ZONE.CI 全球网

苹果推送iOS26.7.1，修复CoreGraphics框架越界写入漏洞CVE-2026-86950，该漏洞可能已被用于定向攻击。建议iOS26用户尽快升级，iOS27用户安装27.0.1修复其他问题。文章提供升级路径区分和自动更新建议，强调安全补丁重要性。

本文复盘一次路径遍历漏洞攻防实战，通过下载接口仅改几个字符即读取系统口令文件与应用源码。漏洞成因为用户输入直接拼接文件路径，过滤黑名单可被编码绕过、双重编码、空字节截断、绝对路径、平台差异等手法绕过。修复方案为白名单校验、路径规范化后判断、编号映射文件名、牢笼机制等七条措施，并提供自查清单。

16岁研究员发现微软Titan分析服务存在JWT验证不当漏洞，未验证签名致攻击者可冒充管理员并运行SQL查询，潜在影响17.3万亿行数据，实际未泄露客户PII。微软已修复并奖励5000美元。建议应用必须拒绝未签名令牌并验证签名。

文档汇总2026年9月30日六大安全风险：Apple修复在野利用的CoreGraphics零日漏洞CVE-2026-86950，可执行任意代码；TimesCar约660万账户信息外泄含驾照影像；京王集团遭勒索软件攻击；ApacheRoller存在未认证反序列化漏洞CVE-2026-82384；SailPointIdentityIQ存在未认证RCE漏洞CVE-2026-12342；LogsignSIEM存在默认凭据漏洞CVE-2026-90924。建议优先修复在野利用与无需凭据漏洞，收敛暴露面，核查身份权限

苹果发布安全更新，修复CoreGraphics组件中的越界写入漏洞CVE-2026-86950，该漏洞可能已被用于定向攻击，影响旧版iOS、iPadOS和macOS。苹果通过改进边界检查修复，由Meta产品安全团队发现。建议用户及时更新系统至修复版本，以防范潜在风险。

Notepad++存在高危栈缓冲区溢出漏洞（CVE-2026-85279），影响版本低于8.9.8。恶意插件可越界写入栈数组并执行任意代码，POC已公开。建议用户立即升级至官方安全版本，以防范潜在攻击风险。

WordPress存在编码绕过漏洞CVE-2026-87902，影响4.7.0至7.1.1版本，未经验证攻击者可通过双重URL编码加载任意PHP文件，特定环境下可升级为RCE。POC已公开，官方已发布修复版本，建议用户立即升级至安全版本以规避风险。

本文介绍cnvd-skill工具包，用于CNVD通用型未授权漏洞批量挖掘，包含9个Python脚本和8组端点字典，覆盖测绘、验证、查重全流程，强调只读探测与合规红线。文章同时包含大量公众号推广和付费星球引流内容，属于软文广告性质，技术价值有限。

搜狗输入法Windows版存在CVE-2026-51990远程代码执行漏洞，攻击者构造恶意sgbiz:协议链接，用户点击一次即可触发内嵌浏览器加载恶意页面，利用旧版Chromium内核CVE-2021-38003漏洞实现RCE。影响版本低于16.3.0.3498，修复版本已推送。建议立即升级至16.3.0.3498及以上版本，不点击来源不明的sgbiz:链接，并关注IOC域名noht1ng\\[.\\]top。

VMwarevCenter存在远程代码执行漏洞CVE-2026-59310，源于Syslog组件路径穿越缺陷，未授权攻击者可任意文件写入并远程执行代码，影响多个版本。建议按官方通告VMSA-2026-0006升级至修复版本，并限制管理面网络访问作为临时缓解措施。长亭已复现漏洞。

斗象科技谢忱在VARA大会分享安全大模型接管漏洞全生命周期的判断与实践，指出漏洞利用已成黑产主要入侵途径，大模型正推动漏洞研究从自动化迈向自治。需翻越长程执行、专家记忆、多智能体协同三座大山，构建harness体系实现持续运行，并强调漏洞治理与AI安全风险控制，让防御跟上机器速度。

本文分析集合循环引用导致拒绝服务漏洞的测试流程。攻击者利用集合嵌套与贡献者机制无确认的缺陷，构造循环引用使受害者页面加载时陷入无限循环，造成持久化功能失效。危害等级高，需管理员介入修复。建议平台校验循环引用并限制嵌套深度。

OpenCode曝出远程代码执行漏洞GHSA-632h-h47v-g4x4，源于/global/upgrade接口未校验Content-Type，导致用户输入被拼入shell命令，恶意网页可通过顶层导航绕过CORS触发，实现任意npm脚本执行。82个受影响版本一周内下载64.7万次，1.18.22版本已修复。建议用户立即升级并避免将服务暴露公网。

文档汇总2026年9月30日网络安全新闻，涵盖CNNVD通报OpenClaw人工智能漏洞、美国政府推出政务AI聊天机器人、AI深度伪造致意大利银行损失近亿欧元、MFT服务商Kiteworks预防性停机、RatHat恶意软件C2面板迭代及NVIDIA硬件级AI安全监控产品等事件，凸显AI安全、供应链风险与深度伪造威胁。

360漏洞研究院披露Next.jsnext/ogImageResponse存在严重远程代码执行漏洞CVE-2026-94545，CVSS评分9.5，影响16.2.0至16.3.6版本。攻击者无需账户权限，但需将可控数据传入SVG内容。官方已发布修复版本16.3.6，建议受影响用户立即升级，同时确认Satori升级至0.33.5或更高版本。360已成功复现该漏洞。

华住安全响应中心发布公告规范AI辅助漏洞测试行为，明确AI仅作辅助分析工具且需人工复核，禁止未经授权对生产环境大规模扫描，严禁上传敏感信息至外部AI平台。测试须在授权范围内进行，遵循最小化无害化验证原则，违规将面临警告、封禁或追责等处理。建议测试人员严格遵守合规要求，确保测试活动可控可追溯。

本文介绍基于Jev分类器构建的高性价比漏洞扫描器，通过将扫描拆解为分类任务绕开32k上下文限制，实现接近GPT-5.6Luna的表现且成本更低。扫描流程包括定位可疑代码、判断漏洞存在及分类细节，约2秒完成扫描。存在仅回答预设问题、深度有限等局限，可作为廉价初筛手段。

Podman曝出CVSS10.0严重容器逃逸漏洞CVE-2026-94603，源于Checkpoint镜像恢复机制可忽略用户安全限制如–cap-drop=all，恶意镜像可削弱沙箱隔离。受影响版本为4.4.0及以上，修复版本为5.8.8和6.1.3，官方已移除相关功能。建议立即升级，并检查镜像中io.podman.annotations.checkpoint.runtime.name注解，限制第三方镜像来源。

2026年人工智能大模型安全众测发现873个漏洞，其中大模型特有漏洞608个，传统漏洞265个。典型风险包括提示注入、信息泄露、不当输出处理、代理权限滥用、目标劫持及非预期代码执行等。建议采取零信任原则、加强输入输出验证、最小权限、供应商审计等措施，并构建智测融合监测预警与闭环处置体系。

W13Scan是一款开源Web漏洞扫描器，支持主动和被动扫描，内置多种漏洞检测插件，可运行于多平台，具有模块化架构和指纹识别能力，提供多种输出格式。