ZONE.CI 全球网

本文分析并复现了MikroTikRouterOS7.24.1及以下版本的严重RCE漏洞CVE-2026-67279与CVE-2026-86060，该漏洞为零前提远程代码执行，已在野被大规模利用，可导致完整权限控制台与任意命令执行。建议立即升级至修复版本，并通过防火墙限制管理面暴露，排查入侵迹象并重置账户密码。

VMwarevCenterServerAppliance存在未认证路径穿越漏洞CVE-2026-59310，可导致任意代码执行，已遭在野利用并被用于勒索活动，综合处置优先级为高风险。受影响版本包括version<8.0、9.0<=version<9.0.2.0100、9.1<=version<9.1.0.0300。官方已发布修复补丁，建议受影响用户尽快修复，临时缓解措施为仅允许受信日志转发源访问设备syslog接收端口。

本文披露CitrixNetScalerADC与Gateway两个高危漏洞：CVE-2026-88772为DTLS握手分片重组逻辑缺陷导致的内存越界写入，可致未认证远程代码执行；CVE-2026-88771为预认证命令注入，通过恶意用户名注入日志并以root执行命令，两者CVSS均达9.5且已被在野利用。建议升级至14.1-73.37/13.1-64.24及以上版本，短期可关闭DTLS缓解，并排查失陷痕迹。

CitrixNetScalerADC与Gateway曝出严重未认证RCE漏洞CVE-2026-88771，CVSS9.8，默认配置受影响且已发现在野利用。漏洞源于输入校验不当导致命令注入，影响14.1和13.1多个版本。360漏洞研究院已成功复现。建议受影响用户立即升级至修复版本，并关注360相关产品检测规则更新。

本文详细复现了CVE-2026-59310漏洞，该漏洞影响VMwarevCenter的Syslog服务，CVSS评分9.8，无需凭据即可通过UDP报文实现远程代码执行。漏洞由三个缺陷叠加构成：动态路径模板拼接不可信字段导致目录遍历、日志选择器前缀匹配缺陷、关闭换行转义使文件行结构可控，最终可写入cron.d目录实现root权限提升。文章提供了完整复现过程、影响范围、检测方法和修复版本信息，建议受影响用户立即升级至修复版本。

搜狗输入法Windows版存在CVE-2026-51990远程代码执行漏洞，攻击者构造恶意sgbiz:协议链接，用户点击一次即可触发内嵌浏览器加载恶意页面，利用旧版Chromium内核CVE-2021-38003漏洞实现RCE。影响版本低于16.3.0.3498，修复版本已推送。建议立即升级至16.3.0.3498及以上版本，不点击来源不明的sgbiz:链接，并关注IOC域名noht1ng\\[.\\]top。

VMwarevCenter存在远程代码执行漏洞CVE-2026-59310，源于Syslog组件路径穿越缺陷，未授权攻击者可任意文件写入并远程执行代码，影响多个版本。建议按官方通告VMSA-2026-0006升级至修复版本，并限制管理面网络访问作为临时缓解措施。长亭已复现漏洞。

360漏洞研究院披露Next.jsnext/ogImageResponse存在严重远程代码执行漏洞CVE-2026-94545，CVSS评分9.5，影响16.2.0至16.3.6版本。攻击者无需账户权限，但需将可控数据传入SVG内容。官方已发布修复版本16.3.6，建议受影响用户立即升级，同时确认Satori升级至0.33.5或更高版本。360已成功复现该漏洞。

本文深入分析了一种新型Python木马攻击手法：攻击者将恶意python314.zip置于官方签名的pythonw.exe同目录，利用getpath.py路径计算、zipimport钩子及encodings模块启动必经机制，实现每次解释器启动时自动执行恶意代码。文章完整复现了攻击链路，验证了zip遮蔽标准库模块的效果，并提供了检测清除方法。该攻击隐蔽性强，常规签名校验无法发现，建议安全团队关注此类供应链攻击手法。

Next.js的next/og模块存在未授权远程代码执行漏洞CVE-2026-94545，影响16.2.0至16.3.5版本，CVSS评分9.8，攻击者无需认证即可利用。官方已发布补丁，建议升级至16.3.6及以上版本并同步升级Satori至0.33.5及以上版本，同时可采取切换edge运行时、移除sharp依赖等临时缓解措施。

PoCSmith是originsec开源的自动化PoC开发工具，通过六个MCP组件将补丁diff分析、Ghidra逆向、Hyper-V内核调试与VM复现全流程交由LLMAgent闭环执行，将PoC开发从手工变为流水线作业。工具设A/B/C三档难度与工时预算约束，默认在VM内执行确保安全边界。建议研究员在授权环境用已知CVE验证LevelA流程，未来该模式可平移到多平台。

CitrixNetScalerADC与Gateway曝出严重预认证远程代码执行漏洞CVE-2026-88772，CVSS评分9.5，已发现在野利用。攻击者可在启用DTLS的设备上通过网络触发内存溢出，实现远程代码执行。360漏洞研究院已成功复现。建议受影响用户立即升级至修复版本，无法立即升级时应评估关闭DTLS或限制外部访问。

本文介绍如何通过AIAgent工具OxoOperator高效复现传统漏洞，核心观点是让AI连续承接环境搭建、资料检索、请求验证和证据留存等重复性工作，使安全工程师将时间投入问题定义、验证设计与结果判断。文章以若依框架SQL注入复现为例，展示三句话约十分钟完成从环境搭建到漏洞验证的流程，强调Agent执行与人工判断分工的价值。

360漏洞研究院披露Atlassian多款产品存在未授权文件读取漏洞CVE-2026-21589，CVSS评分9.3，影响Bitbucket、Confluence、Jira等多款DataCenter产品。攻击者可读取Web应用根目录内文件造成敏感信息泄露，POC已公开。建议受影响用户尽快升级至修复版本，并关注360产品检测规则更新。

CVE-2026-21589影响Atlassian全线产品共享库atlassian-plugins-webresource，官方2026年10月5日发布带外公告修复。漏洞源于URL转义顺序颠倒导致路径穿越，可读取webapp内任意文件如web.xml、crowd.properties等敏感配置，实测可整包拖走JAR文件。攻击者还可利用泄露的crowd.properties创建管理员账号接管系统。建议立即升级至修复版本并排查日志。

本文详细分析了Zammad系统CVE-2026-102489漏洞，该漏洞源于WebSocket事件分发机制中四个缺陷叠加，攻击者可通过一条匿名消息获取所有在线用户会话Cookie，进而劫持管理员会话，通过恶意扩展包实现任意文件写，最终覆盖密码重置邮件模板执行远程代码。影响7.1.x及更早版本，官方修复随7.2.0发布。文章提供了完整攻击链复现过程，建议用户尽快升级至7.2.0版本。

奇安信CERT发布Atlassian多款产品任意文件读取漏洞CVE-2026-21589通告，该漏洞源于共享库双重URL解码缺陷，未认证攻击者可读取WEB-INF等目录文件，导致配置与凭据泄露，CVSS评分9.3，影响Bitbucket、Confluence、Jira等多款产品，POC已公开。建议受影响用户升级至修复版本，无法立即升级时限制外部网络访问。

本文系统解析RMI反序列化三大攻击面：Server端、注册中心Registry与Client端，并附完整复现过程。核心攻击点在于RMI通信的序列化与反序列化环节，可通过CC6链攻击Server端Object类型参数，利用CC1链加动态代理绕过类型限制攻击Registry的bind方法，或通过反射构造恶意调用攻击lookup方法。文章强调所有攻击仅限授权环境测试，并提供环境配置与完整payload代码，具备较强实战参考价值。

本文系统梳理大模型面临的七类主流攻击手法，包括提示层越狱与系统提示词泄露、RAG知识库投毒、Agent间接提示注入导致数据外带、恶意模型权重文件供应链攻击、前端渲染注入XSS及Token放大成本型攻击，并基于本地靶场复现验证。核心结论是提示注入属结构性问题，真正的防线在工具权限管控，建议将模型视为不可信输入源，在链条上分段设防，评估系统时应关注模型被骗后的最大破坏力。

FortiMail存在CVE-2026-104286未授权任意文件写入漏洞，CVSS评分9.8，源于IBE功能Web接口路径校验缺失，攻击者无需凭据即可写入任意文件，进而实现远程命令执行、窃取邮件数据等危害。该漏洞已被在野利用并列入CISAKEV目录。建议升级至7.4.9、7.6.7或8.0.2，临时可关闭IBE功能或限制管理端口访问。