ZONE.CI 全球网

18家网络产品安全漏洞收集平台签署自律公约，旨在规范漏洞收集和发布渠道，加强自律和协同治理，促进全产业链漏洞治理能力提升。公约内容包括平台备案、能力建设、用户管理、漏洞收集、评估、处置、发布全过程管理等。

ApacheOFBiz未授权远程代码执行漏洞（CVE-2026-83542）导致攻击者可执行任意操作，获取数据库凭据，造成严重安全风险。官方已发布修复补丁，建议升级至24.09.08以上版本。

OracleE-BusinessSuiteTCF存在未认证SQL注入漏洞，攻击者无需认证即可执行任意SQL，可窃取管理员密码哈希，并可能升级为远程代码执行，影响EBS12.2.3~12.2.15版本，官方已发布补丁。

Notepad++8.9.9版本修复了六个安全漏洞，包括本地插件命令执行缺陷、内存信息泄露和缓冲区溢出，提升了性能并修复了其他问题。

Veeam发布Linux内核内存破坏缺陷漏洞预警，涉及备份与恢复组件，建议及时更新受影响产品以避免拒绝服务或内存破坏风险。

SAPNetWeaver底座的四个组件存在严重漏洞，无需认证即可绕过登录，影响范围广泛，已发布补丁，建议立即修复。

Hephaestus是一个集资产收集、攻击面评估、漏洞验证与AI渗透对话于一体的安全测试平台，提供多种扫描功能，支持资产管理和漏洞跟踪，同时具备请求转发、PoC和报告生成等辅助功能。

SonicWall发布安全更新，修复了SonicOS防火墙中包括SSL-VPN身份验证绕过漏洞在内的七个漏洞。该漏洞允许攻击者绕过SAMLMFA控制。CISA已将CVE-2026-19868列为已知已利用漏洞，并要求在11月20日前确保受影响系统安全。

SonicWall警告GMS软件存在未修复漏洞，建议升级至NSM平台。Pentest-Tools研究人员发现两个漏洞，可导致敏感信息泄露和数据库信息修改。SonicWall已停止对GMS的支持，不再发布补丁。

APT29利用NDAY漏洞针对iOS和Android设备发起零点击攻击，通过多个知名网站投放有效载荷，窃取用户cookie、即时通讯数据和凭据，归因于APT29威胁组织的水坑行动风格。

本文详细介绍了渗透测试中高效率挖掘漏洞的方法，包括使用漏扫工具、端口扫描、目录扫描、识别系统使用框架、常见功能点漏洞挖掘以及凑洞环节等，并提供了一系列实战技巧和工具使用方法。

ApacheOFBiz存在服务器端模板注入漏洞，攻击者可利用该漏洞执行任意操作系统命令。厂商已发布升级程序修复。

OpenSSL发布安全公告，修复五个漏洞，影响QUIC、AES-GCM-SIV和CMS协议，修复代码已进入GitHub仓库，正式版本预计12月1日发布。

介绍了盲IDOR侧信道枚举漏洞的原理、测试流程和危害，提供了绕过限速机制进行大规模资源ID枚举的方法，并强调了信息泄露的风险。

11月10日NVD发布六个高严重性漏洞，包括认证绕过、未授权访问和信息泄露，涉及SAP、SuperTokens、RedpandaConnect、SignalK和INDOTALENTWHMS等，并提供了修复建议。

微软WindowsDHCP客户端存在双重释放漏洞CVE-2026-96115，可远程攻击，建议用户及时更新补丁。

PHP2Shell漏洞因AI辅助研究被迅速发现并修复，揭示了AI在漏洞研究中的重要作用，以及多方协作在漏洞修复中的必要性。企业需提升安全治理能力，应对AI时代的安全挑战。

致远互联协同管理平台COP-A9存在源码泄露漏洞，远程攻击者可无需授权下载内部构件，获取平台服务端组件完整实现和数据库建表脚本，官方已发布补丁更新。

微软2026年11月发布安全更新修复1094个漏洞，涵盖多个产品系列，包括Outlook零日漏洞和多个严重漏洞，建议重点更新和关注防护措施。

微软发布11月安全更新，修复多个高危漏洞，包括0day漏洞，涉及多个产品和服务，建议用户及时更新补丁以避免安全风险。