ZONE.CI 全球网

本周漏洞周报披露了四个高危漏洞：MozillaFirefox和Thunderbird存在代码执行漏洞CVE-2026-0892影响147以下版本；MicrosoftOffice存在代码执行漏洞CVE-2026-42831影响多个版本；FirefoxJIT组件存在代码执行漏洞CVE-2026-8389影响150.0.3以下版本；IBMWebSphereApplicationServer存在SAML组件漏洞CVE-2026-9330可导致远程代码执行。所有漏洞均建议及时升级到最新版本进行修复。

VulnAnalyzer是一个基于Python+Flask构建的轻量级Web安全分析平台，支持静态代码分析和自动化网站扫描。该工具采用纯静态分析策略，覆盖XSS、SQL注入等12类通用漏洞和13类Java专项漏洞，提供风险等级评估和CWE/OWASP标准引用。设计哲学强调零副作用检测和防御性输出，适合快速安全审查和漏洞学习。

BugHunter是一款2026年推出的AI驱动开源漏洞赏金工具包，通过集成大语言模型与35款安全工具实现端到端自动化漏洞挖掘。其核心创新在于AI智能编排工作流，覆盖Web2和Web3漏洞类型，并通过7道质检关卡将误报率降至30%。工具支持多平台报告自动生成和5种AI算力配置方案，显著提升白帽黑客效率。

2026年2月NSO集团违反法院禁令在WhatsApp测试群组发布照片，背景中印有公司标志的桌垫成为关键证据。Meta通过技术分析发现23个非法账户和34个测试群组，揭露其持续通过恶意链接传播Pegasus间谍软件。Meta已向法院提起藐视法庭诉讼，要求巨额罚款并强制NSO高管签署合规宣誓书，案件将于2026年7月16日开庭审理。

该文档通告LinuxKernelnet_schedact_pedit组件存在本地提权漏洞CVE-2026-46331，漏洞源于tcf_pedit_act()函数未正确处理COW复制导致页缓存污染，攻击者可通过CAP_NET_ADMIN权限修改只读文件页缓存并覆盖SUID程序获取root权限。影响内核5.18至7.1-rc7版本，已公开PoC且存在在野利用。建议立即应用官方补丁（提交899ee911和d504a978）并遵循最小权限原则加强系统防护。

本文系统总结了支付类逻辑漏洞的九大挖掘技巧，包括修改金额、支付状态、订单信息、数量、优惠券等参数，以及利用并发、遍历、精度误差等方法。文档指出漏洞主要源于前端验证不足、服务器校验不严等成因，并提供具体操作示例和测试思路。

安全研究员Lucifiel在DonutAI平台发现49个安全漏洞，包括静默盗币和RCE攻击链。按标准流程披露后，项目方仅修复11处，并对其提出不实指控。文章揭示了AI金融产品的安全风险与漏洞处理中的治理问题，并给出用户防护建议。

Wazuh5.0存在CVSS10分高危漏洞，攻击者可通过未转义的DataValue.index字段注入恶意分隔符，以管理员权限执行未授权OpenSearch批量操作，导致日志篡改、证据销毁等严重后果。受影响版本为5.0.0-beta1起，官方已在5.0.0-beta3版本修复，建议用户立即升级。

本文深入研究了ApacheCXFXXE外部实体解析漏洞（CVE-2026-49875）。该漏洞源于框架在处理XMLSchema时未完全应用JAXP安全加固配置，导致攻击者可通过精心构造的恶意XMLpayload发起攻击。文章详细分析了受影响版本（如4.1.0≤cxf<4.1.7）、攻击效果（读取敏感文件、触发SSRF）、环境搭建步骤，并从代码层面剖析了漏洞成因，最后提供了利用脚本和流量特征。

FortinetFortiSandbox存在严重命令注入漏洞CVE-2026-25089，CVSS评分9.1，允许未认证攻击者通过恶意JSON输入在管理界面执行任意命令。影响版本包括5.0.0-5.0.5和4.4.0-4.4.8等，建议立即升级至5.0.6/4.4.9以上版本，并限制管理界面公网访问以降低风险。

研究者披露FIFA世界杯后台存在高危越权漏洞。通过公开注册账号进入Entra租户后，因后端API未校验角色，成功绕过前端拦截访问流媒体配置、RTMP推流入口及实时赛事数据面板。根因在于服务端授权缺失及权限边界混乱。建议企业必须实施服务端强制鉴权，严格区分身份认证与授权，并完善外部账号权限隔离与安全披露渠道。

Linux内核net/sched模块的act_pedit组件存在高危本地权限提升漏洞CVE-2026-46331，影响v5.18至v7.1-rc7内核版本。漏洞源于tcf_pedit_act()函数计算写时复制范围时未考虑运行时头部偏移，攻击者可通过非特权用户配合CAP_NET_ADMIN权限构造恶意tc规则篡改内存页缓存获取root权限。建议立即升级内核至v7.1-rc7或应用补丁899ee91156e57784090c5565e4f31bd7dbffbc5a，并限制CAP_NET\\_ADMIN权

该工具是专用于Jinja2SSTI漏洞检测的Python脚本，通过四阶段递进检测（算术探测、引擎确认、MRO链爬取、命令执行）和七条内置利用链实现漏洞利用。支持GET/POST参数注入、批量扫描及自定义命令执行，适用于CTF学习和授权测试。文档强调需在虚拟机环境运行并遵守合法使用原则。

该文档详细介绍了如何通过开发恶意PHP扩展在Web服务器中植入隐蔽后门的技术方案。文章阐述了PHP扩展的生命周期机制，重点利用PHP_RINIT_FUNCTION在每次请求时执行恶意代码，通过检查HTTP头中的特定暗号触发反向shell连接。文档提供了从环境配置、扩展编译到代码实现的完整技术路径，并强调了该技术相比传统webshell的隐蔽性优势。

该文档通报Linux内核net/schedact_pedit模块高危本地权限提升漏洞CVE-2026-46331，影响v5.18至v7.1-rc7内核版本。攻击者可通过用户命名空间和cap_net\\_admin权限修改页缓存覆盖SUID程序实现提权。官方已发布修复补丁commit899ee91，建议立即升级内核或临时禁用模块。

Zyxel修复GS1900系列交换机中的栈缓冲区溢出漏洞CVE-2026-7273，该高危漏洞CVSS评分8.8，允许局域网内未授权攻击者通过恶意HTTP请求执行任意命令。受影响型号包括GS1900-8/24/48HPv2等，固件版本2.90及以下需紧急升级至官方修复版本。建议立即安装补丁并限制管理接口访问权限。

本文分析美国政府管制AnthropicAI模型出口的背景，指出AI正将漏洞挖掘从专家手艺变为自动化能力，导致漏洞产能爆发、响应窗口压缩。安恒信息提出以AI对抗AI的三阶段方案：通过恒脑技术实现漏洞挖掘、监测预警，并推出零日雷达产品将漏洞实时转化为防御规则，帮助客户应对AI驱动的常态化攻击威胁。

微软确认MicrosoftDefender存在代号为Rogueplanet的零日漏洞（CVE-2026-50656，CVSS7.8分），该漏洞属于竞争条件类型，可导致权限提升至系统最高权限。研究员指出该漏洞利用不受Defender实时防护开启状态影响。微软表示正在开发修复补丁。

CNNVD通报2026年5月29日至6月15日期间共收录201个重要人工智能漏洞，涉及MLflow、OpenClaw、HermesAgent等11个超危、73个高危及117个中危漏洞。漏洞类型包括敏感信息泄露、权限绕过和远程命令执行，厂商已发布补丁修复。建议用户及时更新至安全版本。

文档披露Linux系统中PackageKit服务的TOCTOU漏洞CVE-2026-41651，攻击者可通过D-BusAPI在模拟安装后替换为恶意包，以root权限执行postinst脚本实现权限提升。关键发现包括利用GLib库的InstallFiles方法绕过授权检查，以及针对Debian/Ubuntu和RPM系统的不同攻击路径。防护建议包括更新PackageKit或监控包管理器进程链与认证日志。