ZONE.CI 全球网

微软2026年6月周二补丁日修复198个漏洞，包含3个已被利用的零日漏洞（BitLocker加密绕过、HTTP.sys拒绝服务、CTFMON权限提升）。重点包括54个远程代码执行漏洞（涉及远程桌面、Hyper-V、Kerberos等）和63个权限提升漏洞。建议优先部署BitLocker、HTTP.sys、远程桌面和Hyper-V补丁，若无法及时更新可通过网络分段和限制RDP访问降低风险。

本期CNNVD通报显示2026年5月29日至6月15日共收录201个重要人工智能漏洞，涉及MLflow、OpenClaw、HermesAgent等11个超危、73个高危和117个中危漏洞。关键案例包括MLflow凭据泄露、OpenClaw授权绕过和HermesAgent命令执行漏洞，厂商均已发布补丁修复。报告提供了漏洞统计数据和具体修复链接，为AI系统安全维护提供及时预警和应对参考。

2026年6月13日美国商务部以国家安全为由对Anthropic公司AI模型Fable5和Mythos5实施出口管制，暂停外国国民访问权限。这两款模型具备强大的代码漏洞识别能力，曾通过ProjectGlasswing项目发现数万个高危漏洞。政府称存在特定越狱技术风险，但Anthropic认为该威胁被夸大且类似能力已普遍存在。事件引发行业对AI监管边界、技术出口政策及安全定义的广泛争议。

微软Copilot被曝出高危漏洞CVE-2026-42824（SearchLeak），攻击者通过恶意链接诱骗用户点击后，可利用AI对自然语言指令的轻信绕过安全检测，自动搜索并外传用户邮件、验证码、会议详情等敏感数据。该漏洞影响Microsoft365Copilot企业版，微软已发布补丁并建议企业及时更新系统，同时对来历不明链接保持警惕。

微软确认MicrosoftDefender存在代号Rogueplanet的高危零日漏洞CVE-2026-50656，CVSS评分7.8。该漏洞源于Defender核心引擎的文件访问前链接解析不当缺陷，利用TOCTOU竞争条件，无需用户交互即可本地提权至SYSTEM权限，影响所有已打最新补丁的Windows10/11系统。微软正在开发补丁但未给出具体发布时间，建议企业加强访问控制并关注官方更新。

本文针对U盘与网盘在日常办公中的安全风险展开分析，指出U盘存在无防护加密、交叉感染、权限管理缺失等隐患，网盘则面临错误分享配置、账号防护薄弱、过度依赖云端等风险。结合《数据安全法》等合规要求，文章提出U盘安全使用四步法（选安全硬件、规范使用、管控端口、定期检查）和网盘安全使用五要点（谨慎分享、强化账号、分类存储、定期备份、关注通知），并强调安全意识是数据防护的第一道防线。

Fortra披露CorePrivilegedAccessManager(BoKS)存在严重命令注入漏洞CVE-2026-9862（CVSS9.8），攻击者可通过boks\\_autoregisterd服务在端口6507上无需认证执行任意命令。建议立即限制网络访问、关闭服务或应用补丁，防止系统完全被控。

SplunkAIToolkit曝出高危命令注入漏洞CVE-2026-20266，CVSS评分9.1，影响5.7.4之前版本。攻击者利用管理员权限可远程执行系统命令，篡改安全告警、窃取日志数据并控制安全运营环境。建议立即升级至5.7.4版本，严格限制管理员权限并加强AI组件安全审计。

该文档通告LinuxKernelnet/schedact_pedit权限提升漏洞CVE-2026-46331，影响v5.18至v7.1-rc7内核版本。漏洞源于tcf_pedit\\_act()函数在skb写入范围校验不充分，导致攻击者可通过构造pedit规则破坏页缓存一致性，实现本地权限提升。官方已发布修复补丁，建议升级内核或应用补丁899ee91156e5，同时提供临时缓解措施如关闭非必要模块、遵循最小权限原则。

文档披露LiteLLMAIGateway存在4个高危漏洞链，攻击者可通过虚拟Key路由绕过、用户角色提升、MCP测试端点命令执行和Guardrail沙箱逃逸，从低权限逐步接管网关控制面与执行面。漏洞影响v1.83.14之前版本，可能导致模型API密钥、数据库凭据、Agent工作流等敏感信息泄露。建议立即升级至v1.83.14-stable版本，并收敛路由权限、隔离管理接口。

SearchLeak是微软365CopilotEnterprise企业搜索功能中的关键漏洞链，结合参数到提示词注入、HTML渲染竞态条件和SSRF绕过CSP三类缺陷，实现一键窃取邮箱、会议、企业文件等敏感数据。攻击者通过构造恶意链接诱导点击，利用AI组件串联传统漏洞完成数据外泄。微软已修复漏洞并建议企业监控异常URL、审计CSP白名单、强化流式输出净化机制。

2026年6月10日启明星辰通报GoogleChromeV8引擎越界内存访问漏洞CVE-2026-11645，评分8.8高危。攻击者通过特制网页可远程执行代码，影响Windows/Mac/Linux多个版本Chrome。官方已发布149.0.7827.102及以上版本修复，建议立即升级并加强网络访问控制、启用多因素认证。

安全研究人员NightmareEclipse公开了WindowsDefender零日漏洞RoguePlanet的PoC，该漏洞利用Defender内部处理逻辑的TOCTOU竞争条件，允许非特权用户通过NTFS连接点重定向文件操作，从而在受影响系统上获得SYSTEM权限。漏洞确认影响全版本Windows10/11及服务器版，建议组织将此披露视为高优先级并监控微软安全更新以获取紧急补丁。

360漏洞挖掘智能体在开源AI应用平台Flowise中发现13个0day漏洞，涉及身份认证、权限控制等安全问题，攻击者可窃取AI模型密钥或篡改数据。Flowise作为广泛使用的AI基础设施，其安全风险已影响企业生产环境，凸显AI平台在复杂业务流中的安全盲区。建议政企用户尽快对AI应用基础设施开展安全评估。

Spring框架曝高危漏洞，企业Java系统面临LDAP认证绕过与DoS攻击风险。CVE-2026-41720漏洞允许攻击者使用空密码绕过LDAP认证；CVE-2026-41840和CVE-2026-41842漏洞可导致内存泄漏和拒绝服务。企业需立即升级至SpringFramework7.0.8、6.2.19或6.1.28版本，并运行回归测试确保安全。

MBS工业通信网关存在多个高危漏洞，包括CVE-2026-35075默认密码漏洞（CVSS9.8）和三个堆栈缓冲区溢出漏洞（CVSS8.8），攻击者可获取root权限劫持智能建筑系统。建议立即升级至V6_0_0\\_7固件版本并加强网络隔离防护。

本文分享作者从零开始学习使用AI工具（Claude、Cursor等）进行漏洞挖掘的实战经验。主要内容包括环境配置、BurpSuite联动、Skill创建优化等操作流程，通过实际测试发现AI在信息收集和偏门资产挖掘方面表现突出，最终成功发现一个SQL注入漏洞并获得赏金。作者建议不要幻想全自动挖洞，应重点将AI应用于信息收集、代码审计等方向，并注意操作约束。

多伦多大学研究人员开发出基于开源LLM的AI蠕虫原型，该蠕虫通过组合利用新旧漏洞及配置错误，在模拟企业网络中实现跨系统自我复制，成功感染27/33个系统。研究显示开源模型配合专用框架已具备漏洞利用能力，新漏洞数小时内即可被整合攻击，建议企业采用AI辅助渗透测试并建立快速补丁机制应对新威胁。

GoogleChromeV8引擎存在越界读写漏洞(CVE-2026-11645)，攻击者可通过恶意网页触发漏洞绕过沙箱防护实现远程代码执行，已发现在野利用。影响Chrome版本低于149.0.7827.102/.103(Windows/Mac)和149.0.7827.102(Linux)。建议立即升级至最新版本，具体可通过Chrome帮助菜单中的关于选项检查更新。

点星是一套端到端AI自动化代码安全审计系统，能够通过语义级理解自主挖掘传统工具难以发现的深层漏洞（如零权限RCE），并完成从发现到验证的全流程。系统采用漏洞猎人挑战赛机制，通过公开漏洞哈希表和奖金悬赏接受社区检验，但出于安全考量暂不公开技术实现细节。