ZONE.CI 全球网

360发布AI漏洞挖掘智能体图龙锋，采用多智能体协同架构，具备攻击面分析、智能审计与验证闭环能力，可输出可验证的漏洞结论。适用于开源软件供应链安全审计、企业DevSecOps、Web产品上线前审计及漏洞快速验证等场景。已累计挖掘漏洞4000+，7月20日开放试用，企业可预约申请。

安全研究人员发现ChatGPT文件下载机制存在高危漏洞，通过多轮对话诱导与路径穿越结合，可绕过限制访问系统文件如/etc/passwd。漏洞已由OpenAI修复，强调LLM工具链与传统Web漏洞结合带来新风险。

JetBrains修复了三个安全漏洞，包括一个CVSS满分的认证绕过漏洞CVE-2026-50242，影响Hub、YouTrack和GoLand。该漏洞可被拥有直接数据库访问权限的攻击者利用获得管理员控制，影响超过1500万开发人员。自托管实例面临风险，Cloud客户已受保护。建议用户立即升级到已修复版本。

信息安全漏洞周报第081期由零零捌信安观察发布，汇总了国家信息安全漏洞共享平台及国家信息安全漏洞库等权威机构近期公告。报告收录了被认定为风险的安全漏洞信息，并强调相关官方已发布补丁和修复方案。建议用户和组织及时关注并采取相应安全措施，以保障信息系统安全稳定。

Adobe于2026年7月3日修复了ColdFusion和CampaignClassic中的七个CVSS满分漏洞，这些漏洞可被低复杂度攻击利用，无需用户交互，风险较高。Adobe建议管理员在72小时内安装更新，目前未发现这些漏洞遭在野利用。此外，Adobe将改为每月两次发布安全通告以加快部署速度。

文章讲述一次内网渗透测试经历，通过Redis未授权访问漏洞获取服务器权限，意外发现生产数据库备份文件，暴露用户表、订单表及支付密钥等敏感数据。问题根源在于测试环境直接升级为生产环境，安全配置未更新，且资产归属不清导致无人管理。建议加强资产清单管理和安全配置审查，避免类似风险。

天融信阿尔法实验室发布关于LinuxKernel本地权限提升漏洞CVE-2026-46242(BadEpoll)的风险提示。该漏洞是eventpoll子系统的条件竞争导致释放后重用UAF，成功利用可获root权限，影响桌面版、服务器版及安卓设备。漏洞细节与Exp已公开，建议受影响用户立即升级LinuxKernel至包含补丁的安全版本。

微软SharePoint高危漏洞CVE-2026-45659正遭积极利用，CISA要求7月4日前完成修复。该漏洞CVSS评分8.8，普通站点成员权限即可触发远程代码执行，证实了微软初期判断的失误。建议企业立即安装5月安全更新，严格审计账号权限并监控异常操作，防范服务器被接管风险。

安全研究人员披露名为BadEpoll的Linux零日漏洞，影响Linux服务器和Android设备，攻击者可获取root权限。全球超70%服务器运行Linux，Android市场份额大，漏洞影响广泛。官方未发布完整补丁，建议管理员检查内核版本，用户保持系统更新，不安装来路不明应用。

2026年6月全球高危漏洞数量暴涨至约1500个，是历史纪录的3.5倍，与AI工具ClaudeMythos和Glasswing项目同步。AI挖掘效率指数级提升，但修复率不足6%，攻击窗口期从771天缩短至数小时。建议企业建立漏洞分级处置、部署自动化扫描、收紧外网暴露面，并引入AI代码审计。

CVE-2026-8451是CitrixNetScalerADC与Gateway产品中SAML预认证内存越读漏洞，攻击者可利用畸形SAML请求越界读取进程内存，泄露会话Cookie、Token及敏感配置信息。该漏洞已有野外利用，影响14.1、13.1及FIPS/NDcPP分支多个版本。官方已发布补丁，建议立即升级至修复版本，并配置临时缓解措施如限制SAML端点访问。

弥天安全实验室成功复现Linux内核BadEpoll本地提权漏洞CVE-2026-46242。该漏洞源于eventpoll中ep\\_remove函数存在释放后重用，影响Linux内核6.4及以上版本，包括RedHat、Ubuntu、Debian等发行版及部分Android设备。文章提供了漏洞复现步骤、利用代码及修复建议，建议用户尽快升级内核补丁。

本文通过实验验证了系统比模型更重要的观点。作者使用AISLE流水线配合本地开源模型（如Gemma和GPT-OSS）复现FreeBSD中的CVE-2026-4747漏洞。实验发现单次运行易出错，但多次运行后漏洞总能被发现，主要问题是假阳性过多。通过添加reachability过滤环节，假阳性从30个减少到5个，同时保留了真正的漏洞。结论是改进系统而非更换模型能更有效提升漏洞发现能力。

CatoAILabs在CursorIDE中发现两个关键RCE漏洞(CVE-2026-50548和CVE-2026-50549,CVSS9.8),统称DuneSlide。攻击者可通过零点击提示注入(如恶意MCP服务器或搜索结果)操纵工作目录参数或利用符号链接规范化缺陷,突破沙盒写入关键系统文件(如cursorsandbox),实现非沙盒RCE和主机完全失陷。漏洞已在Cursor3.0中修复,建议用户立即更新。

本文深入分析了当前AI安全的严峻现状，揭示了AI应用的风险密度是传统软件的2.7倍，且漏洞修复率低、平均修复时间长等问题。文章指出，AI系统引入了提示注入、模型中毒等新型攻击面，传统安全工具难以应对，并强调应建立程序化的安全机制，将渗透测试等环节嵌入开发流程，以弥合认知鸿沟，提升整体安全水平。

OpenAIDaybreak平台升级，推出自动化漏洞检测与修复功能，核心是CodexSecurity平台和GPT-5.5-Cyber模型。该平台从漏洞发现转向自动修复，可分析代码、生成补丁并验证修复。同时启动修复全球开源倡议，联合多家安全厂商，旨在解决漏洞修复瓶颈，提升网络安全防御效率。

Loxs是一款基于Python的综合性Web漏洞扫描工具，集成了SQLi、XSS、LFI、CRLF注入等多种检测模块。它采用模块化设计，支持单目标或批量扫描，提供多线程、自定义Payload及HTML报告生成功能。该工具旨在帮助安全研究人员和渗透测试工程师快速发现Web应用中的常见安全风险，但需在授权测试环境下合法使用。

本文介绍Auto-SSRF，一款基于BurpSuiteMontoyaAPI的自动化SSRF漏洞探测插件。它通过捕获流量、替换参数为Collaboratorpayload并监听响应来检测漏洞。支持多种参数类型，具备去重和缓存功能。适用于安全测试人员，项目开源在GitHub。

本文介绍了一项关于开源框架IronCurtain的突破性研究，该研究挑战了前沿AI模型在漏洞发现上的专属能力这一说法。作者证明，通过一个精心设计的编排框架，可以利用商业或开源AI模型复现并自主发现基础软件中的新零日漏洞。文中详细描述了如何使用该框架复现一个27年历史的OpenBSD漏洞，并在多个现代开源项目中发现此前未知的严重漏洞，如一个存在18年的整数截断漏洞。研究得出三个关键观察：生成概念验证对防御者至关重要；编排框架是执行复杂工作流的关键，但基础模型质量仍有影响；经济因素现已有利于更频繁的代码审计。

AutoCVE是一个开源自动化漏洞挖掘平台，通过Multi-Agent架构实现从项目选择到CVE报告生成的全流程自动化。测试中一周内发现30个CVE，覆盖14个开源项目，最高CVSS9.9。它提供增强扫描、智能审计和综合审计三种模式，支持多种AI模型，部署简单。适合安全研究员、甲方工程师和开源维护者提升漏洞挖掘效率。