ZONE.CI 全球网

AIAgent发现FFmpeg21个0Day漏洞，部分潜伏23年；Chrome149修复创纪录的429个安全缺陷，含高危ANGLE漏洞。自动化工具降低漏洞发现成本，但修复工作仍依赖人工。建议用户立即更新FFmpeg和Chrome至最新版本。

CNVD漏洞周报2026年第27期显示，本周共收集整理428个信息安全漏洞，其中高危漏洞237个，中危145个，低危46个。漏洞主要集中在WEB应用（236个）、网络设备（77个）和应用程序（76个）。重要厂商如Microsoft、Google、Mozilla等产品均被披露存在多个高危漏洞，攻击者可利用这些漏洞执行任意代码或提升权限。建议相关用户及时下载并安装最新的安全补丁以防范风险。

ApacheActiveMQJolokia接口存在CVE-2026-42588高危远程代码执行漏洞，影响5.19.7以下及6.0.0至6.2.5版本。攻击者认证后可通过addNetworkConnector方法加载远程SpringXML配置执行任意命令。建议升级至安全版本或采取禁用Jolokiaexec、限制端口访问等临时措施。

本文介绍一种密码重置漏洞利用方法，通过并发请求和参数替换绕过邮箱验证。前提是拥有两个可控账号且重置请求含明文邮箱参数。同时发起两个账号的密码重置，在提交新密码时将邮箱参数替换为目标账号，即可实现账号接管，无需原密码或劫持邮箱。该漏洞危害严重，需服务端加强token与账号绑定校验。

该文档为CNVD发布的2026年7月6日至12日产品安全漏洞周报，汇总了10个关注度较高的漏洞。境外漏洞涉及MicrosoftSharePoint远程代码执行、OpenClaw白名单绕过、OpenBSD拒绝服务及GoogleChrome权限提升。境内漏洞包括神州视翰多媒体系统SQL注入、MetinfoSQL注入、统信UOS本地提权、TendaWH450栈缓冲区溢出及安博通防火墙命令执行。建议用户关注并修复相关漏洞。

思科披露CatalystSD-WANManager存在高严重性漏洞CVE-2026-20245(CVSS7.8)，允许认证攻击者通过文件上传注入根级命令执行。该漏洞已被有限利用，攻击者可能推送未授权配置更改。影响所有部署模式，思科尚未发布补丁。建议立即收集取证数据、审计配置并监控异常活动。

CISA发布警报，警告Linux内核漏洞CVE-2022-0492被积极利用。该漏洞影响cgroupsv1release\\_agent，可导致容器逃逸和权限提升。CISA将其列入KEV目录，要求联邦机构在2026年6月5日前修复。建议立即打补丁或采取缓解措施如禁用非特权用户命名空间、迁移到cgroupsv2。组织应监控异常容器活动。

OpenWrt的luci-app-samba4组件被曝高危命令注入漏洞CVE-2026-59260，CVSS评分达9.9。漏洞源于ACL配置缺陷，错误赋予普通用户file.exec权限，致使攻击者能通过篡改smbd启动参数中的messagecommand项，触发Root权限任意命令执行，进而完全接管路由器并横向渗透内网。由于官方暂未发布补丁，建议管理员立即收回file.exec权限、非必要关闭Samba服务，并严格限制LuCI与SSH的访问源IP以防范风险。

Wireshark基金会发布4.6.7版本紧急修复12项安全漏洞，涉及SSH、TLS及Wi-Fi等多协议解析器与抓包文件组件。漏洞类型包括空指针解引用、无限循环及内存越界等，攻击者可借助恶意构造的数据包或捕获文件触发程序崩溃与拒绝服务。官方指出此轮修复规模扩大与AI辅助漏洞挖掘有关。建议企业及安全团队立即升级至最新版本，避免在无限制环境下解析未知来源流量，并建立常态化软件更新机制以保障网络分析与取证工作的安全连续性。

本文披露了ApacheKafka4.0.0至4.0.x版本在OAUTHBEARER路径中的身份验证绕过漏洞。因客户端仅校验JWT生效时间而未强制校验过期时间，攻击者可利用获取的已过期令牌进行无限期重放，进而接管代理节点、窃取数据或破坏集群。目前官方暂无补丁，建议临时限制SASL监听器网络访问、轮换JWT签名密钥并强制客户端重新认证，待安全版本发布后应尽快升级修复。

CVE-2026-31694是一个Linux内核FUSE本地权限提升漏洞，允许低权限用户通过恶意FUSE服务端溢出页面缓存获取root权限。该漏洞影响使用4KiB内存页的近期内核版本，攻击代码已公开。建议立即安装内核补丁，并限制非必要环境中的FUSE使用以缓解风险。

CVE-2026-13753影响HPDeskjet2800系列打印机，因后端API未校验会话状态，未经身份验证的攻击者可通过直接GET请求获取Wi-FiDirect凭据、明文密码短语及SNMP配置等敏感数据。目前无公开PoC，HP未发布补丁，建议隔离打印机、禁用Wi-FiDirect并限制SNMP访问。

FreeBSD于2026年6月30日发布三份安全公告，修复了三个本地权限提升漏洞(CVE-2026-49418、CVE-2026-49419、CVE-2026-49415)。这些漏洞均允许无特权本地用户获取root权限，其中两个影响所有受支持版本，第三个影响15.0及以上版本。目前无临时缓解方案，唯一修复方法是立即升级系统并重启以加载修正后的内核。

CISA公告指出GardynIoTHub存在三个漏洞，最严重CVE-2026-13768（CVSS10）因硬编码凭据导致未认证远程代码执行，影响超13.8万台设备。攻击者可利用泄露密钥控制设备并横向渗透。补丁已部署，建议保持设备联网更新并置于防火墙后。

ApacheCamel修复了四个高危漏洞，包括三个标头注入漏洞（CVE-2026-55994、CVE-2026-55993、CVE-2026-46726）和一个Keycloak身份验证绕过漏洞（CVE-2026-53913）。标头注入可导致SSRF和机密泄露，Keycloak绕过可能引发RCE。受影响版本广泛，建议升级至4.21.0或应用临时缓解措施如移除Camel控制标头。

ApacheIoTDB2.0.8修复三个漏洞:严重路径遍历CVE-2026-24014(评分9.8)可致文件写入与代码执行,身份验证绕过CVE-2026-24013(评分9.1)泄露数据,拒绝服务CVE-2026-24012耗尽堆内存。影响1.3.3至2.0.8版本。建议立即升级并限制RPC端口访问。

decompressnpm包存在高危漏洞CVE-2026-53486，CVSS评分9.1，影响每周超280万次下载。攻击者利用硬链接和符号链接绕过目录检查，可写入任意文件甚至获取root权限。所有版本至4.2.1均受影响，原始项目无人维护。建议升级至分支的11.1.3版本，临时措施包括只解压信任压缩包并以非root用户运行。

Lazarus组织在2024-2025年发动Synchole行动，利用水坑攻击和韩国本土软件CrossEX、InnorixAgent的0day漏洞，入侵韩国半导体、金融等企业，部署ThreatNeedle、SignBT等模块化间谍工具，实现潜伏窃密和内网横向渗透。建议企业立即升级相关软件补丁，排查异常进程和网络连接。

本文分享了使用AI辅助挖掘SRC漏洞的实战经验。作者将Claude与BurpSuite联动，对开源系统源码进行白盒审计，AI自主发现漏洞并生成SSRF等完整POC。结论指出AI白盒审计比黑盒测试更安全，建议先让AI自由发挥审计，再加载自定义skill二次分析，且生产环境慎用，应先在测试网站熟悉流程。

本文解析CVE-2026-49975HTTP/2Bomb漏洞，结合HPACK索引与流控停顿机制，以极小流量耗尽服务器内存。实测国内58所高校网站受影响，放大比达1357:1。建议升级Nginx或Apache，暂无补丁服务可采取禁用HTTP/2、部署严格限制网关及限制进程内存等措施防御。