ZONE.CI 全球网

RedisTLSPending-List存在Use-After-Free漏洞，影响多个版本分支，已有公开EXP利用代码，可导致服务崩溃或代码执行。利用需启用TLS且攻击者能网络访问。建议立即升级至修复版本，并收紧ACL与网络访问控制。

本文介绍蛙池AI自动化渗透测试平台，通过AI智能体赋能白帽子漏洞挖掘，支持对话式和半自动化挖掘方式，可自定义Skills和MCP工具提升效率。平台提供内测活动，建议用户下载安装并配置工具集以优化挖洞体验。

RedisTLSPending-List存在高危UAF漏洞（LDYVUL-2026-00177790），EXP已公开，攻击者满足前置条件（网络访问、启用TLS、执行特定命令）可远程代码执行。影响6.2.x至8.10.x多个版本。建议立即升级至修复版本。360产品已支持检测。

TranslatePress插件存在严重漏洞CVE-2026-19632，CVSS评分9.8，影响3.3.1及以下版本，超过40万个WordPress网站面临账户劫持风险。攻击者可未经认证窃取管理员密码重置链接，从而完全控制网站。该漏洞源于插件翻译邮件内容并公开暴露AJAX接口。目前无在野利用或公开PoC，但建议立即更新至3.3.2版本以修复问题。

长亭科技入选工信部NVDB2026年度信创政务与通用网络产品两大漏洞库技术支撑单位，实现人工智能、信创、通用三大专业库全覆盖。NVDB为国家级平台，入选代表长亭在漏洞发现与处置能力上获官方权威认可。结合CNCERT甲级与CNNVD核心级资质，凸显其漏洞研究实力。长亭未来将持续支撑国家网络安全体系建设。

本期安全周报指出CNVD单周收录693个漏洞且零日占比达92%，多款路由器存在高危执行风险，建议尽快升级；工信部通报26款APP违规收集信息；CISA红队测试表明SOC快速研判与隔离是防御关键；数万站点因Git目录泄露暴露凭证，需轮换密钥；加密上下文注入绕过AI安全护栏及OpenAI暂停训练等事件凸显AI风险加剧，建议遵循最小权限原则并强化管控。

前沿AI模型如Anthropic的Mythos正重塑漏洞管理，迫使传统体系进行系统性变革。文章指出需超越CVSS、EPSS和KEV，建立暴露管理职能以评估真实风险并确定修复优先级。补丁管理必须加速自动化，采用环形部署策略，并与业务方就正常运行时间要求展开对话。核心建议是推动漏洞管理计划走向成熟，以应对AI带来的机器速度威胁。

博通发布91个Spring相关CVE漏洞影响约209569个软件组件涉及SpringSecurity等广泛项目漏洞类型包括不安全反序列化远程代码执行等其中CVE-2026-59285和CVE-2026-59318为高危漏洞AI辅助研究加速了漏洞发现防御者应优先识别生产环境中的易受攻击版本基于可达攻击路径评估风险并优先修复面向互联网的服务GraphQL部署和SpringAI实现

奇安信CERT于2026年8月26日发布RedisTLS待处理链表远程代码执行漏洞(QVD-2026-58458)安全通告。该漏洞为高危，CVSS评分8.8，攻击者可通过正常TLS命令接口利用释放后使用缺陷实现远程代码执行，完全控制服务器。影响Redis多个版本，PoC已公开。建议用户立即升级至修复版本或采取临时缓解措施如关闭TLS端口、限制访问权限。

看雪学苑推出第12期AI驱动的Windows内核漏洞挖掘与Fuzzing实战课程，由ExploitCN授课，售价15000元共40小时。课程以AI辅助证据链与AI效果量化评估两条主线，覆盖代码审计、kAFL内核Fuzzing、崩溃研判、CVE分析与综合实战五大模块，面向具备内核基础的进阶从业者，交付提示词模板、Fuzz环境、CodeQL规则等五套可复用成果，强调防御性研究与负责任披露。整体为课程推广软文，无具体技术细节。

KalturaHTML5播放器库存在两个未修复的严重漏洞CVE-2026-19913和CVE-2026-19912，位于mwEmbedLoader.php端点，允许未经身份验证的远程攻击者读取本地文件并执行任意代码。受影响版本包括html5lib2.45、2.103及更早版本。目前无官方补丁，建议管理员立即限制对该端点的外部访问或禁用，并强制实施ServiceUrl允许列表。

本文深入分析ApacheCommonsCollections反序列化漏洞(CC链)的技术原理。文章从CommonsCollections库介绍入手，详细阐述了Transformer、InvokerTransformer和ChainedTransformer等核心组件如何构成利用链。重点解释了ConstantTransformer作为起点返回任意对象、InvokerTransformer通过反射调用任意方法、ChainedTransformer实现链式调用的机制。文章指出漏洞本质是Java原生反序列化流程处

该文档深度分析了Log4j2FilteredObjectInputStream绕过漏洞(CVE-2026-XXXX)，影响2.11.0至2.26.1版本。漏洞核心在于FilteredObjectInputStream仅检查顶层类描述符，而Log4jLogEvent的message()方法调用MarshalledObject.get()时会创建不受过滤的ObjectInputStream，导致攻击者可通过包装恶意gadget实现远程代码执行。建议立即移除MarshalledObject白名单或改用过滤序列化

本文分析2025年4月Weaxor勒索病毒利用用友U8Cloud旧文件上传漏洞批量攻击46家企业的安全事件。文章指出第三方组件漏洞因通用化、黑盒属性、长尾效应等特质成为重大威胁，强调企业需建立资产盘点、漏洞管理、安全准入及纵深防御体系，并推广安全意识培训服务。核心结论是忽视补丁修复将导致业务停摆与合规风险。

CVE-2026-21962是影响OracleHTTPServer和WebLogicProxyPlug-in的高危漏洞，CVSS评分10.0，已遭在野利用。漏洞根因是URI规范化绕过和堆缓冲区溢出，攻击者可通过特制HTTP请求实现未授权远程代码执行。建议立即应用Oracle2026年1月安全更新，限制网络访问并监控异常流量。

TYPO3Powermail扩展存在严重远程代码执行漏洞CVE-2026-77136，正遭在野利用。该漏洞为服务端模板注入，攻击者可通过提交恶意Fluid模板语法执行任意命令。受影响版本包括10.9.2及以下、11.0.0至12.6.0、13.0.0至13.2.0。管理员需立即更新至10.9.3、12.6.1或13.2.1版本，或禁用发件人姓名配置项。同时，已废弃的HTML5VideoPlayer扩展存在不安全反序列化漏洞CVE-2026-77138，需完全卸载。

Forgex是一款面向Windows平台的集成式渗透测试工具箱，聚合信息收集、漏洞扫描、爆破逆向、移动端Hook、代理隧道等数十款主流安全工具于统一可视化界面，基于PyQt5开发，支持离线自包含分发与一键启动。内置ForgexAI智能渗透模块，基于多角色大语言模型实现自动化任务编排。工具生态丰富且可扩展，适合红队演练、漏洞验证等场景。用户可通过编辑配置文件增删工具，但需注意合法使用。

CVE-2026-63520是一个严重的SharePoint远程代码执行漏洞，PoC已公开且被在野探测。攻击者可结合身份验证绕过漏洞CVE-2026-55040实现未授权远程代码执行。漏洞源于BusinessDataConnectivity子系统的DbTypeReflector类未限制类型解析。微软已在2026年8月11日发布安全更新，管理员需立即安装补丁并监控可疑请求。

Next.js在Windows环境下存在高危路径遍历漏洞CVE-2026-75604（CVSS9.0），影响13.4至15.5.23及16.0至16.3.2版本。当应用同时使用PagesRouter与AppRouter且未启用CacheComponents时，攻击者可通过路径遍历获取ServerAction加密密钥，伪造请求实现未认证远程代码执行。目前POC和EXP已公开但未见在野利用，建议立即升级至15.5.24或16.3.3及以上版本。

文章介绍MrCipher漏洞扫描器，基于dddd深度改造，集成主机发现、端口扫描、漏洞检测、后渗透验证等自动化流水线，面向红队攻防与授权渗透测试场景。工具包含高级引擎、WAF绕过、小众检测及OWASPTop10覆盖，支持命令行、交互式控制台和Web界面。文章末尾包含广告推广，整体为软文性质。