ZONE.CI 全球网

VEXAIoT提出利用AI智能体自主进行物联网漏洞利用的双智能体框架，在IoTGoat与Metasploitable2环境中实现95%总体攻击成功率，多数攻击两分钟内完成。该框架通过漏洞检测与攻击执行智能体协作，覆盖OWASPIoTTop10中九类漏洞，验证了LLM驱动自主渗透测试在高度异构IoT场景的可行性，为自动化安全测试提供参考范式。

腾讯朱雀实验室开源了一站式AI红队安全测试平台A.I.G，集成AI基础设施漏洞扫描、MCP与Agent技能风险检测、Agent工作流安全扫描、OpenClaw安全体检和大模型越狱评估五大模块。该平台支持Web界面与命令行双模式，可识别100+种AI组件和1900+个CVE漏洞，旨在帮助企业系统性自查AI安全风险，但需注意其无鉴权机制，仅限内网部署。

WordPress曝出RESTAPI路由混淆(CVE-2026-63030)与SQL注入(CVE-2026-60137)漏洞链，攻击者无需认证即可通过未授权SQL注入获取管理员密码哈希，进而破解密码并利用插件安装功能实现远程代码执行。影响WordPress7.0.0-7.0.2、6.9.0-6.9.5及6.8.0-6.8.6版本。官方已发布安全版本，建议用户立即升级至7.0.2、6.9.5或6.8.6及以上版本。360产品已支持检测。

锦岳智慧在2026世界人工智能大会上获评人工智能安全漏洞治理联盟首批成员单位。该联盟由国家信息安全漏洞库牵头，旨在构建漏洞发现、通报共享、协同处置、风险预警的综合治理体系。锦岳智慧将依托威胁检测、漏洞挖掘等技术优势，参与应急响应与标准共建，助力提升AI安全韧性。

该文档介绍了一款基于JavaSwing的未授权访问探测工具，支持39+常见服务如Redis、MongoDB、Elasticsearch等的批量扫描，具备SOCKS5代理、指纹识别和CSV导出功能。工具适用于安全测试人员快速检测未授权漏洞，运行环境需JDK8及以上。用户可通过GitHub获取并按照使用说明操作。

本文复盘了CVE-2026-63030漏洞的AI自动化监测过程，系统从多源采集、AI分析到资产扫描全链路自动化，无需人工介入。文章质疑行业抢首发复现的惯性，认为人的精力应转向业务场景判断和深度分析，而非重复劳动。建议行业转向自动化加深度判断的工作模式。

WordPress6.8.0至7.0.1版本存在组合漏洞(CVE-2026-63030和CVE-2026-60137)，攻击者可通过未授权访问RESTAPI的批量请求端点实现SQL注入，获取管理员密码哈希后利用插件安装功能执行任意代码。文章提供了漏洞复现步骤、POC链接及修复建议，包括升级至7.0.2版本、安装安全插件或通过WAF阻断相关请求路径。

CVE-2026-42980是Windows内核WMI整数下溢漏洞，存在于nt!WmipQueryAllDataMultiple和nt!WmipQuerySingleMultiple函数中。攻击者通过未检查的减法导致计数器回绕，实现越界写入，结合命名管道喷洒和数据泄露，最终可本地提权至SYSTEM。补丁采用饱和减法修复。建议立即应用安全更新。

WordPress6.8.3版本存在高危SQL注入漏洞，攻击者可通过batch/v1路由利用author\\_exclude参数进行时间盲注，最终实现远程代码执行并完全接管网站管理员权限。漏洞利用链涉及oEmbed和changeset等机制。建议立即升级WordPress或应用修补意见，包括对相关路由实施参数白名单、使用参数化接口修复SQL注入点、隔离关键副作用并加强认证与提权控制。

本文详析WordPress核心WP2Shell组合高危漏洞，攻击者无需授权即可通过路由混淆绕过鉴权，结合SQL注入时间盲注脱库获取管理员哈希，最终实现远程代码执行。建议立即升级至6.8.6、6.9.5或7.0.2及以上版本彻底修复；暂无法升级时需通过WAF或Nginx拦截批量请求接口路径，开启持久化对象缓存，并排查恶意插件与后门文件。

ClarotyTeam82使用AnthropicClaudeOpus4.5模型对Zenitel视频对讲机进行完全自动化漏洞挖掘实验。模型在10分钟内自动发现5个高危漏洞（含三个命令注入、一个越界写入、一个跨站脚本），并生成披露级报告。实验表明AI能自主完成固件提取、脱壳、逆向分析和漏洞报告全流程，效率远超人工。这标志着漏洞研究门槛正从技术能力转向获取固件能力，安全团队需重新评估漏洞管理策略以应对即将到来的AI驱动漏洞报告浪潮。

本文深入分析AndroidWindowManagerShell的CVE-2026-0091本地提权漏洞。该漏洞源于registerTransitionPlayer接口缺失权限校验，使shell进程无需root即可注册为全局唯一ITransitionPlayer，从而拦截系统窗口过渡、获取SurfaceControl内核图形句柄、篡改窗口布局或冻结UI。补丁将setRunningRemoteTransitionDelegate参数从IBinder收紧为IApplicationThread以阻断伪造，但攻击者

WordPress核心框架wp2shell漏洞通过组合CVE-2026-63030和CVE-2026-63137实现SQL注入，利用RESTBatch索引错位将categories请求错误路由到postshandler，导致author_exclude参数未清洗直接拼接SQL。虽仅读权限，但通过Customizerchangeset和权限切换可新建管理员账户并上传恶意插件实现RCE。修复版本7.0.2补全了matches数组并统一使用wp_parse_id_list清洗输入。建议立即升级。

WordPress7.0.0-7.0.1及6.9.0-6.9.4版本存在严重RCE漏洞链wp2shell，由CVE-2026-63030（RESTAPI路由混淆，CVSS9.8）与CVE-2026-60137（SQL注入，CVSS5.9）串联组成，无需认证即可在默认配置下实现远程代码执行。已有野外利用报告和公开PoC。建议立即升级至7.0.2/6.9.5/6.8.6等修复版本，并检查日志和数据库IOC确认是否已被利用。

本文披露WordPress核心无认证RCE漏洞wp2shell，由RESTAPI批量路由混淆与WP\\_QuerySQL注入串联触发。攻击者无需账号在默认配置下即可执行任意命令，影响6.9.0-6.9.4及7.0.0-7.0.1版本。POC已公开，风险极高。建议立即通过后台或WP-CLI升级至安全版本；暂无法升级者可临时禁用未登录RESTAPI、用WAF拦截批量端点或部署鉴权插件缓解。

ApacheSolr存在硬编码凭证高危漏洞CVE-2026-44825，影响9.4.0至9.10.1及10.0.0版本。其认证命令会静默创建默认密码与用户名相同的模板账户，攻击者可借此绕过认证获取管理权限，导致数据泄露或代码执行。建议立即升级至9.11.0或10.1.0及以上版本，临时方案为从配置文件中删除模板用户或修改为强密码。

WordPress核心代码曝出高危RCE漏洞wp2shell，允许未经身份验证的攻击者完全控制网站，影响全球超5亿站点。漏洞源于RESTAPI批处理路由的逻辑混淆，可导致SQL注入并升级为远程代码执行。官方已强制推送自动更新补丁至7.0.2、6.9.5和6.8.6版本。无法立即升级的站点应使用WAF封锁/batch/v1路径或禁用匿名RESTAPI访问。

本文记录了一次对aa.xxx.com域名的渗透测试过程。通过Googlehacking语法发现81端口下的两个系统，但注册需审核。随后利用微信搜一搜找到系统相关文章，从中获取了账号信息并发现同一域名下的其他子系统。其中一个子系统注册后无需审核，登录后台后通过置空查询用户接口的id参数，成功获取了系统所有用户的详细信息，包括姓名、手机号、身份证等敏感数据，最终发现高危信息泄露漏洞。

安全研究员阿马尔·阿斯卡尔因不满微软漏洞披露机制，公开VSCode零日漏洞。该漏洞存在于github.dev平台，OAuth令牌未限定作用域，攻击者诱导用户点击链接即可窃取GitHub访问令牌，进而读写用户所有代码仓库。研究员绕过扩展安装弹窗，实现全自动攻击。他批评MSRC处理漏洞不署名、定级低，导致信任崩塌，公开漏洞成为倒逼整改的手段。

WindowsNetlogon高危漏洞CVE-2026-41089可被攻击者利用特制CLDAP请求触发缓冲区溢出，实现SYSTEM权限任意代码执行。该漏洞影响Server2012至2025多个版本且POC已公开。建议受影响用户立即参考微软官方指南升级至指定安全版本以规避远程攻击风险。