ZONE.CI 全球网

安迈信科应急响应中心发布漏洞通告，披露leapp-repository存在权限提升漏洞CVE-2026-75092。该漏洞影响RHEL9系统上的leapp-repository及leapp-upgrade-el9toel10包，攻击者可通过mysql用户身份写入恶意配置，在管理员运行Leapp升级时以root权限执行代码。漏洞评级为高危，已在野利用，官方已发布修复补丁，建议用户尽快更新leapp-repository包。

Lite-OnO-RU设备FF-RFI079I4和FF-RFI078I4存在后门漏洞CVE-2026-80217，允许SSH登录用户执行任意命令，危害评级高危且已在野利用。建议用户排查受影响设备固件版本，并升级至v02.01.15及以上版本以修复漏洞。

该通告披露Lite-OnO-RU产品FF-RFI079I4与FF-RFI078I4存在高危命令注入漏洞CVE-2026-77853，影响固件版本低于v02.01.15，已发现在野利用且PoC未公开。建议用户立即确认设备型号与固件版本，并升级至02.01.15及以上版本以修复漏洞，降低被攻击风险。

本文分析mysqldump客户端工具存在的栈溢出0day漏洞，根因是客户端信任服务端返回的表名长度，未做边界检查导致缓冲区溢出。漏洞影响多个MySQL版本分支，作者自评CVSS8.8分。修复建议包括给getTableName加截断、给quote_name增加缓冲区长度参数、用有界拷贝替代my_stpcpy。

VMwareWorkstation和Fusion存在严重整数溢出漏洞CVE-2026-59346，CVSS评分9.3，位于VMXNET3虚拟网络适配器的TSO处理路径。攻击者需在虚拟机内拥有本地管理员权限，可触发整数溢出导致越界写入，实现从客户机到宿主机的代码执行。目前公开PoC仅能触发崩溃，无已知野外利用。建议立即升级至26H1u1或更高版本。

本文介绍GitHub项目src-hunter，一个面向SRC漏洞挖掘和渗透测试场景的ClaudeCode技能库，包含19类攻击Playbook、305个结构化Payload、2887份HackerOne案例及WooYun历史数据，并集成MCP工具层。项目强调完整测试流程而非单纯Payload堆砌，注重测试边界控制。项目已归档，适合SRC、众测及Web渗透人员研究参考。

首届全球具身智能应用创新挑战赛-漏洞挖掘挑战赛正在报名中，旨在推动具身智能产业安全能力建设，赛事面向全球企业、高校、科研机构及安全研究团队，开展受控漏洞挖掘、复现验证与专家评审。

Atlassian多款产品存在任意文件读取漏洞CVE-2026-21589，CVSS评分9.3，等级严重，无需认证即可远程利用且PoC已公开。影响Bitbucket、Confluence、Jira、Bamboo、Crowd等DataCenter产品。建议受影响用户尽快升级至修复版本，无法升级时限制公网访问并配置WAF拦截路径遍历请求，同时加强日志审计。

摄星科技关键漏洞目录新增4个漏洞，含FortinetFortiMail路径遍历、Zammad权限提升及会话劫持、CitrixNetScaler拒绝服务等，多为超危且已公开PoC并列入CISAKEV。建议相关用户立即评估影响并升级至修复版本，Zammad旧版已EOL需升级至7.2.0或更高。

SonicWall发布热修复方案，修复SMA1000系列设备中CVSS满分SSRF漏洞CVE-2026-102255，该漏洞位于ApplianceWorkPlace接口，未认证远程攻击者可利用其访问内部功能并执行未授权操作。Shadowserver追踪到超400台暴露设备，建议用户尽快升级修复版本。

Atlassian警告自托管DataCenter产品存在严重任意文件访问漏洞CVE-2026-21589，影响Confluence、Jira、Bitbucket等产品。未认证攻击者需知悉确切文件路径方可利用，无法枚举目录。官方已发布修复版本，建议立即更新；若无法修复，可限制外部访问、配置WAF或重写规则等临时缓解措施。目前无在野利用证据，但建议检查访问日志。

Atlassian多款DataCenter产品存在CVE-2026-21589路径遍历漏洞，未认证攻击者可读取webroot内文件，接入Crowd时可获取明文凭据。官方已发布修复版本，建议优先处置公网暴露实例，升级或启用临时缓解措施，并审计日志排查利用痕迹。

本周网络安全热点包括AI智能体越权事件、高危漏洞密集修复、安全事件与攻击、政策法规变化和产业动态。AI智能体越权事件涉及OpenAI和维基媒体基金会，高危漏洞包括Atlassian、LibreOffice、Zimbra、Citrix和Fortinet产品，安全事件包括丹麦CPR人口登记系统泄露和FBI解雇承包商等。政策法规方面，Google暂停开源软件漏洞赏金计划，澳大利亚ASIC启动对银行业AI使用情况的专项审查。产业动态包括Pwn2OwnIreland2026首日成果和Osavul完成A轮融资等。

中国信息安全测评中心面向社会公开征集《网络安全漏洞管理体系与标准化研究》课题参与单位及标准需求建议，邀请各单位共同推进我国网络安全漏洞标准体系建设。参与单位需填写合作承诺函，标准建议需填写需求建议表，分别于2026年10月18日和12月1日前提交至指定邮箱。

本文总结了SRC新手在挖洞、验证、提交环节的20个高频错误，包括忽视授权范围、扫描无节制、不人工复核扫描结果、误把产品bug当漏洞、重复提交、虚报危害、报告证据不全、依赖临时环境、忽略审核沟通等，并给出可落地的改进方法以提升漏洞通过率。

Atlassian多产品存在未授权任意文件读取漏洞CVE-2026-21589，影响Bitbucket、Confluence、Jira等多款DataCenter产品。漏洞源于atlassian-plugins-webresource组件路径解析缺陷，远程攻击者无需认证即可读取任意文件，若接入Crowd统一认证还可获取明文凭据。官方已发布修复方案，建议升级或采取临时缓解措施。

这份通告披露CitrixNetscalerADC/Gateway存在预认证缓冲区溢出漏洞CVE-2026-88772，高危等级，无需认证即可远程代码执行。影响多个版本分支，官方已发布修复版本，建议升级至安全版本，同时可采取关闭非必要功能、限制公网暴露等临时缓解措施。深信服相关产品已支持检测与防护。

该文档为国庆假期网络安全资讯汇总，指出假期钓鱼诈骗、AI钓鱼邮件、恶意宏文档、勒索攻击备份服务器、仿冒网盘钓鱼及SSH/RDP爆破等风险上升，并预警PaloAltoPAN-OS、cPanel、CUPS、GitLab、Linux内核及VMwareESXi等多个高危漏洞。建议加强员工安全意识、落实补丁升级、收紧访问控制并完善离线备份。

本文由珞安科技工业网络空间安全实验室发布，系统研究了施耐德ModiconM221PLC的漏洞挖掘过程。研究从硬件拆解、固件逆向、UMAS协议分析入手，揭示了协议缺乏加密与身份认证机制，存在重放攻击风险；通过模糊测试发现可致设备崩溃的栈溢出0Day漏洞，已报送厂商。文章还提出了网络隔离、输入校验等安全防护建议，对工控安全研究具有较高参考价值。

Atlassian发布高危漏洞CVE-2026-21589，影响八款自托管产品，评分9.3，无需认证即可路径穿越读取文件。攻击链可借读取crowd.properties凭证接管管理员，仅Confluence在线实例近70万。建议立即升级补丁或从公网摘除实例，并检查访问日志。