ZONE.CI 全球网

LiteLLM代理存在Host头解析漏洞（CVE-2026-49468），攻击者通过特制Host头可使认证模块评估路径与实际路由不一致，导致未授权访问管理接口。影响版本为1.84.0之前且未使用反向代理的环境。文中提供curl格式POC及修复建议，强调需升级版本或配置反向代理规范化Host头。

微软确认Defender存在零日漏洞RoguePlanet(CVE-2026-50656)，利用竞争条件可提权至SYSTEM。该漏洞影响Win10和11且已有公开PoC。微软正开发补丁，建议关注官方更新并加强端点监控。

CVE-2026-54665是ApacheNiFi中的预认证主机头注入漏洞，攻击者可通过X-Forwarded-Host或X-ProxyHost头操控OAuth2重定向URI等关键参数。该漏洞源于2025年重构时误删主机允许列表验证机制，影响0.0.1至2.9.0版本，在启用OIDC时可能导致账户接管（CVSS8.1）。官方已在2.10.0版本通过NIFI-15953修复，建议用户立即升级并验证代理配置。

本文介绍内网渗透中NTLM哈希泄露漏洞的利用方法，通过Responder工具监听网络并利用特定命令行触发哈希捕获，同时推广红队技术交流圈子和多种免杀工具。文档包含具体操作步骤但存在大量广告内容，强调技术仅用于合法安全测试。

Jenkins存在一个远程代码执行漏洞CVE-2026-53435，源于处理config.xml文件时不安全反序列化，已被攻击者积极利用。攻击者可借此在易受攻击实例上执行任意代码，建议立即限制访问、应用补丁并监控异常活动。

微软365Copilot被曝存在严重漏洞CVE-2026-42824，攻击者可利用名为SearchLeak的三阶段攻击链，通过参数到提示注入、HTML注入竞争条件及SSRF漏洞，仅需一次用户交互即可窃取MFA代码、邮件、会议数据等敏感信息，该事件凸显了AI集成场景下新型攻击面的安全挑战。

谷歌发布Chrome重大安全更新，修复33个漏洞包含7个高危级释放后使用漏洞，涉及WebShare、密码验证等核心组件，攻击者可组合利用实现远程代码执行。建议用户立即通过帮助菜单触发更新检查并重启浏览器完成修复，避免被动等待自动推送。

文档披露了针对FortiGateSSLVPN设备的全球性凭证喷洒攻击行动FortiBleed，攻击者通过自动化工具对数十万台设备发起超百亿次爆破尝试，成功入侵后植入嗅探器窃取凭证并渗透内网。关键发现包括四家机构被完整攻陷、防御建议强调需将管理界面移出公网、强制重置密码并升级系统。

本周安全事件显示漏洞发现与利用进入工业化量产阶段：FortiGate遭11.6亿次撞库致8.6万台沦陷，DepthFirst的AI代理以$1000成本在FFmpeg挖出21个0day，AppleA12/A13芯片SecureROM被永久攻破且无补丁可打。攻击核心从技术转向产能，防御方需将补丁速度作为一级KPI、强化凭据存储并建立资产退役流程。

安全团队ParadigmShift公开了针对苹果A12/A13系列SoC的usbliter8bootrom硬件漏洞完整利用路径。该漏洞源于SynopsysDWC2USB控制器的硬件缺陷，通过DMA指针下溢实现内存覆盖。A12平台可直接覆盖栈寄存器获得PC控制权，而A13平台需通过多步组合技巧绕过PAC防护，最终覆盖中断处理函数实现代码执行，并进一步利用ROP链提升至EL1特权级完成持久化驻留。

CVE-2026-48907是JoomlaJCE编辑器扩展中的高危未授权远程代码执行漏洞，影响2.9.99.5之前版本。漏洞由三个链式缺陷构成：配置文件导入端点缺乏身份验证、无文件扩展名检查、上传安全机制被显式禁用。攻击者可利用公开CSRFToken上传恶意PHP文件实现RCE。建议用户立即升级至2.9.99.5或更高版本。

文档分析了SplunkEnterprise的CVE-2026-20253漏洞，该漏洞因PostgreSQLSidecar服务的HTTPAPI端点缺少身份认证导致未授权远程代码执行。攻击者可通过备份恢复端点利用路径遍历和数据库连接重定向将恶意SQL写入文件系统，再通过凭据文件执行代码。影响版本为10.0.0-10.0.6和10.2.0-10.2.3，建议用户升级至安全版本。

俄罗斯安全部门披露境外情报机构借助Cloudflare等国际IT企业基础设施对高级官员移动终端实施未授权访问，通过植入恶意程序实现通讯拦截、环境采集及数据回传。事件揭示移动设备供应链安全风险，CDN流量伪装等技术手段使传统防御失效，建议高风险岗位加强终端取证、流量监测及人员安全管理。

暗网出现疑似针对谷歌全球基础设施的0-day漏洞兜售帖，标价50比特币。攻击者称利用ACED逻辑绕过WAF，影响27个核心域名，并公布内部IP与会话令牌等脱敏数据作证明。建议安全团队关注威胁情报，排查边缘代理缺陷并加强核心资产监控。

本文分享了一次从供应链突破到发现后台CSRF漏洞的实战过程。作者通过目录扫描找到并下载了一个sh配置文件，从而获取数据库密码并成功登录后台。随后，在后台修改密码功能中，发现其未校验旧密码且缺少CSRFToken，最终构造恶意链接验证了该漏洞的存在。

本文详细记录了某大学小程序和学生信息系统的漏洞挖掘过程，通过抓包工具发现越权访问、敏感信息泄露及XSS漏洞。作者利用搜索引擎获取学号与身份证信息，通过Burp抓包实现全校学生隐私数据遍历，并演示了修改参数越权查看缴费票据、绕过黑名单过滤实现XSS攻击等实操步骤。文章强调所有测试均需授权，并附有工具使用指南。

文档披露phpMyFAQ系统存在权限管理漏洞CVE-2026-56396，已登录用户可能越权修改其他用户权限。核心风险在于后台权限边界被突破，建议立即升级版本、限制后台访问网络、实施最小权限原则并审计权限变更日志，同时将知识库系统纳入常态化安全管理。

TongWebExploit是一款针对TongWeb反序列化漏洞的Swing图形化检测利用工具，支持漏洞探测、EL表达式执行、内存马注入和批量检测功能。工具需在虚拟机环境运行，通过公众号获取限时下载链接，作者强调仅供安全测试使用并免责。

安全研究人员发现Chrome热门AI扩展SiderAI和MaxAI存在严重漏洞，因未验证内容脚本输入，攻击者可通过恶意网页静默控制浏览器、窃取敏感数据甚至访问本地文件。建议用户立即检查并卸载相关扩展以防范风险。

FreeBSDKTLS存在高危本地权限提升漏洞CVE-2026-45257，攻击者可通过sendfile系统调用利用KTLS接收路径缺陷覆盖文件页缓存内容，进而修改setuid二进制文件获取root权限。影响FreeBSD13.0-15.1多个版本，需升级至官方修复版本或通过sysctl禁用KTLS功能临时缓解。