ZONE.CI 全球网

创信华通发布2026年7月网络安全漏洞通告，列出10个高危漏洞，涉及GoogleChrome、Zyxel设备、MicrosoftOffice、OpenClaw、WordPress插件及OracleUnifiedDirectory等，并提供CNVD编号与详情链接。通告还介绍了其等保测评、密码测评等安全服务能力，强调协助用户提升预警与响应能力。建议用户及时关注并修复相关漏洞。

Zimbra敦促用户立即升级至ZCSv10.1.19以修复ClassicWebClient严重XSS漏洞。该漏洞由谷歌威胁分析团队发现，攻击者通过特制邮件触发恶意代码窃取会话与邮箱信息。尽管暂无CVE编号且未确认在野利用，但鉴于俄罗斯国家黑客组织常利用同类漏洞攻击政府机构，使用该客户端的用户务必尽快升级以规避高级持续性威胁。

本周安全漏洞周报显示共523个漏洞需关注，其中高危289个、中危180个、低危54个。核心政策包括智能体部署安全指引、能源数据分类分级指南等。关键漏洞涉及Cisco、Citrix、Google、Apple等多款产品，攻击者可利用漏洞执行任意代码或导致拒绝服务。威胁情报指出MicrosoftSharePointServer反序列化漏洞(CVE-2026-45659)已被利用，SimpleHelpOIDC身份验证绕过漏洞(CVE-2026-48558)被用于部署信息窃取程序。建议用户关注厂商主页及时获取补丁。

AIAgent发现FFmpeg21个0Day漏洞，部分潜伏23年；Chrome149修复创纪录的429个安全缺陷，含高危ANGLE漏洞。自动化工具降低漏洞发现成本，但修复工作仍依赖人工。建议用户立即更新FFmpeg和Chrome至最新版本。

CNVD漏洞周报2026年第27期显示，本周共收集整理428个信息安全漏洞，其中高危漏洞237个，中危145个，低危46个。漏洞主要集中在WEB应用（236个）、网络设备（77个）和应用程序（76个）。重要厂商如Microsoft、Google、Mozilla等产品均被披露存在多个高危漏洞，攻击者可利用这些漏洞执行任意代码或提升权限。建议相关用户及时下载并安装最新的安全补丁以防范风险。

ApacheActiveMQJolokia接口存在CVE-2026-42588高危远程代码执行漏洞，影响5.19.7以下及6.0.0至6.2.5版本。攻击者认证后可通过addNetworkConnector方法加载远程SpringXML配置执行任意命令。建议升级至安全版本或采取禁用Jolokiaexec、限制端口访问等临时措施。

本文介绍一种密码重置漏洞利用方法，通过并发请求和参数替换绕过邮箱验证。前提是拥有两个可控账号且重置请求含明文邮箱参数。同时发起两个账号的密码重置，在提交新密码时将邮箱参数替换为目标账号，即可实现账号接管，无需原密码或劫持邮箱。该漏洞危害严重，需服务端加强token与账号绑定校验。

该文档为CNVD发布的2026年7月6日至12日产品安全漏洞周报，汇总了10个关注度较高的漏洞。境外漏洞涉及MicrosoftSharePoint远程代码执行、OpenClaw白名单绕过、OpenBSD拒绝服务及GoogleChrome权限提升。境内漏洞包括神州视翰多媒体系统SQL注入、MetinfoSQL注入、统信UOS本地提权、TendaWH450栈缓冲区溢出及安博通防火墙命令执行。建议用户关注并修复相关漏洞。

思科披露CatalystSD-WANManager存在高严重性漏洞CVE-2026-20245(CVSS7.8)，允许认证攻击者通过文件上传注入根级命令执行。该漏洞已被有限利用，攻击者可能推送未授权配置更改。影响所有部署模式，思科尚未发布补丁。建议立即收集取证数据、审计配置并监控异常活动。

CISA发布警报，警告Linux内核漏洞CVE-2022-0492被积极利用。该漏洞影响cgroupsv1release\\_agent，可导致容器逃逸和权限提升。CISA将其列入KEV目录，要求联邦机构在2026年6月5日前修复。建议立即打补丁或采取缓解措施如禁用非特权用户命名空间、迁移到cgroupsv2。组织应监控异常容器活动。

OpenWrt的luci-app-samba4组件被曝高危命令注入漏洞CVE-2026-59260，CVSS评分达9.9。漏洞源于ACL配置缺陷，错误赋予普通用户file.exec权限，致使攻击者能通过篡改smbd启动参数中的messagecommand项，触发Root权限任意命令执行，进而完全接管路由器并横向渗透内网。由于官方暂未发布补丁，建议管理员立即收回file.exec权限、非必要关闭Samba服务，并严格限制LuCI与SSH的访问源IP以防范风险。

Wireshark基金会发布4.6.7版本紧急修复12项安全漏洞，涉及SSH、TLS及Wi-Fi等多协议解析器与抓包文件组件。漏洞类型包括空指针解引用、无限循环及内存越界等，攻击者可借助恶意构造的数据包或捕获文件触发程序崩溃与拒绝服务。官方指出此轮修复规模扩大与AI辅助漏洞挖掘有关。建议企业及安全团队立即升级至最新版本，避免在无限制环境下解析未知来源流量，并建立常态化软件更新机制以保障网络分析与取证工作的安全连续性。

本文披露了ApacheKafka4.0.0至4.0.x版本在OAUTHBEARER路径中的身份验证绕过漏洞。因客户端仅校验JWT生效时间而未强制校验过期时间，攻击者可利用获取的已过期令牌进行无限期重放，进而接管代理节点、窃取数据或破坏集群。目前官方暂无补丁，建议临时限制SASL监听器网络访问、轮换JWT签名密钥并强制客户端重新认证，待安全版本发布后应尽快升级修复。

CVE-2026-31694是一个Linux内核FUSE本地权限提升漏洞，允许低权限用户通过恶意FUSE服务端溢出页面缓存获取root权限。该漏洞影响使用4KiB内存页的近期内核版本，攻击代码已公开。建议立即安装内核补丁，并限制非必要环境中的FUSE使用以缓解风险。

CVE-2026-13753影响HPDeskjet2800系列打印机，因后端API未校验会话状态，未经身份验证的攻击者可通过直接GET请求获取Wi-FiDirect凭据、明文密码短语及SNMP配置等敏感数据。目前无公开PoC，HP未发布补丁，建议隔离打印机、禁用Wi-FiDirect并限制SNMP访问。

FreeBSD于2026年6月30日发布三份安全公告，修复了三个本地权限提升漏洞(CVE-2026-49418、CVE-2026-49419、CVE-2026-49415)。这些漏洞均允许无特权本地用户获取root权限，其中两个影响所有受支持版本，第三个影响15.0及以上版本。目前无临时缓解方案，唯一修复方法是立即升级系统并重启以加载修正后的内核。

CISA公告指出GardynIoTHub存在三个漏洞，最严重CVE-2026-13768（CVSS10）因硬编码凭据导致未认证远程代码执行，影响超13.8万台设备。攻击者可利用泄露密钥控制设备并横向渗透。补丁已部署，建议保持设备联网更新并置于防火墙后。

ApacheCamel修复了四个高危漏洞，包括三个标头注入漏洞（CVE-2026-55994、CVE-2026-55993、CVE-2026-46726）和一个Keycloak身份验证绕过漏洞（CVE-2026-53913）。标头注入可导致SSRF和机密泄露，Keycloak绕过可能引发RCE。受影响版本广泛，建议升级至4.21.0或应用临时缓解措施如移除Camel控制标头。

ApacheIoTDB2.0.8修复三个漏洞:严重路径遍历CVE-2026-24014(评分9.8)可致文件写入与代码执行,身份验证绕过CVE-2026-24013(评分9.1)泄露数据,拒绝服务CVE-2026-24012耗尽堆内存。影响1.3.3至2.0.8版本。建议立即升级并限制RPC端口访问。

decompressnpm包存在高危漏洞CVE-2026-53486，CVSS评分9.1，影响每周超280万次下载。攻击者利用硬链接和符号链接绕过目录检查，可写入任意文件甚至获取root权限。所有版本至4.2.1均受影响，原始项目无人维护。建议升级至分支的11.1.3版本，临时措施包括只解压信任压缩包并以非root用户运行。