ZONE.CI 全球网

云安全联盟CSA发布研究简报揭露全新攻击类别ADI智能体数据注入通过篡改AI智能体默认信任的底层元数据如页面DOM元素ID代码评论作者身份等实现隐蔽攻击无需传递任何命令文本即可绕过现有提示注入防护体系实测显示主流大模型及AI智能体均存在较高攻击成功率企业需重构AI智能体信任边界采取分层防御策略从即时排查短期缓解到长期架构升级全方位加固

安天CERT披露Fastjson2.x远程代码执行漏洞（CVSS9.8），影响版本≤2.0.62。漏洞因白名单哈希校验缺陷可被绕过，无需认证即可在默认配置下触发RCE。安天AVLCode已完成PoC验证。建议立即升级至修复版本或开启SafeMode安全模式，并部署WAF拦截@type字段。

长亭应急响应实验室发现Fastjson2全JDK版本通杀远程代码执行漏洞(影响版本<=2.0.62)。攻击者无需权限或用户交互，仅通过控制JSON请求体即可触发RCE。漏洞源于AutoType校验缺陷，攻击者可通过FNV哈希碰撞绕过。官方已发布修复补丁，建议立即升级或启用SafeMode。

Fastjson2存在远程代码执行漏洞(CVSS9.8)，影响版本<=2.0.62。漏洞根源在于AutoType校验仅依赖FNV-1a哈希值匹配白名单，未校验类名字符串，攻击者可通过恶意JSON绕过限制实现远程代码执行。官方暂未发布正式安全版本，建议启用SafeMode或配置WAF规则拦截@type字段作为临时缓解措施。

本文记录了一次对某大学校园网充值系统的支付漏洞挖掘过程。作者通过抓包修改支付金额参数，成功将30元支付改为1元，验证了系统存在参数校验不严的漏洞。文章强调了渗透测试需获得授权，并推广了相关安全培训课程。主要建议是加强服务端参数校验以防止金额篡改。

本文仅为哈啰安全应急响应中心关于AI生成漏洞报告处置公告的标题及元数据，实际正文内容缺失。文档中未包含具体的处置规则、技术分析、漏洞判定标准或任何可操作的建议，仅展示了发布时间、地点及部分网页导航元素，无法提供实质性的安全参考价值。

本周安全态势严峻，CNVD收录578个漏洞，0day占比86%，WEB应用风险最高。供应链入侵占泄露事件48%，行业亟需协同处置。ShinyHunters攻击EY和DentaQuest，超2340万用户数据泄露。新型RenPyLoader利用区块链隐匿通信窃密。勒索软件普及EDR销毁技术。建议关注补丁更新，加强供应链管理，防范新型恶意软件。

本文分析了FirebaseAPIKey权限配置不当引发的安全风险。开发者在GCP创建Key时若未限制访问范围，会导致公开Key越权访问Firestore数据库、存储桶或Gemini等高价值API。作者通过脚本自动化检测此类越权与滥用漏洞，建议安全人员在SRC活动中遇到此类配置时深入测试，挖掘高危漏洞获取赏金。

微软2026年7月安全更新修复622个漏洞，含62个高危和553个严重漏洞，涉及众多组件。特别提醒Windows1124H2/25H2系统下戴尔设备存在兼容性问题，可能导致关机、发热等故障。建议用户及时使用火绒安全软件的漏洞修复功能安装补丁，并关注微软后续解决方案。

加州大学圣迭戈分校发现Karr报警系统存在严重漏洞，影响美国超200万辆汽车。黑客可通过蓝牙解锁、追踪、瘫痪车辆，甚至禁用点火系统。漏洞源于所有设备共用同一认证密钥。厂商已发布固件更新，但许多车主不知情。建议车主检查车辆并安装补丁。

本文为交大捷普漏洞扫描系统AI版本新版本发布的宣传文章。捷普作为国内网络安全产品和服务提供商，秉持全面安全智慧安全理念，提供涵盖基础设施、数据、信创、工控等七大系列安全产品及风险评估与渗透测试服务，旨在助力用户提升IT基础设施安全与合规性，但全文缺乏具体技术细节。

libssh21.11.1及更早版本曝出四个高危漏洞，两个可在认证前触发。攻击者通过恶意SSH服务器能引发客户端内存破坏，导致代码执行或拒绝服务。受静态链接影响，漏洞面极广且易被忽视。建议立即升级至最新版，利用命令扫描静态链接资产，无法升级时须限制连接可信服务器或部署堡垒机过滤，以阻断风险。

看雪学苑推出企业防火墙漏洞挖掘课程，覆盖Fortinet等10+主流厂商，精选30+高危漏洞，引入基于langgraph的自动化挖掘工作流，从固件分析到漏洞利用全链条教学，旨在培养独立挖掘0day能力，适合安全研究人员进阶学习。

本文介绍了AiPy团队通过MB计划在Firefox等项目中挖掘了100多个漏洞,包括多个CVE,证明了大模型结合专家经验在漏洞挖掘中的有效性。文章对比了Mythos与国内模型的差距,指出国内模型在网络安全领域仍需追赶,并强调了高质量数据和专家经验的重要性。

荷兰情报机构指控俄情报部门利用默认密码和过时固件劫持欧洲及乌克兰境内IP摄像头，实时监视军事运输路线和乌军部署。Censys发现超87,000台摄像头存在已知漏洞。建议立即排查公网暴露摄像头，关闭端口转发，通过VPN访问，调整物理角度避开敏感区域，并优先更新固件。

美国联邦政府云安全认证FedRAMP负责人警告，无法快速修复高危漏洞的技术供应商不应进入政府市场。AI已重塑网络攻防，FedRAMP推动漏洞响应改革，要求服务提供商在2-4天内缓解严重漏洞。企业需整合安全、工程与产品团队协同工作，以应对AI支持的网络攻击，否则将面临被排除在联邦市场之外的风险。

本周国际网安聚焦勒索攻击与AI安全。勒索团伙协同利用VPN漏洞并实战化部署EDR终结技术。AI方面，ChatGPT漏洞暴露代理部署风险，NVIDIA牵头成立安全AI联盟。同时微软修复多项高危漏洞，酒店Wi-Fi凭证窃取频发。建议重点评估AI代理风险，强化边界与身份防护。

RedisStream相关漏洞CVE-2026-25243补丁绕过，攻击者利用RDB加载时nack对象共享缺陷，触发useafterfree和doublefree，通过jemalloc实现任意地址读写，最终劫持函数指针获得远程代码执行。影响Redis6.2.22、7.4.9、8.6.4等版本，8.8.0修复。防御建议包括升级、限制危险命令、不暴露公网、强化认证。

AWSCloudTrail存在绕过漏洞，攻击者可通过非生产端点进行静默权限枚举而不产生日志，暴露了日志盲区。AWS通过禁止外部访问非生产端点修复。建议企业关注日志覆盖完整性，避免依赖单一审计源。

CVE-2026-42533是nginx双遍字符串求值引擎中的严重堆缓冲区溢出漏洞(CVSS9.2),影响多个版本。攻击者可通过特定配置模式实现预认证远程代码执行,PoC已公开。建议立即升级至nginx1.30.4/1.31.3或NGINXPlus修复版本。