ZONE.CI 全球网

GeminiCLI存在严重漏洞CVE-2026-12537（CVSS10分），允许通过恶意环境文件在CI流水线中进行操作系统命令注入，攻击者可获得主机级代码执行权限。影响0.39.1前的GeminiCLI和0.1.22前的run-gemini-cliGitHubAction版本。建议立即更新至修复版本并配置工作区信任设置。

该文档为2026年HW攻防演练必修高危漏洞集合2.0版，重点针对国产化环境下的业务系统、协同办公、运维管理等场景，汇总了38个2026年公开披露的高危漏洞。内容涵盖SQL注入、远程代码执行、文件上传等11类漏洞的统计数据和具体清单，包括Oracle、用友、泛微等厂商的漏洞编号、类型及影响资产类别。文档提供了漏洞基础信息、检测思路和修复建议，并引导读者通过扫码获取完整报告或拨打400电话获取安全专家协助。

研究人员在AirDrop和QuickShare中发现六个安全漏洞，攻击者可在无线范围内使设备共享服务崩溃或绕过安全检查。苹果已修复部分AirDrop漏洞，谷歌修复了Windows应用漏洞并支付赏金，三星漏洞仍在调查中。建议用户更新系统、将共享设置为仅限联系人并关闭未使用的共享功能。

OracleEBS高危漏洞CVE-2026-46817正遭在野利用，未授权攻击者可借此完全接管OraclePayments系统。虽无公开PoC且官方已发补丁，但蜜罐证实攻击存在。鉴于该产品近期频遭勒索组织复杂攻击，专家建议立即打补丁，并假设已被入侵以启动应急响应，排查前置访问与后门。

OPPO安全中心发布CVE-2026-22078致谢公告，披露O+互联因IPC服务未进行身份核验导致本地提权的高危漏洞，外部应用可通过IPC通道执行敏感行为。该漏洞由研究员linkk\\_bug于2026年3月16日提交，目前已分配CVE编号并公开官方链接。公告同时提供了CVE申请指南，鼓励安全研究员通过邮件提交漏洞报告ID、影响说明、等级类型、POC等信息至[email protected]。

苹果公司于2026年6月30日发布iOS、macOS和Safari安全更新，修复了30多个漏洞，其中包括由AnthropicClaude和OpenAICodexSecurity等AI工具发现的4个WebKit漏洞（涉及内存损坏、越界写入、释放后使用等问题）。此外，还修复了可能被恶意应用利用的内核漏洞。苹果表示，鉴于AI可能加速漏洞利用开发，正在缩短安全更新发布周期。

EVokeSystems充电站管理系统所有版本存在四个严重漏洞，攻击者可劫持会话、扰乱充电运营并窃取数据。漏洞包括WebSocket端点身份验证缺失、API速率限制缺陷、会话ID可预测及认证标识符暴露。建议升级至OCPP安全配置2/3并实施会话限制等措施。

该文档详细分析了Gogs平台CVE-2026-52813高危漏洞，该漏洞因路径遍历与Git钩子组合导致远程代码执行，CVSS评分10.0。漏洞原理是组织名称参数未过滤路径穿越字符，允许攻击者通过恶意组织名将仓库目录写入服务器任意路径，结合覆写Git钩子脚本实现RCE。文档提供了手动利用步骤、Python自动化POC脚本、入侵痕迹排查指标及分级修复方案，建议立即升级至Gogs0.14.3或实施临时加固措施。

FreeBSDkTLS本地提权漏洞CVE-2026-45257的公开利用代码已发布，该漏洞可使非特权用户获得root权限，影响13.0-13.4、14.0-14.2及15.0版本。攻击通过sendfile与kTLS组合实现，利用控制密钥对页面缓存直接写入，可绕过文件权限检查。FreeBSD已发布安全补丁，临时缓解措施包括禁用EXTPGsendfile或关闭kTLS功能。

QNAP修复了影响其QTS、QuTShero、QuTScloud和QVP系统的14个安全漏洞，包括命令注入、凭据窃取和拒绝服务漏洞。最严重的CVE-2025-59382允许远程攻击者通过篡改密码重置链接窃取凭据，而多个命令注入漏洞可使认证管理员执行任意命令。建议用户立即更新至修复版本（QTS5.2.10、QuTSheroh5.2.9等），限制管理员权限并将管理界面与互联网隔离。

雷神众测漏洞周报披露2026年6月22日至28日发现的四个高危漏洞，涉及NVIDIANeMoFramework与微软多款产品，均存在远程代码执行风险。具体包括CVE-2026-24155(NVIDIANeMo<2.7.3输入验证不当)、CVE-2026-45607(Hyper-V多版本受影响)、CVE-2026-44824(Office边界检查不当)及CVE-2026-44817(Excel)，建议用户及时升级至最新版本修复。

上周全球网络安全领域呈现多重挑战：APT28持续攻击欧洲政府机构；Cisco曝出CVSS9.8分关键漏洞；新型AI工具VulnGPT提升漏洞挖掘效率300%；LockBite勒索软件针对医疗行业；npm供应链攻击窃取环境变量；超5亿用户数据在暗网流通；国际执法行动捣毁犯罪网络。安全建议包括紧急修补漏洞、供应链审查、强化钓鱼防御、云安全检查和身份安全措施。

Rebora安全团队发现Chrome扩展程序SiderAI和MaxAI存在Spyder和MaXSS漏洞，允许攻击者通过恶意网站静默控制用户浏览器、窃取数据或执行任意命令。受影响设备超千万台，漏洞涉及缺乏输入验证和事件模拟机制，目前尚未修复。建议用户立即卸载相关扩展并审查浏览器工具安全。

F5紧急修复NGINX中两个CVSS9.2分严重漏洞：CVE-2026-42530为HTTP/3模块释放后使用漏洞，可导致进程重启或代码执行；CVE-2026-42055为HTTP/2上游流量堆溢出漏洞，需非默认配置触发。影响NGINX开源版/Plus等多个产品，暂无主动利用迹象。建议立即升级至修复版本，或通过禁用HTTP3/恢复默认请求头设置缓解风险。

CVE-2026-8024是ibaPDA和ibaDatCoordinator工业软件中的严重反序列化漏洞，CVSSv4评分9.3分，允许未经身份验证的远程攻击者执行任意代码并提升权限。漏洞源于.NETBinaryFormatter反序列化未受限制，影响ibaPDAv8.14.0之前版本和ibaDatCoordinatorv4.0.7之前版本。建议立即升级至修复版本，若无法及时补丁则限制本地主机访问并加强防火墙规则隔离网络。

本文介绍AppSentinel新版App应用漏洞扫描工具，作为企业级移动安全合规检测平台，支持多维检测包括隐私泄露、权限滥用、高危API调用等安卓应用安全隐患。工具集成静态污点分析、动态监控、SCA组件漏洞检测与DLP数据防泄漏技术，提供风险评分和多种报告格式，并详细说明安装使用方法和API接口。文档后半部分包含工具下载指引及VIP星球推广内容。

pgAdmin团队修复了pgAdmin4中三个CVSS评分均高于9.0的严重漏洞，包括存储型XSS漏洞CVE-2026-12048、身份验证绕过漏洞CVE-2026-12046以及AI助手SQL注入漏洞CVE-2026-12045。这些漏洞可导致跨站脚本攻击、代码执行和SQL滥用风险，影响大量PostgreSQL用户。官方已在9.16版本中通过内容净化、添加身份验证装饰器和限制SQL执行等方式完成修复，建议用户立即升级并视数据库输入为不可信来源。

Squidbleed漏洞（CVE-2026-47729）是Squid代理服务器中存在29年的内存泄露漏洞，源于FTP目录解析代码对空字符处理不当导致指针越界。攻击者可在同一代理网络（如公共WiFi）下读取其他用户内存，泄露明文HTTP请求、账号密码、Cookie等敏感信息。修复建议立即禁用FTP代理功能或验证补丁是否包含空终止符检查。

文档详细分析了2026年6月公开的AppleA12/A13BootROM级别漏洞usbliter8，该漏洞源于DWC2控制器硬件设计缺陷，通过USBSetup包长度校验漏洞实现内存覆盖。漏洞影响iPhoneXR至11等设备且无法软件修复，目前PoC支持降级模式和启动未签名iBoot，为越狱提供基础但需专用硬件工具。文章深入解析了A12/A13不同的利用链及PAC绕过技术，并给出后利用方案。

AvoHQ于2026年6月17日修复了RubyonRails管理框架中的授权绕过漏洞CVE-2026-55518，该漏洞允许低权限用户越权关联记录导致权限提升或租户数据泄露，CVSS评分达9.6。受影响版本包括3.32.0及以下和4.0测试版至beta.50，官方已在v3.32.1和4.0.0-beta.51中修复并建议立即升级，同时需在创建操作时强制关联授权检查并添加回归测试。