ZONE.CI 全球网

该漏洞为AdobeColdFusionRDS服务未授权路径遍历漏洞(CVE-2026-48282)，CVSS评分10.0，可导致远程代码执行。影响ColdFusion2023及2025版本，已大规模在野利用并被勒索团伙武器化。攻击者无需认证即可通过路径穿越实现任意文件读写并植入Webshell。建议立即升级至Update21或10，或临时关闭RDS服务。

CVE-2026-53359是LinuxKVM影子MMU中潜伏16年的释放后重用漏洞，代号JanusCape。攻击者在开启嵌套虚拟化环境下可利用公开POC实现虚拟机逃逸、本地提权至宿主机root或触发内核panic导致宕机。影响x86\\_64架构主流Linux发行版。建议立即升级内核至包含commit81ccda30b4e8的版本，临时缓解可关闭嵌套虚拟化或限制/dev/kvm权限。

7-Zip存在高危漏洞CVE-2026-14266，源于对XZ分块数据的不当处理，可触发基于堆的缓冲区溢出，允许远程攻击者在受影响系统上执行任意代码。利用需用户交互，如打开恶意归档文件或访问恶意网页。该漏洞已在7-Zip26.02版本修复，建议用户立即升级，避免打开来源未知的归档文件，并加强邮件附件扫描与员工安全意识培训。

OpenSSL披露HollowByte漏洞，允许远程未认证攻击者通过11字节恶意载荷触发拒绝服务攻击。漏洞利用TLS握手阶段预分配内存的设计缺陷，导致内存碎片化，影响Web服务器、语言运行时及数据库等广泛基础设施。修复版本已发布但未分配CVE编号，建议安全团队无视CVE状态立即升级至OpenSSL4.0.1或对应向后移植版本，并审计嵌入的OpenSSL版本。

F5发布NGINX三个内存安全漏洞补丁，最严重为CVE-2026-42533map指令堆溢出漏洞，CVSS9.2分，可导致代码执行。另两个漏洞为slice模块未初始化内存与SSI模块Use-After-Free。受影响版本包括NGINXOpenSource1.31.2及1.30.0-1.30.3等。建议升级至修复版本或采用配置调整作为临时缓解措施。

世界人工智能大会WAIC2026于7月17日在上海开幕，会上正式成立人工智能安全漏洞治理联盟，旨在应对AI时代的安全挑战，汇聚全球专家共同探讨漏洞治理与安全发展。

2026年7月17日世界人工智能大会在上海开幕，次日AI产业技术安全生态论坛上宣布人工智能安全漏洞治理联盟正式成立，29家首批成员单位共同发布联盟章程。该联盟旨在凝聚人工智能与网络安全产业协同发展共识，促进和规范人工智能安全漏洞治理工作，未来将形成安全漏洞共治、风险联防的合力，构建治理生态，推动人工智能产业安全可控发展。

WordPressRESTAPI存在严重漏洞CVE-2026-63030，允许未认证攻击者通过批处理路由混淆与SQL注入实现远程代码执行，CVSS评分9.8。影响版本6.9.0-6.9.4和7.0.0-7.0.1。官方已发布7.0.2和6.9.5修复版本，建议立即升级。临时缓解方案为阻断匿名访问RESTBatchAPI路径。安恒信息已复现该漏洞。

微软2026年7月补丁日修复569个CVE漏洞，创历史纪录，含3个零日漏洞（2个已利用）。漏洞以权限提升和远程代码执行为主，涉及SharePoint、ADFS、BitLocker等关键组件。文章指出AI驱动漏洞发现加速，企业需重构漏洞治理体系，建立基于攻击链的优先级，缩短高风险漏洞处置窗口，并加强补丁失败时的替代防护能力。

《帝国时代II：决定版》曝高危远程代码执行漏洞CVE-2026-50663，攻击者可通过创建恶意游戏房间，诱使其他玩家加入后触发路径遍历缺陷实现远程攻击。微软已发布安全更新修复，建议玩家及时更新游戏并避免加入陌生房间或加载未知自定义内容。该事件凸显游戏联机与UGC机制成为攻击新入口。

本文总结了2026年攻防比赛中漏洞类型的变化，指出AI大模型正深刻影响红队攻防模式。主要趋势包括：AI大模型攻击面成为热点，如大模型Web应用、Agent工具调用等；国产中间件漏洞利用门槛降低，提交数量增加；前端JS代码和客户端漏洞挖掘因AI辅助而成为重要突破方向；同时，传统Web安全漏洞依然存在，但更多被用作攻击链入口。文章强调，AI已成为提升渗透效率的重要工具，但人类的经验判断仍是核心能力12。

2026年7月世界人工智能大会上，人工智能安全漏洞治理联盟正式成立，29家首批成员单位共同发布联盟章程。该联盟旨在凝聚产业协同共识，促进AI安全漏洞治理工作，形成风险联防合力，推动AI产业安全可控发展。

WordPress核心漏洞wp2shell允许远程代码执行，影响6.9和7.0版本，全球数百万网站面临风险。官方已发布6.9.5和7.0.2补丁并启动强制更新。建议站长立即更新版本并检查服务器日志，启用WAF作为额外防护。

本文分享AI辅助SRC挖洞的翻车事件。作者利用AI分析流量意外发现可全局篡改商品价格的严重逻辑漏洞，但提交后未获奖励反遭平台严重警告。文章提醒安全人员使用AI辅助挖洞务必保持谨慎，对AI发现需严格人工复核，切勿盲目提交以免引发合规风险。

OperaGX浏览器存在一个安全漏洞，允许恶意网站通过GXMods的自动安装机制静默安装CSS插件。攻击者利用通用CSS注入技术，通过属性选择器逐字符窃取页面中的敏感数据，如Gmail地址。该漏洞无需用户点击即可触发，Opera已发布版本130.0.5847.89修复，并支付了最高5000美元赏金。建议用户立即更新浏览器以防范风险。

本文复现了ThinkPHP框架多个历史漏洞，包括2.x任意代码执行、5.0.23RCE及5.0.22/5.1.29RCE。作者详细分析了漏洞原理，指出2.x版本因preg_replace的/e修饰符导致代码执行，5.0.23因未过滤_method参数可调用任意方法，5.x系列因控制器名缺乏校验可实例化任意类。文章提供了POC和搭建环境方法，强调理解框架路由机制对漏洞利用的重要性。

VEXAIoT提出利用AI智能体自主进行物联网漏洞利用的双智能体框架，在IoTGoat与Metasploitable2环境中实现95%总体攻击成功率，多数攻击两分钟内完成。该框架通过漏洞检测与攻击执行智能体协作，覆盖OWASPIoTTop10中九类漏洞，验证了LLM驱动自主渗透测试在高度异构IoT场景的可行性，为自动化安全测试提供参考范式。

腾讯朱雀实验室开源了一站式AI红队安全测试平台A.I.G，集成AI基础设施漏洞扫描、MCP与Agent技能风险检测、Agent工作流安全扫描、OpenClaw安全体检和大模型越狱评估五大模块。该平台支持Web界面与命令行双模式，可识别100+种AI组件和1900+个CVE漏洞，旨在帮助企业系统性自查AI安全风险，但需注意其无鉴权机制，仅限内网部署。

WordPress曝出RESTAPI路由混淆(CVE-2026-63030)与SQL注入(CVE-2026-60137)漏洞链，攻击者无需认证即可通过未授权SQL注入获取管理员密码哈希，进而破解密码并利用插件安装功能实现远程代码执行。影响WordPress7.0.0-7.0.2、6.9.0-6.9.5及6.8.0-6.8.6版本。官方已发布安全版本，建议用户立即升级至7.0.2、6.9.5或6.8.6及以上版本。360产品已支持检测。

锦岳智慧在2026世界人工智能大会上获评人工智能安全漏洞治理联盟首批成员单位。该联盟由国家信息安全漏洞库牵头，旨在构建漏洞发现、通报共享、协同处置、风险预警的综合治理体系。锦岳智慧将依托威胁检测、漏洞挖掘等技术优势，参与应急响应与标准共建，助力提升AI安全韧性。