ZONE.CI 全球网

启明星辰于2026年9月2日监测到ProxmoxVE身份认证绕过漏洞，CVSS评分9.8，等级严重。攻击者可利用API登录接口的tfa-challenge参数缺陷，在无需凭据情况下认证为未配置第二认证因素的用户，包括root@pam，可能导致高权限账户被接管。受影响版本为libpve-access-control7.0-7至8.0.4以下，建议升级至8.0.4或更高版本，并优先升级至受支持的ProxmoxVE9.x版本。

文章提出AI时代0-day漏洞正演变为half-day概念，即技术上仍属0-day但因攻击面被前沿模型高频审视而寿命缩短的漏洞。这给进攻性安全市场注入波动性，漏洞利用窗口期大幅缩短，自动化成为必需品。作者建议研究员组建紧密协作团队并制定长期战略，同时指出防御方面临技术债与补丁自动化挑战，漏洞研究员技能将愈发重要。

Langflow开源AI应用构建框架存在严重未认证RCE漏洞CVE-2026-0768，正被攻击者利用窃取OpenAI和AWS密钥等敏感凭证。攻击主要来自俄罗斯，已观测到360次利用尝试。建议用户立即升级至1.11.6版本修复所有已知缺陷。

畅捷通T+POSSyncService接口存在未授权SQL注入漏洞，攻击者可未授权读取数据库敏感信息，部分接口可实现远程代码执行，风险较高。影响T+13.0及专属云2026特定版本，官方已发布补丁，建议受影响用户尽快修复，也可通过防护设备拦截相关路径请求临时缓解。

CNNVD发布2026年第35期信息安全漏洞周报，本周新增安全漏洞2265个，较上周有所下降。谷歌公司漏洞最多达333个，授权问题类漏洞占比最大达15.41%。超危漏洞225个，高危漏洞808个，整体修复率为78.41%。建议用户关注厂商补丁更新，及时修复漏洞以防攻击。

该通报汇总2026年9月3日六大安全风险：Langflow漏洞CVE-2026-0768遭利用、JFrogArtifactory认证绕过漏洞被攻击、AI评测机构METR密钥被盗致60万美元损失、勒索团伙招募内部人员、免费LLM接口陷阱及Guildma木马邮件传播。建议优先排查相关资产版本与公网暴露面，轮换密钥凭据，收敛管理接口并加强终端与邮件防护。

本文预警Linux内核io_uring组件高危提权漏洞CVE-2026-52933，评分7.8，源于有符号比较致取消标记失效引发重复释放，影响6.1至7.0等多版本主线及长期支持分支，公开利用链可本地提权至root。建议升级至修复版本或临时禁用io_uring缓解。

Dropbox与联想ID集成存在信任缺陷，攻击者可仅凭受害者邮箱地址注册联想账户并利用SSO机制劫持Dropbox账户，无需密码。Dropbox已撤销受影响会话并要求密码验证，部分账户文件遭查看或下载。事件凸显第三方SSO信任边界验证缺失风险。

文章指出AI工具正推动漏洞挖掘从手工作坊走向工业化生产，挖掘周期从数月压缩至数小时。黑客经验可被蒸馏进大模型批量复制，智能体本身成为新攻击面。防守方需将漏洞情报响应流程自动化、对内部AIAgent做权限收敛和审计、用AI辅助漏洞挖掘和代码审计，以应对攻击方自动化产能。

文档汇总2026年10月网络安全要闻：CNNVD新增漏洞1.3万余个，授权问题占比最高；Anthropic预警小型AI模型或实现自复制，催生物联网AI蠕虫风险；微软修复1411个漏洞含3个零日；英国发布AI安全举措；AI发现漏洞利用率低但风险更高；IDC报告称中国AI安全市场将达340亿元，智能体安全成核心战场。

安恒信息CERT发布微软10月安全更新风险提示，披露多个Windows高危漏洞，涉及权限提升与远程代码执行类型，危害等级涵盖高危和严重，CVSS评分最高达9.8。建议用户及时关注官方补丁更新，加强系统安全防护，防范潜在攻击风险。

GitLabCE/EE存在高危整数溢出漏洞CVE-2026-97229，攻击者可通过特制正则表达式在CI/CD配置中触发RCE，以git用户身份执行任意命令。影响19.2至19.4部分版本，官方已发布修复版本，建议用户立即升级并采取限制公共项目访问等临时缓解措施。

F5发布安全公告修复三个NGINX漏洞，包括内存损坏和远程代码执行风险，影响NGINXOpenSource和NGINXPlus，提供升级和配置变通方案。

CVE-2026-6279是WordPressAvadaBuilder插件（≤3.15.2）中的未授权远程代码执行漏洞，攻击者通过fusion_get_widget_markup接口将恶意数据传入call_user\\_func函数执行。影响全球超20万个站点，CVSS评分9.8。建议用户立即升级至3.15.3版本修复漏洞。

LiteSpeedcPanel插件存在高危漏洞CVE-2026-48172（CVSS10.0），因权限分配错误导致任意cPanel用户账号可调用lsws.redisable函数获取root权限执行恶意脚本。影响2.3至2.4.4版本，2.4.5已修复。官方证实漏洞遭野外利用，提供grep命令排查入侵痕迹，建议升级至WHM插件5.3.1.0或卸载用户端插件。

本文详细披露了GoogleCloud生产环境中一个从调试端点信息泄露演变为完整RCE的攻击链。研究员通过cloudcrmipfrontend-pa.googleapis.com端点泄露内部protobuf定义，利用StubbyRPC机制绕过安全策略，最终通过GenericStubbyTypedTask实现远程代码执行。该漏洞被评定为P0/S0最高级别，获得148,337美元奖金，揭示了Google安全模型中Stubby调用链的核心风险。

NGINXngx_http_rewrite\\_module存在堆缓冲区溢出漏洞(CVE-2026-42945)，攻击者可通过构造HTTP请求实现远程代码执行。影响版本包括1.0.0-1.30.0等多个NGINX系列产品，目前POC已公开。建议用户立即升级至官方安全版本。

ApacheTomcatTribes集群通信框架的EncryptInterceptor组件存在加密绕过反序列化漏洞（CVE-2026-34486），因修复CVE-2026-29146时引入逻辑缺陷，导致解密失败后仍继续反序列化未加密数据。攻击者通过向Tribes端口（默认4000）发送恶意序列化载荷即可实现远程代码执行，影响Tomcat9.0.116/10.1.53/11.0.20版本。建议升级至安全版本或验证EncryptInterceptor配置。

本文是作者关于漏洞赏金之旅的经验分享，讲述了从零基础起步，历经两年失败后首次获得500美元奖励，再到最终年收入突破3.2万美元的成长历程。核心经验包括专注于访问控制等特定领域、持之以恒地学习与实践，并分享了一个GitLab的IDOR（不安全的直接对象引用）漏洞案例及其利用步骤。文章强调，漏洞赏金是一场需要耐心和持续努力的马拉松。

本文详细介绍了云服务AccessKey泄露的渗透利用方法，包括阿里云LTAI和腾讯云AKID等密钥特征识别，并推荐了cloudTools、API-T00L、EasyTools等多款自动化利用工具。文章还展示了session_key三要素泄露导致手机号解密的实战案例，最后部分为SRC漏洞挖掘培训课程的广告推广内容。