ZONE.CI 全球网

runzero披露FatFS七处漏洞，影响物联网与嵌入式设备。漏洞可被物理接触利用，部分影响OTA升级。建议厂商审计代码、打补丁，运维方管控物理接口。AI辅助检测效率提升。核心问题：底层组件修复困难，维护者失联。

OperaGX存在零交互高危漏洞，恶意网站可静默安装模组，利用CSS全局生效特性实施XS-Leak攻击，逐字符窃取用户邮箱等敏感数据。该漏洞无需点击及弹窗授权，用户极难察觉与拦截。除升级至130.0.5847.89及以上版本外无缓解措施，建议立即通过opera://about检查并更新浏览器以防范数据泄露。

CVE-2026-20896是Gitea容器镜像中的高危漏洞(CVSS9.8),源于默认配置reverse_proxy_trusted\\_proxies=\\*导致无条件信任任意来源IP的X-WebAuth-User请求头,攻击者可无需密码直接冒充任意用户登录,包括管理员。影响1.26.2及更早版本,1.26.3已修复。公开仅13天即监测到野外扫描探测,建议用户立即升级。

2026年7月6日公开的CVE-2026-53359（Januscape）是KVM虚拟化逃逸漏洞，存在于嵌套虚拟化的影子页表记账逻辑中，因未核对翻译页角色导致释放后使用。该漏洞潜伏约16年，是5月补丁未修干净的死角。公开PoC仅实现拒绝服务，研究者称可完整逃逸但未公开。建议运维人员确认修复补丁81ccda30b4e8，或关闭嵌套虚拟化参数，并检查/dev/kvm权限。

AI应用高风险发现率是传统软件的2.7倍，修复率仅38.4%，修复时间从19天升至36天。近半数高危漏洞来自提示注入等AI特有攻击面，传统安全工具无法覆盖。自动化渗透测试在AI安全领域失效，混合模式成为趋势。精英组织与落后组织修复效率相差25倍。建议将LLM渗透测试作为独立学科，建立程序化安全机制，管控影子AI，并弥合领导者与实践者之间的认知鸿沟。

AdobeColdFusion高危漏洞CVE-2026-48282（CVSS10.0）已被攻击者利用，影响ColdFusion2025Update9及之前版本和2023Update20及之前版本。Adobe已于2026年6月30日发布安全更新APSB26-68。企业应尽快拉取资产清单、升级至建议版本，并加强日志审查与网络隔离，避免老系统成为攻击跳板。

AI大幅降低了漏洞挖掘门槛，使开源软件安全面临严峻挑战。Linux基金会发起Akrites项目，构建跨组织共享安全事件响应团队与协调漏洞披露流程，旨在将行业孤军奋战转变为协同作战。该项目获得AWS、谷歌、微软等巨头支持，通过协作机制应对AI加速的漏洞发现，为开源生态筑起安全防线。

phpBB存在未授权身份认证绕过高危漏洞CVE-2026-48611，因OAuth模块逻辑缺陷，攻击者无需密码即可劫持任意管理员账号接管站点。建议立即升级至3.3.17版本，或通过WAF拦截恶意路由进行临时缓解，并加强资产测绘与异常登录监控。

CVE-2026-25555是OpenBullet20.3.2及更早版本中的一个严重认证绕过漏洞。漏洞源于API密钥认证中间件未能正确处理空值，攻击者通过发送值为空的X-Api-Key请求头即可绕过所有认证，获得管理员级系统访问权限。利用方式简单，无需身份验证。官方建议升级版本，用户应立即设置强API密钥并实施网络隔离。

phpBB论坛软件存在一个已存在10年的高危认证绕过漏洞(CVE-2026-48611),攻击者无需密码即可通过发送特定HTTP请求冒充任意用户(含管理员)登录,影响版本为3.3.16及以下和4.0.0-a2开发分支。官方已在3.3.17版本修复,建议立即升级并禁用未使用的认证方式。临时缓解措施包括通过Nginx/Apache拦截恶意路由或在ucp.php文件头部增加拦截代码。

微软Edge存在高危UAF漏洞CVE-2026-57992，CVSS评分7.5。攻击者可诱骗用户访问恶意页面并通过两次点击触发自动填充机制，实现远程任意代码执行，攻击复杂度较高。目前暂无补丁，建议用户关注安全更新、防范钓鱼攻击、启用增强安全模式并临时限制自动填充功能以降低风险。

BeyondTrust发布更新修复远程支持(RS)和特权远程访问(PRA)产品中的四个安全漏洞，其中两个预身份验证绕过漏洞(CVE-2026-40138和CVE-2026-40139)CVSS评分9.2，可导致未授权攻击者完全控制设备。漏洞由内部发现并借助AI工具。建议用户立即升级至RS/PRA25.3.3及以上版本。

腾讯云安全发布2026年6月必修漏洞清单，涵盖Gogs、Vite、ApacheActiveMQ、NezhaMonitoring、Discuz!等8个高危漏洞。这些漏洞影响广泛，技术细节已公开，可能导致远程代码执行、文件读取或权限绕过。建议企业优先升级至安全版本，并采取临时缓解措施如限制网络访问、禁用不必要功能以降低风险。

本文披露Linux内核FUSE子系统pagecache越界写提权漏洞CVE-2026-31694。漏洞因未校验目录项长度是否超出PAGE\\_SIZE，允许恶意FUSE服务触发24字节内核越界写从而获取root权限。该漏洞影响6.15等版本，POC已公开，建议用户立即升级内核至6.18.25、7.0.2或7.1及以上修复版本。

LinuxKVM高危漏洞JanusCape(CVE-2026-53359)潜伏16年后被公开,是首个同时影响Intel与AMD双架构的内核级虚拟机逃逸漏洞。漏洞源于影子MMU中释放后使用(UAF),需嵌套虚拟化触发,可致宿主机崩溃或代码执行,冲击AWS、GCP等公有云多租户安全。Linux官方已推送修复,临时可关闭嵌套虚拟化缓解。

LinuxKVM管理程序存在一个16年的释放后使用漏洞CVE-2026-53359，名为Januscape，允许客户虚拟机逃逸至宿主机。该漏洞影响Intel和AMD芯片，位于影子MMU代码中，通过混淆页表类型实现。修复方案是添加检查条件确保帧号和角色都匹配。建议立即打补丁或禁用嵌套虚拟化以降低风险。

BeyondTrust修复了影响RemoteSupport和PrivilegedRemoteAccess产品的多个严重漏洞，包括两个CVSS评分9.2的认证绕过漏洞(CVE-2026-40138和CVE-2026-40139)，可导致未认证攻击者未授权访问设备。其他漏洞涉及拒绝服务和越权访问。这些漏洞已在RS25.3.3和PRA25.3.3版本中修复，用户应尽快升级。

奇安信CERT发布LinuxFUSEpagecache本地权限提升漏洞CVE-2026-31694安全风险通告。该漏洞影响多个Linux内核版本，攻击者获得本地低权限后可通过恶意FUSE服务端触发越界写，提升至root权限。PoC和技术细节已公开，建议用户升级内核至修复版本或采取限制FUSE访问等临时缓解措施。

本文详细演示了通过未授权文件上传漏洞结合DLL劫持实现远程命令执行的完整攻击流程。核心发现包括：客户端HTTP服务绑定0.0.0.0可远程访问；UploadFile接口存在目录穿越漏洞；version.dll因未指定绝对路径可被劫持。文章提供了从漏洞发现、数据包构造到恶意DLL生成的详细步骤，属于典型的红队实战技术分享。

runZero在FatFs中发现7个漏洞，影响IoT和嵌入式设备，可导致内存损坏、崩溃或数据泄露。漏洞通过精心制作的存储介质触发，其中两个与空中固件更新相关。由于FatFs由单一维护者且无上游补丁，修复依赖下游供应商。建议审计FatFs副本、限制物理访问并监控更新。