ZONE.CI 全球网

TencentOS安全团队利用科维斯AI在Linux内核中发现潜伏18年的SCTPhantom漏洞（CVE-2026-64564），该漏洞可导致本地提权及容器逃逸。AI通过多Agent协同完成漏洞发现、PoC构建及跨发行版验证，推动11天内修复并合入主线，标志着AI在0-day挖掘与响应中的突破，建议厂商关注AI安全工具应用。

文章汇总了国内主流漏洞众测平台和企业SRC按行业分类提供列表强调合规与规则阅读最后推广个人学习资料属于软文性质

本文深度解析了针对微软365Copilot的跨域提示注入攻击（XPIA），涵盖记忆投毒、Outlook邮件操纵（CVE-2026-55145）及首个在商业办公套件中演示的自复制文档蠕虫。核心症结在于LLM架构缺陷，即不可信数据与高权限指令在同一上下文计算，导致前置过滤和模型升级均无法根治。企业应将外部文档视为不可信输入，启用Exchange外部发件人标记，审查隐形文本，并留存Copilot交互日志以实现事后审计溯源。

CNNVD近期（2026年7月7日至8月4日）共采集255个人工智能漏洞，其中超危49个、高危106个、中危100个。漏洞涉及IBMLangflowOSS、Ollama、OpenClaw等厂商，包括代码注入、资源管理错误和输入验证错误等类型。建议用户及时关注并应用厂商发布的安全补丁以修复漏洞。

Linux内核OVS组件存在潜伏13年的本地提权漏洞CVE-2026-64531（ovswrap），因16位长度字段溢出且移除32KiB限制后变得可触发。普通用户通过非特权用户命名空间即可稳定获取root权限，影响RedHat、Debian、Ubuntu等主流发行版。上游补丁已发布，建议立即更新内核或采用临时缓解措施。

Jenkins于2026年8月5日发布安全公告，披露25个CVE漏洞，其中5个本体漏洞需重点关注。核心漏洞CVE-2026-70426为AgentRemoting反序列化绕过，攻击者利用备用解析路径可在主控端执行代码。CVE-2026-70427和CVE-2026-70428为任意文件写入漏洞，CVE-2026-70429涉及用户名Unicode大小写冒名。受影响版本为weekly≤2.575和LTS≤2.568.1，已修复版本为weekly2.576和LTS2.568.2。建议立即升级至修复版本，或暂时

Django发布6.0.8和5.2.17版本修复四个漏洞，最严重的是高危漏洞CVE-2026-15307，影响GDALRaster处理栅格数据，可能导致文件写入和远程代码执行。其他漏洞包括拒绝服务（CVE-2026-15337、CVE-2026-15830）和存储型XSS（CVE-2026-15920）。建议开发人员和管理员尽快升级，特别是在使用GIS功能或管理界面的环境中。

Linux内核OVSwrap漏洞(CVE-2026-64531)允许本地用户提权至root，影响多个发行版。漏洞源于2025年移除32KiB上限后暴露的13年截断问题，攻击者通过构造恶意OVS动作流实现内存损坏。建议立即安装供应商补丁，或阻止openvswitch模块加载并禁用非特权用户命名空间。

CNNVD通报近期采集255个人工智能漏洞，含49个超危与106个高危，涉及IBMLangflowOSS、Ollama及OpenClaw等。典型问题包括Langflow代码注入致任意命令执行、Ollama内存耗尽致服务崩溃及OpenClaw环境变量过滤不当。厂商均已发布补丁，建议用户尽快升级修复。

2026年7月CNNVD新增漏洞9702个，环比增长22.27%。重大漏洞为AlibabaFASTJSON2反序列化远程代码执行漏洞（CVE-2026-16723），影响1.2.68至1.2.83版本，无需特殊配置即可利用。漏洞类型中授权问题占比最高（12.18%），超危漏洞修复率最低（71.49%），整体修复率84.78%。建议立即升级FASTJSON至安全版本并关注高危漏洞修复。

文档介绍Nessus漏洞扫描工具最新破解版下载，强调其漏洞发现、合规检查等功能，并提供Windows/Linux安装教程。文章本质为软文广告，引导用户关注公众号或加入付费社群获取资源，同时包含免责声明要求合法使用。

文章指出AI并未导致零日漏洞数量暴增，但改变了漏洞生命周期形状，漏洞利用平均发生在补丁发布前7天（负7天）。攻击目标转向企业级产品，AI已能完成长链条攻击。防守方需从补丁完成率转向暴露窗口管理，并持续验证安全控制有效性，以应对时间压缩的威胁。

山石网科引入360图龙锋AI智能体对其产品的二进制与源代码开展深度检测并修复漏洞。该合作作为磐石之盾计划落地案例，通过大模型与智能体协同提升复杂漏洞发现能力，推动安全前置。建议网安企业积极采用AI技术实现安全左移，以AI对抗AI升级主动免疫防御体系。

VMwarevCenter存在高危认证绕过漏洞CVE-2026-59309，攻击者可通过网络绕过认证获得未授权访问。影响EchoSecureVirtualizationPlatform，但具体版本未明确。建议立即隔离管理面与业务面，限制可信网段访问，启用多因素认证，并关注Broadcom官方公告获取补丁。

本文介绍AI黑客XBOW自主发现并利用BingImages三个高危RCE漏洞的过程，包括CVE-2026-32194、CVE-2026-32191和CVE-2026-21536，均获CVSS9.8分。漏洞源于图像处理管道中的命令注入，通过盲SSRF信号深入推理，最终在生产环境以SYSTEM权限执行命令。文章强调安全研究需坚持深度推理，不放过任何异常信号。

Fastjson2<=2.0.62版本存在严重远程代码执行漏洞，源于白名单校验仅依赖FNV-1a哈希值，攻击者可通过哈希碰撞绕过并利用jar:协议远程加载恶意类。漏洞影响所有JDK版本，实际利用程度与classpath中第三方库相关。建议立即升级至2.0.62以上版本并关闭AutoType。

OpenAIChatGPT工作区代理存在AgentForger漏洞(CVE-2026-40217等),攻击者可通过钓鱼链接利用CSRF在受害者认证会话中自动创建并授权恶意AI代理,实现持久化控制、数据窃取和横向移动。该漏洞源于构建器通过URL参数接受初始状态并自动提交提示,需受害者登录且拥有授权连接器。OpenAI已披露并计划于2026年11月弃用该产品。建议用户警惕可疑链接并限制连接器权限。

CVE-2026-64561(Zapscape)是Linux内核KVM/x86shadowMMU的释放后使用漏洞，需嵌套虚拟化与L1内核权限触发。攻击者可利用时序缺陷实现客户机到宿主机的逃逸，在宿主机上以root身份创建文件。影响版本Linux5.9至修复前。建议核对内核版本、关闭不可信租户的嵌套虚拟化、开启内核链表加固以缓解风险。

本文分析了TrezorSafe硬件钱包CVE-2026-65058签名显示错位漏洞。该漏洞因固件仅向屏幕展示calldata的首个分块却对全量数据哈希签名，导致攻击者可构造表面为正常转账、实际包含恶意授权的拼接交易。用户无需泄露私钥，仅需连接被污染的终端即可中招。建议受影响设备立即升级至2.8.7固件，并排查代币授权清单。

GitLab存在严重远程代码执行漏洞链，利用Oj解析器的两个内存损坏漏洞，影响15.2.0至19.0.1版本。攻击者可通过提交差异触发，无需管理员权限。GitLab已于6月10日修复，用户应立即升级至18.10.8、18.11.5或19.0.2版本。