ZONE.CI 全球网

微信Linux版存在1-Click命令注入漏洞，攻击者通过构造含恶意命令的文件名，用户点击后可在系统中执行任意命令。影响版本为≤4.1.0.13，目前无官方修复版本，建议避免点击可疑文件并临时使用网页版。漏洞CVSS评分8.8，利用可能性高但未发现野外利用。

文档分析某安全厂商软件存在的DLL侧载漏洞，攻击者通过劫持库libngs实现权限提升。HoneyMyte组织近期更新CoolClient工具并在营销活动中部署窃取程序，建议企业加强DLL加载路径监控和数字签名验证。

文档披露了WeChatforLinux版本存在高危RCE漏洞，攻击者可通过制作特定命名的恶意PDF文件触发任意命令执行。文章成功复现漏洞并给出详细环境配置步骤（安装字体、部署软件）和漏洞利用方法（命令嵌入文件名），但未明确触发机制。该漏洞可直接控制目标服务器，建议用户及时更新防护。

文档记录了一次SRC实战中SSRF漏洞的挖掘过程。作者通过信息收集发现存在url参数的预览接口，利用BurpSuite将参数值设置为外部及内网地址，成功验证SSRF漏洞并实现内网探测。关键发现是此类漏洞常出现于url、file等参数接口，建议使用F12控制台或findsomething工具高效收集接口路径。

本文介绍15款提升BurpSuite漏洞挖掘效率的必备插件及工具链组合，涵盖精准漏洞探测（如FastjsonScan4Burp、SQLiPy）、敏感信息提取（HaE）、高性能爆破（TurboIntruder）和越权检测（AuthAnalyzer）等场景，并提供DirSearch+Xray+Nuclei等工具联动方案与安装技巧，助力安全人员实现高效自动化渗透测试。

本文分享了短信验证码相关的三类高危漏洞实战案例：验证码直接返回前端导致认证失效、验证码可转发至多个手机号、以及4位验证码可爆破重置密码。文档通过具体渗透测试案例演示漏洞发现过程，强调在加密环境下需逆向突破，并提供了漏洞挖掘思路与防护建议。

2026年6月披露的CheckPointVPN身份验证绕过漏洞CVE-2026-50751已被Qilin勒索软件团伙武器化攻击，攻击者利用已弃用IKEv1协议缺陷绕过认证建立VPN会话并部署勒索软件。文档详细分析了漏洞机理、攻击链还原、威胁行为体经济动机归因及基础设施溯源，提供包含紧急补丁更新、协议迁移、威胁狩猎要点的完整防御方案。

Google于2026年6月发布Chrome149更新修复74个漏洞，包括已被利用的零日漏洞CVE-2026-11645。该漏洞是V8引擎高危越界读/写问题，攻击者可通过恶意页面执行代码。此为2026年第5个被利用的Chrome零日漏洞，Google发现漏洞数量激增可能与AI工具相关并调整了漏洞赏金政策。建议用户及时更新浏览器版本。

Gogs修复一个严重的参数注入零日漏洞，允许认证攻击者远程代码执行并访问所有仓库。影响0.14.2及以下版本，需立即升级至0.14.3。缓解措施包括禁用开放注册、限制仓库创建和审计rebase设置。漏洞类似历史CVE，已存在野外利用案例。

腾讯云安全发布2026年5月必修漏洞清单，涵盖cPanel认证绕过、Linux内核DirtyFrag/Fragnesia权限提升、NextChat/ChromaDB/FlowiseAI远程代码执行等8个高危漏洞。清单详细分析漏洞危害、影响版本及在野利用情况，并提供具体修复方案与缓解措施，建议企业优先修复以避免数据泄露、服务器沦陷等风险。

GoogleChromeV8引擎存在高危越界读写漏洞CVE-2026-11645，攻击者可通过特制HTML页面远程执行恶意代码且已发现在野利用。影响版本为ChromeWindows/Mac低于149.0.7827.102/103及Linux低于149.0.7827.102。官方已发布修复版本，建议用户立即更新至最新版。

文档详细分析了ApacheParquet格式的高危反序列化漏洞（CVE-2026-XXXXX），攻击者可通过恶意Parquet文件在Spark/Flink等大数据组件读取时触发远程代码执行。全球超过360万暴露实例面临风险，攻击链涉及文件投毒、反序列化利用和横向移动。建议立即升级Parquet库至1.14.0以上版本，启用类过滤器，加强网络隔离和文件安全扫描。

该文档介绍了微力同步Verysync软件中存在任意文件读取漏洞的复现过程，包含漏洞描述、验证步骤及免责声明。文档通过截图展示了漏洞验证方法，并引导关注公众号获取POC详情。同时推广付费内部圈子，提供漏洞库更新、解密服务等福利，限时39元/年。

NginxProxyManager2.9.14至2.15.1版本存在已认证远程命令执行漏洞CVE-2026-40519，攻击者可通过dns_provider_credentials字段注入恶意载荷，在backend/setup.js的setupCertbotPlugins函数中利用child\\_process.exec()以root权限执行任意命令。360漏洞研究院已成功复现该漏洞，建议用户从官方develop分支下载源码编译或升级至2.15.1以上版本。

CNNVD通报GoogleChrome存在高危安全漏洞（CNNVD-202606-1877/CVE-2026-11645），攻击者可通过恶意网页触发漏洞绕过沙箱防护实现远程代码执行。受影响版本包括Linux/Windows149.0.7827.102之前和Mac149.0.7827.103之前版本。建议用户立即访问谷歌官方链接升级浏览器至最新版本以修复漏洞。

本期周报显示2026年6月1日至7日新增安全漏洞1610个，较前周有所下降。谷歌公司漏洞数量最多(489个)，资源管理错误类漏洞占比最高(7.33%)。报告包含67个超危漏洞，整体修复率达77.14%，并详细分析了WordPressMasteriyoLMSPRO权限提升、ApacheActiveMQ远程代码执行等关键漏洞，同时特别关注了MLflow、HermesAgent等AI工具的安全风险。建议用户及时关注厂商补丁更新。

微软2026年6月补丁日修复了206个漏洞，其中46个重要漏洞（35个紧急、11个重要）涉及Windows图形组件、远程桌面客户端等多个产品，攻击者可利用这些漏洞实现权限提升或远程代码执行。重点关注15个易被利用漏洞（如CVE-2026-49160HTTP.sys拒绝服务漏洞），建议用户尽快安装更新补丁以降低安全风险。

2026年6月Instagram曝出严重安全漏洞，其密码重置机制的匿名化功能失效，导致用户真实邮箱和电话号码完全泄露，涉及扎克伯格、姆巴佩等知名用户。该漏洞源于代码故障，与之前黑客利用AI客服漏洞类似，凸显平台安全机制存在持续隐患。建议用户及时关注官方安全通知并增强账户防护意识。

CNNVD通报GoogleChrome安全漏洞（CNNVD-202606-1877/CVE-2026-11645），攻击者可通过恶意网页触发漏洞绕过沙箱防护实现远程代码执行，影响Linux/Windows/Mac多个版本。目前谷歌已发布新版本修复漏洞，建议用户立即升级至149.0.7827.102（Linux/Windows）或149.0.7827.103（Mac）及以上版本。

微软2026年6月补丁星期二修复了200个漏洞，包括3个0day漏洞（CVE-2026-45586权限提升、CVE-2026-49160HTTP.sys拒绝服务、CVE-2026-45585BitLocker安全绕过）和1个已遭利用的漏洞。重点漏洞涉及Windows内核远程代码执行（CVE-2026-45657，CVSS9.8）、HTTP.sys远程代码执行（CVE-2026-47291）等高风险威胁。建议用户优先部署补丁，检查注册表设置，并确保Defender自动更新以缓解风险。