ZONE.CI 全球网

2026年5月25日安全速报披露多个高危漏洞，包括WordPressBurstStatistics插件CVE-2026-8181认证绕过漏洞（已遭7400+次在野攻击，可无认证接管管理员权限）、LangflowCVE-2025-34291未认证RCE漏洞（被伊朗APT组织MuddyWater在野利用，已入CISAKEV目录）、UnboundDNSCVE-2026-42944堆溢出漏洞（可致远程拒绝服务）、FreeBSDdhclientCVE-2026-4251121年老洞RCE（POC已公开）及Trend

LiteLLM存在权限提升漏洞(CVE-2026-47101)，攻击者可通过/key/generate接口构造含管理员路由的API密钥，将内部用户权限提升至管理员。影响版本小于1.83.14，全球风险资产超11万。建议立即升级至1.83.14版本并严格校验路由权限。

奇安信CERT通告NGINXngx_http_rewrite\\_module堆缓冲区溢出漏洞(CVE-2026-9256)，该高危漏洞影响万级设备，CVSS评分8.1。攻击者可通过特制HTTP请求触发Worker进程崩溃或代码执行。修复方案包括升级至1.31.1/1.30.2等安全版本，或将rewrite指令中未命名捕获组改为命名捕获组。

知名压缩工具7-Zip被曝高危代码执行漏洞CVE-2026-48095，该漏洞源于处理NTFS磁盘镜像时存在内存破坏缺陷，攻击者可构造恶意文件利用整数溢出和越界写入实现虚表劫持，从而控制设备。漏洞影响26.00及更早版本，且文件可伪装成任意压缩格式，用户打开即触发。建议立即升级软件并谨慎打开来源不明文件。

7-Zip26.00版本存在高危堆缓冲区溢出漏洞CVE-2026-48095，攻击者通过构造恶意NTFS归档文件可触发虚表劫持实现任意代码执行。该漏洞影响所有26.00及之前版本，具有文件扩展名无关的攻击特性，用户打开恶意文件即可触发。建议立即升级至v26.01修复版本并避免打开不可信归档文件。

Microsoft365的CopilotCowork功能存在间接提示注入漏洞，攻击者可通过植入恶意代码的SKILLS文件绕过审批机制，自动向用户发送含预认证文件下载链接的Teams消息，导致企业敏感数据泄露。该漏洞在Claude等模型上验证成功，涉及AI代理权限设计缺陷。建议用户谨慎处理不可信数据源并加强技能文件审计。

SonicWallGen6系列SSL-VPN设备存在高危漏洞CVE-2024-12802，CVSS评分为9.1。该漏洞允许攻击者利用SAM账户格式（DOMAIN\\\\user）登录时绕过多因素身份验证（MFA）。Akira勒索软件组织正积极利用此漏洞进行攻击。修复该漏洞不仅需要更新固件，还必须执行六项手动LDAP重新配置步骤，否则将无法真正解决问题。

印度CERT发布指南应对AI加速网络攻击，要求关键被利用漏洞12小时内修复，其他等级漏洞按风险设定1-5天修复时限。建议构建智能体SOC、AI辅助漏洞评估与告警降噪，采用纵深防御与零信任架构，同时保护自身AI部署并维持人类监督，分三阶段落实防御措施。

Nightmare-Eclipse事件披露6个Windows零日漏洞利用代码，破坏负责任披露机制，暴露供应链单一依赖风险。关键发现包括Defender提权、BitLocker绕过等多攻击面漏洞。建议企业优先部署补丁、实施端点防护多层化、加固BitLocker配置并跟踪威胁情报。

微软修复了SharePoint中一个重要的远程代码执行漏洞CVE-2026-45659（CVSS8.8），该漏洞允许已认证的攻击者通过网络反序列化不可信数据执行代码，影响多个版本包括SubscriptionEdition、2019和2016。尽管利用可能性较低，但鉴于SharePoint漏洞常被武器化，用户应立即应用更新以获得防护。

文档指出开源软件已成为企业关键基础设施，但普遍面临维护者精力透支、资金匮乏等可持续性风险。通过Ingress-Nginx、FFmpeg、Flux三个案例说明开源风险本质是人力、资金与治理风险。建议企业建立项目健康度审查机制，从被动漏洞扫描转向主动治理，通过分级支持、工程师贡献和资金投入降低供应链风险。

报告分析了2026年上半年全球25个被常规利用的CVE漏洞，覆盖企业网络边缘设备、办公软件、开源工具及AI平台等领域。其中，企业网络边缘技术成为重点攻击目标，而安全研究人员则更关注AI平台和开源代码库。报告还指出，供应链攻击成为年度焦点，例如Notepad++和AquasecurityTrivy均遭供应链攻击。此外，Linux内核’CopyFail’等开源项目的漏洞因研究热度高，公开利用代码数量庞大。与去年同期相比，已知被利用漏洞（KEV）的新增数量增长了59%。

报告分析了2026年上半年全球25个被常规利用的CVE漏洞，覆盖企业网络边缘设备、办公软件、开源工具及AI平台等领域。其中，企业网络边缘设备是攻击重点，而安全研究人员则更关注AI平台和开源代码库。报告还揭示了供应链攻击成为年度焦点，以及Linux内核`CopyFail`等漏洞引发了极高的研究热度。

奇安信CERT通报ApachePyFory反序列化策略绕过漏洞(CVE-2026-48207)，该漏洞在Python-native模式下因ReduceSerializer未能正确调用DeserializationPolicy验证钩子，导致攻击者可构造恶意序列化数据绕过安全限制，实现远程代码执行。影响版本为0.13.0至1.0.0，CVSS评分9.8。建议用户升级至1.0.0或启用strict=True模式缓解风险。

Gitea开源版本控制平台存在容器镜像泄露漏洞CVE-2026-27771，允许未认证攻击者直接拉取私有镜像，影响全球超3万实例。漏洞存在于1.26.2之前版本，CVSS评分8.2，涉及医疗、航天等关键行业。建议立即升级至1.26.2版本，或临时设置REQUIRE_SIGNIN_VIEW为true缓解风险。

本文对比了AI安全领域两种技术路径：Anthropic的模型中心路线依赖大模型泛化能力，360的智能体中心路线将攻防经验转化为垂直智能体集群。后者在OpenClaw生态审计中发现23个漏洞，覆盖AIAgent运行时风险。文章指出AI安全核心正转向基础设施自动化能力与漏洞闭环效率。

Notepad++被曝存在三个高危安全漏洞，其中CVE-2026-48778和CVE-2026-48800为严重级任意代码执行漏洞，攻击者可通过篡改XML配置文件在用户系统上执行恶意代码。漏洞触发场景包括直接修改配置文件、恶意快捷方式、云同步投毒和社会工程学攻击。开发团队已发布v8.9.6.1紧急更新修复漏洞，建议用户立即升级并限制配置目录写入权限。

Z0SCAN是一款基于Python3开发的多功能自动化安全扫描框架，集成主动/被动扫描、爬虫联动、指纹识别和插件扩展等核心功能。该工具支持WAF识别、SQL注入、XXE等常见漏洞检测，提供Docker部署方案和70余款内置插件，适用于具备合法授权的安全测试场景。

cPanel&WHM爆出CVSS9.8分高危漏洞CVE-2026-41940，影响11.40后所有版本，攻击者无需凭证即可通过CRLF注入、会话加密绕过和缓存提升三环节链获取root权限。文档详细分析漏洞机制并提供Exp工具实现批量扫描、密码修改和RCE等利用方式，同时给出修复版本列表和资产发现方法。

CNNVD最新漏洞周报显示WordPress漏洞数量居首，AI工具曝出高危漏洞；商业数据泄露致美军人员信息暴露，五角大楼防护措施滞后；Google工程师滥用搜索数据非法获利，暴露内部威胁风险；新型钓鱼攻击瞄准Microsoft365和Signal用户，利用OAuth令牌窃取数据；开源软件供应链攻击演进至可信命名策略，IBM启动50亿美元Lightwell项目强化安全。