ZONE.CI 全球网

CISA公告指出GardynIoTHub存在三个漏洞，最严重CVE-2026-13768（CVSS10）因硬编码凭据导致未认证远程代码执行，影响超13.8万台设备。攻击者可利用泄露密钥控制设备并横向渗透。补丁已部署，建议保持设备联网更新并置于防火墙后。

ApacheCamel修复了四个高危漏洞，包括三个标头注入漏洞（CVE-2026-55994、CVE-2026-55993、CVE-2026-46726）和一个Keycloak身份验证绕过漏洞（CVE-2026-53913）。标头注入可导致SSRF和机密泄露，Keycloak绕过可能引发RCE。受影响版本广泛，建议升级至4.21.0或应用临时缓解措施如移除Camel控制标头。

ApacheIoTDB2.0.8修复三个漏洞:严重路径遍历CVE-2026-24014(评分9.8)可致文件写入与代码执行,身份验证绕过CVE-2026-24013(评分9.1)泄露数据,拒绝服务CVE-2026-24012耗尽堆内存。影响1.3.3至2.0.8版本。建议立即升级并限制RPC端口访问。

decompressnpm包存在高危漏洞CVE-2026-53486，CVSS评分9.1，影响每周超280万次下载。攻击者利用硬链接和符号链接绕过目录检查，可写入任意文件甚至获取root权限。所有版本至4.2.1均受影响，原始项目无人维护。建议升级至分支的11.1.3版本，临时措施包括只解压信任压缩包并以非root用户运行。

Lazarus组织在2024-2025年发动Synchole行动，利用水坑攻击和韩国本土软件CrossEX、InnorixAgent的0day漏洞，入侵韩国半导体、金融等企业，部署ThreatNeedle、SignBT等模块化间谍工具，实现潜伏窃密和内网横向渗透。建议企业立即升级相关软件补丁，排查异常进程和网络连接。

本文分享了使用AI辅助挖掘SRC漏洞的实战经验。作者将Claude与BurpSuite联动，对开源系统源码进行白盒审计，AI自主发现漏洞并生成SSRF等完整POC。结论指出AI白盒审计比黑盒测试更安全，建议先让AI自由发挥审计，再加载自定义skill二次分析，且生产环境慎用，应先在测试网站熟悉流程。

本文解析CVE-2026-49975HTTP/2Bomb漏洞，结合HPACK索引与流控停顿机制，以极小流量耗尽服务器内存。实测国内58所高校网站受影响，放大比达1357:1。建议升级Nginx或Apache，暂无补丁服务可采取禁用HTTP/2、部署严格限制网关及限制进程内存等措施防御。

本文分析了因邮箱地址解析不一致导致的账号覆盖与接管漏洞。当系统缺乏邮箱规范化处理与验证时，攻击者可在正常邮箱后添加URL编码字符如%23注册，利用登录解析差异使其映射至真实邮箱，进而覆盖密码或接管账号。建议统一邮箱清洗标准并强制验证以防范此逻辑绕过风险。

PaloAltoNetworksCEONikeshArora指出当前安全攻防关键在于抢先发现并修复漏洞。该公司使用AI模型六周内发现过去需五到七年才能发现的漏洞。AI能通过持续推理串联低风险问题找到新攻击路径。漏洞发现进入机器速度，但修复流程仍停留在人工节奏。CISO应优先对关键漏洞快速清零，对暂时无法修复的漏洞减少暴露并部署补偿性控制。

本文以通俗语言介绍浏览器SameSitecookie机制，解释Strict、Lax、None三个属性对跨站请求携带cookie的影响。重点指出Lax为Chrome默认值，能有效防御多数CSRF攻击；而部分开发者将敏感cookie设为None留下漏洞，赏金猎人可据此测试CSRF。文章强调检查cookie的SameSite属性是评估站点CSRF防护水平的关键细节，并提供可操作建议。

Turla黑客组织利用MicrosoftSharePoint漏洞入侵法国司法部门服务器，获取数千用户账户信息。该组织与俄罗斯联邦安全局关联，长期针对政府、国防、科技等目标进行间谍活动，使用自定义恶意软件如Kazuar及公开工具。调查建议组织及时更新安全补丁、审查账户活动并限制管理员访问，以防范类似攻击。

本文介绍利用ClaudeAI结合Skills工具实现自动化漏洞挖掘的方法。内容涵盖环境配置、安全审计技能安装，并以补天平台为例演示了自动化渗透流程，成功发现认证泄露漏洞。文章还提供了MCP接入Burp、多Agent协作等进阶方向，但后半部分主要为付费帮会及CTF课程推广。

本周安全资讯要点包括：Apple起诉OpenAI涉嫌窃取商业机密，将AI硬件竞争升级至法律战；CNVD周报显示，本周收录的漏洞中有85%为0day，多款CMS及路由设备存在高危漏洞；美国首次对VPN运营者实施制裁，以打击勒索软件基础设施；此外，微软披露了新型恶意后门GigaWiper，印度金融行业报告指出AI攻防失衡问题，多地也出台了AI裁员约束规则。

CVE-2026-42989是WindowsWinlogon组件中的本地权限提升漏洞，源于文件访问前链接解析不当(CWE-59)。经过身份验证的本地攻击者可通过符号链接或硬链接重定向Winlogon的文件操作，从而将权限提升至SYSTEM级别。该漏洞影响多个Windows版本，微软已于2026年6月9日发布安全公告。建议用户立即应用补丁，并限制本地访问权限。

本文介绍了一个用于微信小程序安全评估的本地MCPServer工具，它通过包装WMPFDebugger的CDPWebSocket，辅助AI编码工具进行自动化漏洞挖掘。工具提供连接调试、网络采集、接口资产识别、漏洞线索发现及报告生成等功能，并强调仅限授权环境使用。建议用户遵循推荐工作流，先连接调试、注入Hook，再人工操作页面后利用工具分析线索，最后生成安全笔记。

本文从危害、利用、防护三方面讲解CORS跨域漏洞。CORS配置不当可导致已登录用户数据被钓鱼网站窃取。利用方式包括Origin校验缺陷、nullorigin允许及ACAO反射漏洞。防护建议为严格校验ACAO并设置Cookie的SameSite属性。

CVE-2026-41096是WindowsDNS客户端严重RCE漏洞(CVSS9.8)，但实际攻击面有限。通过DLL代理分析发现，默认Windows11系统无程序调用DnsQueryRawAPI，仅WSL服务会触发。漏洞利用需目标启用WSL且攻击者控制DNS服务器，可用于权限提升或远程代码执行。

Linux内核epoll子系统存在释放后使用漏洞CVE-2026-46242，允许非特权用户在Linux和Android设备上获取root权限。该漏洞源于2023年引入的竞争条件，利用技术成功率约99%，影响内核6.4及以上版本。官方补丁于2026年4月发布，无其他缓解措施。Android设备需关注厂商更新。

雷神众测漏洞周报(2026.7.6-7.12)披露了四个高危漏洞:统信UOSDesktop20Professional存在本地提权漏洞,攻击者可提升权限;多款Mozilla产品(Thunderbird、FirefoxESR)存在代码执行漏洞(CVE-2026-12327);Microsoft365Copilot存在命令注入漏洞(CVE-2026-42895);MicrosoftOfficeSharePoint存在代码问题漏洞(CVE-2026-45659)。建议用户及时测试并升级到最新版本以修复漏洞。

WinFsp存在竞争条件漏洞CVE-2026-3006，影响2.1.25156及更早版本，可导致本地权限提升至SYSTEM级。攻击者需先获得设备访问权限，利用该漏洞可绕过安全边界。建议立即升级至v2.2B1版本，并限制本地管理访问。