ZONE.CI 全球网

CheckPoint披露关键身份验证绕过漏洞CVE-2026-50751（CVSS9.3），该漏洞影响使用已弃用IKEv1协议的VPN配置，允许攻击者无需凭证建立VPN会话。自2026年5月初以来已被勒索软件组织积极利用，用于部署麒麟勒索软件。建议立即应用安全更新并禁用IKEv1，同时从5月初开始审查VPN日志。

谷歌紧急修复2026年第五个遭在野利用的Chrome0day漏洞CVE-2026-11645，该高危漏洞存在于V8JavaScript引擎中，涉及越界读写问题，可被恶意HTML页面利用在浏览器沙箱中执行任意代码或绕过ASLR等防护机制。文章建议用户立即更新至修复版本149.0.7827.102/103，并提及今年已修复共5个0day漏洞及去年修复8个同类漏洞的历史数据。

IBMAsperaHSTSforCP4I存在认证绕过漏洞CVE-2026-7876，因认证机制未能正确处理特定请求，攻击者可绕过认证获取未授权访问。影响版本为1.5.1至1.5.19。厂商已发布修复程序，建议用户及时更新至安全版本。

谷歌发布Chrome149安全更新，修复18个安全漏洞，包括4个严重级别和14个高级别漏洞，其中WebGL渲染引擎中的释放后使用漏洞可导致任意代码执行，建议用户立即更新浏览器。

该文档披露Squid代理软件存在堆缓冲区越界读取漏洞(CVE-2026-47729)，源于FTP目录列表解析时对空终止符处理不当。攻击者通过恶意FTP服务器可读取进程内存中的敏感数据如HTTP请求、认证令牌等。影响Squid7.7以下所有版本，全球风险资产超1300万。建议升级至7.7版本或禁用FTP功能。

Gogs远程代码执行漏洞(CVE-2026-52813)源于创建组织时对用户名未充分过滤路径遍历字符，攻击者利用此漏洞可将Git仓库写入服务器任意位置，通过覆盖钩子脚本实现远程代码执行。影响Gogs<0.14.3版本，CVSS评分10.0。建议立即升级至0.14.3或关闭用户注册功能。

该文档介绍客户端黑盒漏洞挖掘技术，重点阐述使用PowerShell、Python等工具对Windows/Android/Mac客户端安装目录进行自动化漏洞挖掘的方法。文档详细列出攻击面分析框架（如CEF/Electron）、自定义协议、侦听端口等关键检测点，并提供多个RCE、目录穿越等真实漏洞案例。强调需通过逆向反编译验证漏洞可靠性，避免虚假漏洞，并建议建立项目缓存保存挖掘过程。

本文介绍JenkinsExploit-GUI和CVE-2024-43044-jenkins两款Jenkins综合漏洞利用工具，详细列出其支持的CVE漏洞检测范围包括反序列化远程代码执行、SSRF、文件读取等漏洞类型，提供具体使用命令和项目地址，并补充了Docker靶场资源及相关技术分析文章链接。

FFmpegMagicYUV解码器存在堆越界写入漏洞CVE-2026-8461，影响8.1.2之前版本。攻击者可通过恶意媒体文件触发漏洞导致远程代码执行，威胁等级高危。官方已发布8.1.2修复版本，临时缓解措施包括禁用MagicYUV解码器或应用边界校验补丁。

深信服发布CVE-2026-20230漏洞通告，指出Cisco统一通信管理器WebDialer存在高危SSRF漏洞，无需认证即可利用并引发远程代码执行。受影响版本为15.0.1.13901-2，官方已发补丁。建议尽快升级并使用深信服产品防护。

OpenAnt提出一种结合静态分析、LLM语义推理与动态验证的六阶段漏洞挖掘流水线，通过代码分解与可达性过滤将分析面缩减97%，利用Claude模型进行暴露分类、漏洞检测和对抗性攻击者模拟，最终自动生成Docker环境验证漏洞可达性。在8个真实开源项目中发现144个可复现漏洞，涵盖IDOR、SSRF、注入等30余类漏洞，总成本仅1461.25美元，显著提升漏洞挖掘的自动化程度与可信度。

文档披露瑞友天翼应用虚拟化系统存在多处SQL注入漏洞，涉及getappicon、useredit和appedit等后台功能。攻击者可通过可控参数直接拼接SQL语句实现注入，演示了利用sleep()函数检测漏洞及intooutfile写入webshell的操作过程。关键问题在于未对用户输入进行过滤，建议严格校验参数并修复登录检测机制。

美国CISA发布BOD26-04指令，建立基于资产暴露程度、KEV状态、利用自动化程度和技术影响四变量的风险评估模型，设定差异化修复时限（最高优先级3天、中高优先级7-14天、中优先级30-60天），推动漏洞管理从全面覆盖转向精准打击，以应对AI加速攻击的挑战。

IBM披露LangflowOSS存在两个严重漏洞：CVE-2026-10561为未认证远程代码执行漏洞（CVSS10分），源于Python解释器未重置builtins导致可执行系统命令；CVE-2026-7664为授权绕过漏洞，默认配置允许未认证访问受保护资源。影响版本1.0.0至1.9.3，需立即升级至1.9.4并禁用AUTO\\_LOGIN、部署网络隔离。

研究人员在三星KNOX内核中发现存在8年的高危漏洞CVE-2026-20971，影响从GalaxyS9到S25等多代设备。该漏洞源于PROCA与FIVE子系统间的竞争条件，可导致内核内存损坏，可能被本地攻击者利用获取系统权限。三星已在2026年1月更新中修复，建议用户及时更新补丁。

在ISC.AI2026大会上，周鸿祎宣布360推出AI安全两大核心能力：漏洞自动化挖掘智能体图龙锋和网络安全自动化防御系统仪天阵。图龙锋已具备与Mythos同等的漏洞自动挖掘能力，累计发现3432个漏洞，可将漏洞发现从依赖专家经验转为规模化智能作业。仪天阵推动安全运营向自动化智能化演进。同时联合产业伙伴发起磐石之盾计划，将AI安全能力开放给信创企业和关键基础设施单位。

ZafranLabs披露Dify开源AI平台存在四个统称为DifyTap的漏洞，影响超100万个应用。两个关键漏洞CVE-2026-41947和CVE-2026-41948允许未认证攻击者窃取跨租户数据及通过插件守护进程实现任意端点访问。另外两个文件访问漏洞可导致文档泄露，同时平台长期存在PDFium组件漏洞风险。报告建议升级至1.14.2版本并配置WAF规则，同时指出AI应用需对文件解析操作进行沙箱隔离。

该文档记录了一个通过逻辑漏洞接管前台账号的实战案例。作者在登录框测试时发现注册功能存在默认密码漏洞，通过fuzz测试确认系统账号普遍使用默认密码，最终成功实现账号接管。漏洞已提交平台并附有免责声明。

该文档分析了Gogsgitrebase参数注入远程代码执行漏洞CVE-2026-52813的技术细节。漏洞成因是Gogs在拼接gitrebase命令时未对用户输入的分支名进行安全校验且缺失参数分隔符，导致攻击者可通过构造特殊分支名实现命令注入。文档提供了完整的POC复现步骤、影响范围评估，并给出了关闭用户注册、禁用rebase合并等临时缓解措施以及代码层修复方案。

SSD安全团队于2026年6月23日公开思科CUCM高危漏洞CVE-2026-20230的完整PoC，该漏洞通过SSRF串联任意文件写入可实现远程root权限获取。PoC公开24小时内即出现大规模攻击活动，攻击者完全复刻利用链且未修改默认Webshell口令。思科已于6月3日发布补丁，但大量系统未及时更新。文档建议立即修补漏洞、禁用非必要WebDialer服务并加强异常文件生成监控。