ZONE.CI 全球网

PHP官方预警两个严重安全漏洞CVE-2026-109618和CVE-2026-109619，CVSSv4.0评分均为9.2，疑似存在远程代码执行风险，影响范围或覆盖PHP5及以上版本。补丁计划于2026年10月21日发布，CERT-EU建议各机构立即梳理PHP资产，提前做好补丁部署准备，必要时将公网应用隔离。目前尚未发现公开在野利用，但历史案例显示此类漏洞披露后可能迅速被利用。

PHP官方预告将发布紧急更新，修复两个CVSSv4.0评分9.2的严重漏洞，关联CVE-2026-109618和CVE-2026-109619，可能带来远程代码执行风险。官方尚未公布完整技术细节和受影响版本，运维团队应立即盘点PHP资产、预留升级窗口，并可按文档提供的非攻击性自查命令排查部署方式。补丁发布前需列清单、排优先级、备升级窗口、缩小暴露面并监控异常，发布后需通过可信渠道升级并验收。

php核心曝两个严重RCE漏洞，CVSSv4.0评分9.2，影响php5.4+几乎所有版本，补丁尚未发布，利用工具已在补丁前泄露。漏洞与multipart上传处理相关，但官方细节未确认。建议关注php官方公告及CERT-EU预警，及时更新补丁并加强监控。

PHP核心组件存在两个严重远程代码执行漏洞CVE-2026-109618和CVE-2026-109619，CVSS评分9.2，影响PHP5.4至8.5绝大多数版本。攻击者可通过特制HTTPPOST请求在PHP脚本执行前触发内核缺陷，以PHP-FPM或Web进程权限执行任意系统命令，导致服务器失陷、数据泄露及横向渗透。建议关注官方安全更新及时升级，并采取临时缓解措施降低风险。

启明星辰ADLab披露DrupalCoreFieldUI远程代码执行漏洞CVE-2026-108097，CVSS评分9.8，影响多个版本，全球约170万实例潜在受影响。漏洞源于表格渲染未校验回调函数，配合特定模块可无认证执行任意命令。官方已发布修复版本，建议立即升级，或卸载FieldUI模块、限制管理路由访问作为临时缓解措施。

CVE-2026-6279是WordPressAvadaBuilder插件（≤3.15.2）中的未授权远程代码执行漏洞，攻击者通过fusion_get_widget_markup接口将恶意数据传入call_user\\_func函数执行。影响全球超20万个站点，CVSS评分9.8。建议用户立即升级至3.15.3版本修复漏洞。

LiteSpeedcPanel插件存在高危漏洞CVE-2026-48172（CVSS10.0），因权限分配错误导致任意cPanel用户账号可调用lsws.redisable函数获取root权限执行恶意脚本。影响2.3至2.4.4版本，2.4.5已修复。官方证实漏洞遭野外利用，提供grep命令排查入侵痕迹，建议升级至WHM插件5.3.1.0或卸载用户端插件。

本文详细披露了GoogleCloud生产环境中一个从调试端点信息泄露演变为完整RCE的攻击链。研究员通过cloudcrmipfrontend-pa.googleapis.com端点泄露内部protobuf定义，利用StubbyRPC机制绕过安全策略，最终通过GenericStubbyTypedTask实现远程代码执行。该漏洞被评定为P0/S0最高级别，获得148,337美元奖金，揭示了Google安全模型中Stubby调用链的核心风险。

NGINXngx_http_rewrite\\_module存在堆缓冲区溢出漏洞(CVE-2026-42945)，攻击者可通过构造HTTP请求实现远程代码执行。影响版本包括1.0.0-1.30.0等多个NGINX系列产品，目前POC已公开。建议用户立即升级至官方安全版本。

ApacheTomcatTribes集群通信框架的EncryptInterceptor组件存在加密绕过反序列化漏洞（CVE-2026-34486），因修复CVE-2026-29146时引入逻辑缺陷，导致解密失败后仍继续反序列化未加密数据。攻击者通过向Tribes端口（默认4000）发送恶意序列化载荷即可实现远程代码执行，影响Tomcat9.0.116/10.1.53/11.0.20版本。建议升级至安全版本或验证EncryptInterceptor配置。

本文是作者关于漏洞赏金之旅的经验分享，讲述了从零基础起步，历经两年失败后首次获得500美元奖励，再到最终年收入突破3.2万美元的成长历程。核心经验包括专注于访问控制等特定领域、持之以恒地学习与实践，并分享了一个GitLab的IDOR（不安全的直接对象引用）漏洞案例及其利用步骤。文章强调，漏洞赏金是一场需要耐心和持续努力的马拉松。

本文详细介绍了云服务AccessKey泄露的渗透利用方法，包括阿里云LTAI和腾讯云AKID等密钥特征识别，并推荐了cloudTools、API-T00L、EasyTools等多款自动化利用工具。文章还展示了session_key三要素泄露导致手机号解密的实战案例，最后部分为SRC漏洞挖掘培训课程的广告推广内容。

华住安全响应中心将于2026年5月25日至6月3日暂停漏洞测试及平台使用以进行升级优化，预计6月4日12:00恢复。暂停期间发现高风险漏洞可通过邮箱[email protected]提交并获得奖励，同时强烈谴责恶意攻击行为并保留法律追责权利。

厦门四信通信水利信息化平台index.do存在SQL注入漏洞，攻击者可通过构造恶意SQL语句获取数据库敏感信息。文档提供了漏洞复现步骤和验证方法，并引导用户关注公众号获取POC详情。同时推荐加入内部圈子获取Nuclei批量验证脚本和持续更新的漏洞库资源。

文档介绍无镜靶场中的并发逻辑漏洞案例，攻击者通过注册账号、修改生日日期至当天并利用并发请求多次领取50元礼包，最终累计400元购买商品获取flag。关键发现是后端在检查领取状态与更新数据库之间存在时间窗口漏洞，建议开发者采用原子操作或锁机制防范并发问题。

本文详细记录了通过DeepSeek和Claude等AI工具纯黑盒挖掘某ERP系统9.8分RCE0day漏洞的全过程。AIagent通过公开漏洞情报定位攻击面，发现BinaryFormatter反序列化入口，最终利用ActivitySurrogateSelectorFromFile绕过WAF实现RCE。文章展示了AI在侦察、验证、利用各阶段的能力边界，并提出了分层使用模型和极简架构的新思路。

AI模型Mythos在30天内扫描千余项目发现23019个漏洞，效率远超人工且能自主构建攻击链，导致传统安全模式崩溃及股市震荡。文章指出漏洞由稀缺转为快消，特征库防御失效，行业面临修复挑战，未来必须全面升级为以AI对抗AI的智能防御体系。

Anthropic公司’玻璃之翼’项目利用ClaudeMythos预览版AI模型在全球关键软件中发现超10000个高危漏洞，揭示网络安全挑战从漏洞发现转向修复瓶颈。项目扫描1000多个开源项目发现6202个高危漏洞，验证通过率达90.6%。AI模型使漏洞发现效率提升10倍，但补丁修复滞后加剧风险，建议开发者缩短补丁周期、防御者加强基础安全控制。

该文档披露某多语言数字货币交易所存在前台任意文件上传漏洞，核心问题为JWT签名密钥硬编码导致可伪造任意用户令牌，结合未授权文件上传功能可实现Webshell植入。漏洞位于ThinkPHP框架的JwtAuth.php和Member.php，文章提供了完整的Python利用工具和HTTP攻击载荷。关键发现包括权限绕过机制和文件上传路径可控性，建议立即更换密钥并加强文件类型验证。

该文档详细分析了BashShellshock漏洞（CVE-2014-6271）的成因与复现方法。漏洞因Bash解析环境变量时未严格校验函数边界，导致攻击者可通过恶意构造的HTTP头等途径实现远程代码执行。文档提供了Vulhub环境下的完整复现步骤，包括Docker部署、漏洞验证及利用场景分析，并指出影响范围为Bash≤4.3版本。