码执行漏洞(评分9.0),影响版本<=2.0.62。攻击者可通过FNV-1a哈希碰撞构造恶意类名绕过白名单校验,利用URLClassLoader加载远程JAR实现RCE。建议立即升级至安全版本或开启SafeMode禁用AutoType功能。

Dockercp命令存在高危任意文件写入漏洞(CVE-2026-17106)，攻击者利用竞态条件通过符号链接替换实现主机文件覆盖，可导致macOS代码执行或Linuxroot权限逃逸。影响DockerEngine/CLI<29.7.0等版本，PoC已公开。建议立即升级至29.7.0及以上版本，并避免从不可信容器复制文件。

本文复现了WordPress两个高危漏洞CVE-2026-60137和CVE-2026-63030的组合利用链。前者为SQL注入漏洞，存在于WP_Query的author\\_\\_not_in参数处理中；后者为RESTAPI批量请求路由混淆漏洞。组合后可实现从SQL注入到远程代码执行。影响WordPress6.8.x至7.0.x版本。文章提供了Docker靶场搭建、PoC使用及修复建议，包括升级版本和限制BatchAPI。

本文分析了LinuxKernelrtmutex本地提权漏洞CVE-2026-43499。漏洞源于remove\\_waiter函数误用current导致红黑树出队异常与优先级错误，影响广泛版本的内核及Ubuntu、Debian系统。利用需具备本地执行权限且内核开启CONFIG\\_FUTEX\\_PI。建议受影响用户尽快通过官方补丁链接升级内核以修复漏洞。

本文介绍了Windows11本地提权漏洞CVE-2025-60710，该漏洞存在于HostProcessforWindowsTasks中，利用符号链接解析缺陷实现提权。影响Windows1125H2及24H2特定版本，利用简单，执行exe即可从普通用户提权至System。建议用户通过Windows更新或手动下载补丁修复。文章还推广了知识星球，提供POC脚本和其他漏洞分析。

本文复现了WordPress两个远程命令执行漏洞CVE-2026-63030和CVE-2026-60137，影响多个版本。攻击者可通过未授权SQL注入获取管理员密码哈希，进而实现代码执行。文章提供了测绘语法、检测POC及修复建议，但文末包含付费圈子推广，需注意合规使用。

360漏洞研究院披露WindowsDNSServer栈溢出漏洞CVE-2026-62878，CVSS评分9.8。未经身份验证的远程攻击者可发送特制数据包触发远程代码执行。根因在于NTree重哈希时使用固定500指针栈数组且无容量检查，当遍历到500个节点时写入结束NULL导致越界。影响多个WindowsServer版本，建议立即通过WindowsUpdate或手动安装补丁修复。