ZONE.CI 全球网

惠普多款PolyVoIP电话存在严重缓冲区溢出漏洞CVE-2026-0826（CVSS9.2），攻击者可通过恶意SDP候选属性触发栈溢出实现远程代码执行。受影响设备包括VVX系列和TrioIP会议电话，漏洞可能被用于网络渗透、数据窃取甚至语音伪造攻击。建议管理员禁用ICE功能或更新至已修补固件版本。

ApacheActiveMQJolokia组件存在远程代码执行漏洞CVE-2026-42588，攻击者可通过Jolokia端点调用addNetworkConnector方法加载恶意Spring配置实现任意命令执行。漏洞影响5.19.7以下和6.0.0-6.2.6版本，利用复杂度低且EXP已公开。建议立即升级至5.19.7/6.2.6或通过禁用Jolokia、限制访问权限等措施临时缓解。

安全研究人员披露高危HTTP/2Bomb漏洞，影响Nginx、ApacheHTTPd、IIS、Envoy及CloudflarePingora等主流Web服务器。攻击利用HPACK头部压缩机制，通过发送单字节数据触发服务器内存大量分配，并配合零字节流量控制窗口锁定内存，导致家用宽带即可在数十秒内耗尽服务器32GB内存。部分厂商已发布补丁或提供临时禁用HTTP/2的缓解方案。

TP-Link路由器存在高危漏洞CVE-2026-5509（CVSS8.5），影响ArcherBE450v1和BE7200v1型号。该已认证命令注入漏洞允许攻击者通过web管理界面执行任意系统命令，可能导致设备完全被控、敏感数据泄露。官方已发布固件更新，建议用户立即将版本升级至1.3.0Build20260416或更高以修复漏洞。

安全研究人员在XChargeC6电动汽车充电桩中发现多个严重漏洞，包括固件更新机制漏洞CVE-2026-9037（CVSS9.3）允许远程代码执行、物理接口缓冲区溢出漏洞CVE-2026-9038和默认凭据漏洞CVE-2026-9039。这些漏洞可使攻击者完全控制充电设备，威胁充电站网络安全。厂商已推送自动化修复补丁，建议管理员立即核实设备补丁状态并保持严格更新管理。

本文记录了一次授权渗透测试中发现的IDOR漏洞实战案例。测试人员通过注册企业客户端账号，发现密码重置功能存在横向越权漏洞，可重置其他企业用户密码。文章通过抓包分析展示漏洞利用过程，强调开发过程中不能轻信用户输入参数，需严格校验权限边界。

谷歌发布2026年6月安卓安全补丁修复124项漏洞，其中CVE-2025-48595高危权限提升漏洞已被在野利用，CVSS评分8.4分。该整数溢出漏洞影响Android14-16系统，无需用户交互即可实现本地提权，疑似被商业间谍软件用于定向攻击。美国CISA要求联邦机构在6月5日前完成修复，但安卓碎片化问题导致大量设备仍暴露于风险中。

文档披露KKfileview<4.4.0-beta存在ZipSlip目录穿越漏洞，攻击者可利用该漏洞向服务器任意目录写入文件进而引发命令执行风险。作者指出现有POC存在破坏性检测缺陷，并提出无损检测方案：通过构造包含特定路径文件的ZIP压缩包，上传后检查demo目录是否成功生成flag.txt文件以验证漏洞存在性。

补天漏洞响应平台发布通告，针对白帽子使用AI工具批量生成漏洞报告导致内容失实、无法复现等问题，明确要求漏洞报告必须基于真实测试发现，使用AI辅助需人工验证核实，禁止直接提交未经核实的AI生成报告。平台对违规行为采取分级处置：累计提交5个以上无效报告者封号，少于5个者警告，呼吁合理使用AI工具并强调上报者责任。

VSCode及github.dev存在零日漏洞，攻击者通过恶意链接诱导用户打开含恶意扩展的仓库，利用JupyterNotebook文件自动安装扩展窃取GitHub令牌，导致所有仓库遭未授权访问。研究员因微软响应流程不佳直接公开漏洞，建议用户避免点击不明链接。

思科UnifiedCM存在严重漏洞CVE-2026-20230，PoC利用代码已公开，攻击者可通过SSRF攻击无需权限获得root权限。该漏洞仅影响默认禁用的WebDialer服务，建议安装14SU6或15SU5版本补丁，或通过管理员界面禁用WebDialer服务进行临时防护。

GamaredonAPT组织利用WinRAR路径遍历漏洞CVE-2025-8088对乌克兰目标发起模块化间谍攻击，攻击链包含GammaPhish初始访问、GammaLoad驻留和GammaWorm传播三个阶段。恶意软件采用无文件技术将载荷隐藏在NTFS备用数据流中，通过Telegram解析C2地址并利用HTTP头部回传数据。攻击具有高度隐蔽性和持久性，建议受感染主机彻底重装系统。

CVE-2026-23479是Redis阻塞客户端代码路径中的释放后使用漏洞，允许认证用户在Redis主机上执行任意命令。该漏洞存在于unblockClientOnKey函数中，在7.2.0及以上版本中普遍存在。利用过程涉及信息泄露、触发释放后使用和控制堆内存三个阶段，最终通过GOT表覆写实现代码执行。Redis团队已于2026年5月5日发布修复补丁，建议用户立即升级受影响版本。

安全公司SafeBreach披露谷歌Gemini存在`伪上下文对齐`漏洞，攻击者可通过多语言混淆或静音超链接在通知中隐藏恶意指令，利用延迟工具调用机制绕过授权验证，导致智能设备被操控或联系人被篡改。谷歌已通过改进内容分类器缓解该漏洞，建议加强AI在多语言环境和语音交互中的安全验证机制。

文档介绍了2026年出现的四个Linux内核本地提权漏洞及其PoC利用方法：CVE-2026-31431（CopyFail漏洞，Python一键提权）、CVE-2026-43284（DirtyFrag漏洞，通过内核网络路径污染页缓存）、CVE-2026-46300（Fragnesia漏洞，Ubuntu需调整AppArmor配置）、CVE-2026-46333（ssh-keysign漏洞，可读取敏感文件）。文章提供了各漏洞的复现命令和GitHubPoC地址，同时声明仅供授权测试使用。

该文档披露鼎游信息智慧票务系统ImageViewServlet接口存在任意文件读取漏洞，攻击者可利用此漏洞读取服务器敏感文件。文档提供了漏洞描述、影响版本、FOFA查询语句及漏洞复现截图，并引导读者通过知识星球获取POC工具和批量扫描插件。文章强调仅供学习用途，建议用户及时打补丁修复。

本文介绍一款基于JavaSwing的未授权访问探测工具willsafe，支持批量目标扫描、39种常见服务探测、指纹识别和SOCKS5代理功能。工具具备并发扫描和CSV导出能力，适用于Redis、MongoDB、SpringBoot等服务的漏洞检测，需通过公众号回复关键词获取下载链接。

深度优先公司的AIAgent发现FFmpeg媒体库存在21个0Day漏洞，包括潜伏23年的栈溢出漏洞，同时Chrome149版本修复创纪录的429个安全缺陷。文档建议用户立即更新FFmpeg至修复版本并优先处理RTSP组件，同时确保Chrome浏览器更新至149.0.7827.53/54版本以防范高危漏洞。

ARM公司开源了AgenticAI安全框架Metis，该框架基于RAG架构结合大语言模型和项目知识库，能够在大规模代码库中实现基于上下文的智能化安全分析。相比传统工具，Metis将漏洞检测准确率提升10倍，误报率降低50%，支持C、C++、Python、Rust等多种编程语言，并可对SAST工具结果进行核验。ARM计划在2026年底前将其应用于所有软件项目，并已扩展至硬件漏洞检测领域。

Samba打印子系统存在远程代码执行漏洞CVE-2026-4480，攻击者可通过构造含Shell元字符的打印作业描述在服务器上执行任意命令。影响Samba4.1.0至4.24.2版本及RHEL系列系统。官方已发布安全补丁，建议立即升级至4.22.10/4.23.8/4.24.3版本；临时缓解方案包括在smb.conf中用单引号包裹%J替换符或移除该参数。