ZONE.CI 全球网

本文对比了AI安全领域两种技术路径：Anthropic的模型中心路线依赖大模型泛化能力，360的智能体中心路线将攻防经验转化为垂直智能体集群。后者在OpenClaw生态审计中发现23个漏洞，覆盖AIAgent运行时风险。文章指出AI安全核心正转向基础设施自动化能力与漏洞闭环效率。

Notepad++被曝存在三个高危安全漏洞，其中CVE-2026-48778和CVE-2026-48800为严重级任意代码执行漏洞，攻击者可通过篡改XML配置文件在用户系统上执行恶意代码。漏洞触发场景包括直接修改配置文件、恶意快捷方式、云同步投毒和社会工程学攻击。开发团队已发布v8.9.6.1紧急更新修复漏洞，建议用户立即升级并限制配置目录写入权限。

cPanel&WHM爆出CVSS9.8分高危漏洞CVE-2026-41940，影响11.40后所有版本，攻击者无需凭证即可通过CRLF注入、会话加密绕过和缓存提升三环节链获取root权限。文档详细分析漏洞机制并提供Exp工具实现批量扫描、密码修改和RCE等利用方式，同时给出修复版本列表和资产发现方法。

Z0SCAN是一款基于Python3开发的多功能自动化安全扫描框架，集成主动/被动扫描、爬虫联动、指纹识别和插件扩展等核心功能。该工具支持WAF识别、SQL注入、XXE等常见漏洞检测，提供Docker部署方案和70余款内置插件，适用于具备合法授权的安全测试场景。

CNNVD最新漏洞周报显示WordPress漏洞数量居首，AI工具曝出高危漏洞；商业数据泄露致美军人员信息暴露，五角大楼防护措施滞后；Google工程师滥用搜索数据非法获利，暴露内部威胁风险；新型钓鱼攻击瞄准Microsoft365和Signal用户，利用OAuth令牌窃取数据；开源软件供应链攻击演进至可信命名策略，IBM启动50亿美元Lightwell项目强化安全。

ApachePyFory0.13.0至1.0.0版本存在反序列化策略绕过漏洞CVE-2026-48207，当开启Python原生模式并关闭严格校验时，攻击者可绕过DeserializationPolicy限制构造恶意数据实现远程代码执行。官方建议升级至最新版本，临时措施包括关闭未使用功能、最小权限原则和限制公网访问。深信服安全产品将于6月5日提供检测方案。

该漏洞通告披露LinuxKernelCIFS组件存在权限提升漏洞（CIFSwitch），攻击者可在本地低权限条件下通过伪造cifs.spnego密钥请求触发request-key机制，使cifs.upcall程序以root权限加载恶意NSS库实现提权。影响commit早于3da1fdf4efbc的内核版本，涉及多个主流Linux发行版。官方已发布补丁修复，临时缓解措施包括卸载cifs-utils、禁用非特权用户命名空间或加载CIFS模块。

黑客利用FortiClientEMS身份验证绕过漏洞CVE-2026-35616传播EKZ信息窃取恶意软件，攻击者通过篡改VPN脚本工作流程伪装成系统更新程序执行窃取行为。该漏洞允许未授权远程代码执行，影响约2000个暴露实例。Fortinet已发布紧急修复，北极狼公司建议监控证书异常及配置变更，警惕可疑管理活动。

NGINXRift是一款针对CVE-2026-42945堆溢出漏洞的开源扫描验证工具，支持远程指纹扫描和本地配置审计。工具可识别存在风险的rewrite规则，提供升级NGINX、修改配置为命名捕获组等修复建议，适用于传统环境与Kubernetes平台。

本文介绍利用Android-Pentesting-Skill工具进行APK客户端漏洞挖掘的实战流程，涵盖环境搭建、反编译分析、漏洞检测及验证环节。关键发现包括工具支持50余种安全规则检测，并演示了任意URL跳转、远程代码执行、JavaScript接口信息泄露等漏洞的PoC验证方法。可操作建议包括具体ADB命令和工具使用步骤，为移动应用安全测试提供实用参考。

博硕bgm预拌砼综合管理系统存在任意账户添加漏洞，攻击者可未经授权添加用户，源于身份验证或权限控制缺陷，可能导致数据泄露或权限滥用。影响版本未明确，提供fofa测绘语法body=libs/platform.lib，复现步骤包括添加用户、获取默认密码及登录，检测工具支持nuclei/afrog，修复建议为联系厂商升级、增加WAF防护或限制接口访问权限。

博硕bgm预拌砼综合管理系统存在任意密码重置漏洞，未经身份验证的攻击者可利用此漏洞直接修改目标用户密码，完全控制账户。文档提供了漏洞描述、影响版本、测绘语法、复现步骤及检测POC，并建议联系厂商升级、部署WAF或限制接口权限以进行修复。

该文档介绍基于AnthropicClaude构建的8阶段漏洞挖掘流水线工具audit，其核心采用多窄域智能体并行扫描、反驳校验、可达性验证和闭环反馈机制，通过Recon、Hunt、Validate等阶段实现高效代码审计。文档详细说明了工具安装配置方法（支持Linux/Windows）、运行命令及常见编码问题解决方案，并强调该工具复刻了Cloudflare的ProjectGlasswing项目设计理念。

作者通过AI工具以2元成本成功挖掘TendaAX12路由器的远程代码执行漏洞，展示了AI在IoT安全领域的应用潜力。文章详细记录了从环境准备、Prompt设计到漏洞复现的全过程，包括利用SetNetControlList接口的命令注入漏洞实现RCE，并提供了完整的EXP脚本和漏洞分析报告。

CVE-2026-29321是Vite开发服务器中/@fs/路径的任意文件读取漏洞，攻击者无需认证即可读取服务器敏感文件如/etc/passwd或.env配置文件。漏洞影响Vite2.0至6.2.3版本，CVSS评分9.1，全球数千万前端项目面临风险。修复方案包括升级至Vite6.2.3以上版本、配置访问白名单、避免使用–host0.0.0.0暴露服务。

本文分析了3632条漏洞报告，发现随着AI编码工具的普及，业务逻辑漏洞占比正显著上升。为此，腾讯悟空安全团队联合多所高校及研究机构发布了VulnGym评测基准。该基准基于真实高星项目构建，覆盖400+条漏洞路径，其中71.2%为业务逻辑漏洞，并提供了可复现的三要素标注，以解决现有评测基准与AI时代漏洞形态变化脱节的问题。

本文详细记录了从JavaScript代码中发现的明文密码Ynzs@2023成功登录后台，进而发现用户管理接口返回1.6万用户ID及修改功能泄露明文密码的漏洞链。同时揭示了账号密码登录和短信登录接口存在逻辑缺陷，攻击者可通过伪造响应绕过验证直接获取access\\_token。文章提供了完整的漏洞复现步骤，并指出开发人员对客户端请求过度信任及流程校验缺失的问题。

Zack-AI-Scanner是一款基于大语言模型的BurpSuite扩展工具，具备AI智能扫描、17种Web漏洞检测、WAF绕过（50%载荷为绕过载荷）及实时验证功能。工具支持HTML/Markdown报告导出，需配置API密钥后通过右键菜单调用扫描。文档同时推广作者的安全免杀工具库及付费星球社区。

奇安信CERT发布LinuxKernelCIFSwitch本地权限提升漏洞(QVD-2026-29453)安全通告，该高危漏洞CVSS评分7.8，源于内核未校验cifs.spnego密钥描述来源，本地低权限用户可触发root权限cifs.upcall实现权限提升。影响自2007年起所有未打补丁的Linux内核版本及cifs-utils≥6.14，涉及多个主流发行版。建议立即升级内核至包含补丁的版本或卸载cifs-utils、禁用CIFS模块、删除cifs.spnego规则作为临时缓解措施。

PAN-OSGlobalProtect存在认证绕过漏洞CVE-2026-0257（CVSS7.8分），攻击者可利用该漏洞建立未授权VPN连接。该漏洞影响启用认证覆盖cookie的防火墙，自5月17日起已遭多次在野攻击。建议立即升级至修复版本或通过禁用认证覆盖功能、更新证书作为临时缓解措施，CISA已要求联邦机构在6月1日前完成修复。