ZONE.CI 全球网

本文深入探讨自动化漏洞修复的核心挑战，指出当前重点已从补丁生成转向验证体系的可信度。文章强调必须通过POC失效验证、功能回归测试和上下文完整性分析来构建证据链，并提出了以可合并率为核心的评估指标，为安全团队实施可信修复提供了具体流程与标准。

libseccomp存在三个安全漏洞，包括过滤器规则合并逻辑错误、整数溢出及双重释放问题，可导致绕过seccomp限制、崩溃或代码执行。受影响版本低于2.6.1，官方已发布修复版本。建议升级至v2.6.1或更高版本，并采取临时缓解措施如审查策略、限制规则数量。

CursorIDE存在两个严重远程代码执行漏洞(CVE-2026-50548和CVE-2026-50549)，CVSS评分9.8，统称DuneSlide。攻击者可通过零点击提示注入，利用工作目录操纵或符号链接绕过缺陷，覆盖关键系统文件突破沙箱，实现完全远程代码执行，危及本地计算机和SaaS工作区。用户需警惕不受信任来源的内容，并关注官方更新。

CISA警告SimpleHelp存在CVE-2026-48558身份验证绕过漏洞，该漏洞影响配置了OpenIDConnect的部署，源于加密签名验证不当，允许攻击者伪造令牌获取技术人员会话权限，可能绕过MFA。CISA已将其加入已知利用漏洞目录，并设定2026年7月2日为补救截止日期。建议立即应用供应商补丁、审查身份验证日志并监控可疑活动，必要时停止使用受影响产品。

本文介绍dddd\\_viewer，一款dddd漏洞扫描工具的本地只读可视化面板，用于读取并展示扫描结果，包括HTML报告列表、漏洞概览、目标信息聚合和扫描日志。工具支持通过-addr和-root参数自定义监听地址和报告目录，启动后生成随机密码登录。文章还推广了内部CTF课程和帮会，提供漏洞挖掘学习资源。

JetBrains修复了影响Hub、YouTrack和GoLand的三个安全漏洞，其中最严重的是CVSS10分的身份验证绕过漏洞CVE-2026-50242，攻击者可通过数据库访问获取管理员权限。另外两个漏洞分别允许权限提升和远程代码执行。建议自行托管用户立即更新至已修复版本，云服务用户已自动修补。

思杰发布Netscaler六款漏洞补丁，修复可导致任意文件读取与拒绝服务攻击的安全漏洞，涉及内存越界读取、内存溢出、路径遍历等问题，影响特定配置下的SAML身份提供商、负载均衡等功能，厂商已提供补丁版本及针对CVE-2026-13474漏洞的配置调整建议。

Adobe发布安全补丁修复ColdFusion与CampaignClassic产品中7个高危漏洞，包括5个CVSS满分10.0级漏洞，涉及文件无限制上传、输入校验不当、路径遍历等缺陷，可导致远程代码执行、权限提升及任意文件读取。Adobe宣布自2026年7月14日起将安全公告频次提升至每月两次，以应对AI加速漏洞挖掘带来的威胁。

网络安全厂商eSentire预警ProgressKempLoadMaster高危漏洞CVE-2026-8037（CVSS9.6）已出现野外利用，该漏洞因escape\\_quotes()函数未正确处理字符串终止符导致堆内存越界读取，攻击者可向/accessv2接口发送特制请求实现命令注入，无需凭证即可在设备上执行任意系统命令，目前攻击均未成功但公开PoC或致攻击激增

AdversaAI发布的Guardfall漏洞报告指出，11款主流开源AI智能体中有10款存在结构性安全缺陷，攻击者可绕过命令过滤机制执行shell指令。漏洞根源在于过滤程序仅校验命令原始文本，而bash会解析命令实际语义，导致二者不一致。报告归纳了五类攻击方式，并指出唯一不受影响的Continue采用多层校验机制。报告建议采用受限隔离shell作为短期缓解方案，并推动分词标准化校验器成为行业通用标准以实现长期防护。

本文分享某教育系统高危逻辑漏洞挖掘。作者通过Google语法收集学号与身份证，结合资产测绘锁定目标。弱口令失败后，利用社工潜入新生群获取默认密码登录。测试时复盘历史抓包，发现dataId参数存在越权，遍历后缀可获取全校敏感信息。文章强调信息收集与细看历史包的重要性。

CVE-2026-6307是V8引擎中JS到Wasm类型混淆漏洞，影响Chrome146版本。攻击者可利用该漏洞实现远程代码执行，通过绕过ASLR和沙箱限制弹出计算器。漏洞源于JSToWasmFrameStateFunctionInfo的相等运算符省略了Wasm签名比较，导致CSE/GVN合并帧状态。建议升级至147.0.7727.101修复版本。

CVE-2025-33073是2025年6月披露的NTLM反射漏洞，CVSS评分为8.8。该漏洞源于Windows本地NTLM认证逻辑缺陷，攻击者可通过构造畸形DNS名称欺骗系统误判为本地连接，从而绕过SMB签名等防护机制，将高权限进程（如lsass.exe）的认证反射回目标主机，最终获取SYSTEM权限。利用过程仅需普通域用户权限，且存在全自动化工具链。防御建议为尽快部署微软2025年6月补丁并在全域强制SMB签名。

CatoAI披露CursorIDE两个零点击RCE漏洞DuneSlide，CVSS评分9.8。攻击者利用提示注入操纵工作目录参数或绕过符号链接规范化，覆写沙箱关键文件以完全突破防护，危害本地与SaaS环境。这表明单纯沙箱无法约束自主编码Agent，建议企业采取架构级系统性防御以保障AI开发工具安全。

Anthropic的Rust库buffa存在0Day拒绝服务漏洞，攻击者可构造恶意protobuf嵌套字段引发22倍堆内存放大导致服务崩溃。漏洞源于未知字段解码无分配上限。建议立即升级至connectrpc0.8.0以上版本，或将preserve\\_unknown\\_fields设为false缓解风险。

OPPO安全中心OSRC宣布自2026年7月2日起暂停收录O+ConnectPC端新漏洞，因该模块业务架构升级需进行安全加固。暂停前已提交的漏洞将正常处理。若发现严重漏洞（如在野利用、远程代码执行或重大数据泄露），可邮件至[email protected]启动应急响应。加固完成后将重新开放收录，具体时间关注后续公告。

2026年7月2日，基础软硬件产品漏洞生态联盟在北京召开专题会议，聚焦AI浪潮下的安全漏洞治理，旨在搭建产业合作桥梁并提升漏洞治理能力。会议汇集联盟成员、行业主管、科研院校、安全企业及白帽子等百余嘉宾，分享AI驱动漏洞发现、漏洞管理、自动化研究等进展，剖析供应链与研发架构痛点，并发布《树立正确网络漏洞治理理念倡议书》，推动基础软硬件漏洞生态建设与关键信息基础设施防护。

奇安信CERT披露Giteaact\\_runner容器逃逸漏洞CVE-2026-58053，CVSS评分9.9。漏洞源于组件将workflow配置直接传给Docker，攻击者能借此在非特权模式下逃逸至宿主机获取root权限，影响act\\_runner小于等于0.262.0版本。建议升级Gitea至v1.27.0-rc0修复，临时可限制workflow修改权限、启用PR手动审批及网络隔离。

GSDK安全团队发布Unauth-Vuln-Scanner未授权漏洞检测工具，基于JavaSwing开发，支持批量目标、并发扫描、SOCKS5代理及CSV导出。工具可探测Redis、MongoDB、Elasticsearch等39+常见未授权服务，并具备指纹识别功能。工具仅供安全研究学习使用，使用者需承担全部法律责任。

Cisco披露ClamAV存在多个高危漏洞，攻击者可通过构造恶意文件触发扫描服务崩溃，导致拒绝服务。漏洞影响Windows、Linux和macOS平台，Windows端风险最高。官方建议企业及时升级修复版本，无临时缓解方案。