ZONE.CI 全球网

Citrix发布高危漏洞CVE-2026-88779预警，影响NetscalerADC/Gateway的SAML功能，可致拒绝服务。CISA已确认在野利用，CVSS8.7分。受影响版本需升级至14.1-73.41或13.1-64.28，临时缓解可禁用SAML或限制访问。建议立即修复并加强认证基础设施防护。

爱奇艺SRC发布公告明确AI辅助安全测试与漏洞报告提交规范。核心原则为AI行为责任由白帽子承担，漏洞报告须经人工验证并附证据，禁止越界测试与数据外传，设定量化红线与违规分级处置，强调行为边界与最小化原则。

Anthropic于2026年10月8日启动网络使命计划，聚焦漏洞修复以助力安全防御，整合Claude模型、工程师团队与威胁研究成果。项目推出关键基础设施防御计划及免费开源软件扫描服务，覆盖电网、水务等OT系统，共11家创始合作伙伴。计划由玻璃之翼计划升级而来，强调将AI漏洞发现能力转化为实际防护成效，衡量标准为可利用漏洞数量减少及关键服务稳定性。

本文介绍VulnHunter企业版如何将AI漏洞挖掘从静态发现推进到动态验证，构建PoC生成、PoC验证、EXP验证与组合利用四阶段自动化验证闭环，使漏洞候选转化为可复现、可验证、可研判的安全结论。文章对比开源社区版与企业版定位，强调发现普惠、验证确定的产品理念，为企业安全团队提供从发现到验证的完整漏洞分析链路。

创信华通发布2026年10月网络安全漏洞通告，披露Cisco、Tenda、Huawei、TOTOLINK等厂商产品的高危漏洞，涉及SQL注入、命令注入、反序列化及权限控制等类型，并给出漏洞编号与详情链接。建议用户及时关注漏洞信息并修复，同时介绍了公司等保测评、密码测评等安全服务能力。

OnlyOfficeDocumentServer存在高危前台RCE漏洞(CNVD-2026-28199)，影响5.0及以上全系列。攻击者无需认证，通过路径穿越与配置注入组合利用，篡改配置并执行任意命令，可完全控制服务器。建议立即升级至9.1.0及以上版本，并通过nginx封禁/info端点、启用JWT认证、监控runtime.json完整性等加固措施，文档附有应急自查脚本。

本文介绍利用HermesAgent与Skill技能库进行AI自动化挖洞实战，以优惠券越权领取漏洞为例，展示从接口探测、逻辑排查、人工复现到自动生成SRC报告的完整流程。核心结论是业务逻辑漏洞价值高，需通过精准提示词拆解任务，并强调人工复现与合规授权的重要性。可操作建议包括复用标准化测试提示词及技能库。

本文分享一次AI辅助渗透测试实战案例，目标为ThinkPHP框架系统。攻击链包括：利用account参数数组形式提交触发SQL注入实现登录绕过，进入后台；随后发现未授权文件上传漏洞，上传PHP文件成功getshell。文章强调AI工具在漏洞挖掘中的高效性，但包含较多推广内容。

爱奇艺SRC发布2026年漏洞处理流程与评分标准，明确五级漏洞评级、按核心/一般/边缘/合作商业务划分奖励区间，提供SSRF测试平台及通用原则，强调白帽规范与争议解决机制，奖励以金币形式发放。

VulnHunter企业版面向企业安全场景，在AI漏洞发现能力基础上构建四阶段动态验证闭环：PoC生成、PoC验证、EXP验证与组合利用，将AI检出的漏洞候选转化为可复现、可验证、可研判的安全结论。开源社区版聚焦漏洞发现与静态审计，企业版进一步提供动态验证与企业级安全闭环能力，推动AI漏洞挖掘从发现候选走向验证真实风险。

中国信通院启动首批互联网智能体治理漏洞挖掘智能体能力评估，依据相关能力要求，围绕漏洞目标多样性、任务复杂程度、自动化程度和漏洞发现准确性四大维度开展综合评价，旨在建立统一能力标尺，支撑企业选型，推动产品上线前安全验证，评估报名持续至12月，结果将于下半年发布。

英伟达DCGMExporter组件存在高危漏洞CVE-2026-47483，CVSS评分8.2，全球超2000台服务器、1.2万张GPU暴露公网，可致拒绝服务与信息泄露。攻击者可利用性能分析端点并发请求耗尽资源致监控崩溃，并影响同主机AI工作负载。建议升级至4.8.2版本，限制公网访问并禁用pprof端点。

暗网负载均衡工具gobalance存在致命加密漏洞，攻击者仅凭公开描述符即可还原tor洋葱服务主密钥，劫持dread和omega等暗网站点域名。漏洞源于签名时仅传递私钥前32字节，导致秘密值可预测。受影响的站点必须迁移新地址，官方修复尚未发布。该事件警示密码学实现偏差的严重后果。

本文介绍Fish-src黑盒漏洞挖掘工具的二次更新，主要改进包括：使用nginx反向代理实现公网访问并强化鉴权，增强信息收集与专项漏洞挖掘能力，新增漏洞管理UI标签。工具强调安全红线规则，防止危险操作，适合深入渗透测试场景。

本文介绍AIxVuln自动化漏洞挖掘系统，基于大模型与工具调用结合Docker沙箱实现自动化漏洞挖掘与验证。系统支持项目管理、数字人协作、决策大脑调度及团队聊天，具备严格审核机制防止AI幻觉，已在真实开源项目中发现数十个漏洞。文章末尾附有公众号推广及付费圈子介绍。

OnlyOfficeDocumentServer存在严重RCE漏洞（CNVD-2026-28199），由路径穿越与配置注入叠加导致。攻击者可先通过savekey参数路径穿越实现任意目录写文件，再通过无认证的/info/config端点覆写运行时配置，将x2tPath改为/bin/sh并注入命令，最终以ds用户执行任意命令。影响5.0以上版本，9.x可即时触发，全球约19.7万实例受影响。建议升级至9.1.0或更高版本修复。

CNNVD发布人工智能重要安全漏洞通报，Anthropic推出开源漏洞速报与OT关键基础设施防御计划，PCISSC发布AI安全指引，EmpireMarket暗网市场联合创始人获刑，ASOS遭社会工程攻击，FBI逮捕勒索软件谈判公司联合创始人，Google域名受国家代码顶级域名劫持事件影响，Wazza钓鱼工具包实施Adobe主题账号劫持攻击，PCISSC发布AI安全指引，2026中国国际社会公共安全产品博览会将于11月3日开幕。

该文档为弥天安全实验室发布的WordPressVisualComposerWebsiteBuilder插件CVE-2026-12227漏洞复现报告。漏洞源于vcv-template参数存在本地文件包含，影响45.16.0及之前版本，未认证攻击者可读取任意文件甚至执行代码。文章提供POC验证过程，并建议升级补丁及部署WAF等防御措施。

Cloudflare开源安全审计技能将AI代码审计拆解为侦察、覆盖驱动狩猎、候选验证、结构化输出、独立复核、中立报告六个阶段，强调覆盖台账、对抗式验证、三种裁决与可校验的findings契约。核心观点是让AI找漏洞不难，难在证明找到的是真的。建议装完先跑已知有漏洞目标，注意需强沙箱环境。

TelegramDesktop7.2.8及更早版本存在CVE-2026-107181漏洞，攻击者通过构造特殊tg://链接触发IPC分隔符注入，结合内部interpret:指令实现任意文件上传，可窃取会话密钥文件完成账号接管。漏洞根因是单实例IPC未转义分隔符及interpret:缺少授权检查，已在7.2.9修复。建议用户立即更新并设置本地密码。