ZONE.CI 全球网

雷神众测漏洞周报(2026.7.6-7.12)披露了四个高危漏洞:统信UOSDesktop20Professional存在本地提权漏洞,攻击者可提升权限;多款Mozilla产品(Thunderbird、FirefoxESR)存在代码执行漏洞(CVE-2026-12327);Microsoft365Copilot存在命令注入漏洞(CVE-2026-42895);MicrosoftOfficeSharePoint存在代码问题漏洞(CVE-2026-45659)。建议用户及时测试并升级到最新版本以修复漏洞。

WinFsp存在竞争条件漏洞CVE-2026-3006，影响2.1.25156及更早版本，可导致本地权限提升至SYSTEM级。攻击者需先获得设备访问权限，利用该漏洞可绕过安全边界。建议立即升级至v2.2B1版本，并限制本地管理访问。

Vigolium是一款融合AIAgent与原生速度的高保真漏洞扫描器，采用Go语言编写，提供NativeScan和AgenticScan两种模式，覆盖OWASPTop10及更广泛场景。其核心能力包括235+扫描模块、OAST技术、语义感知变异等，技术亮点有原生Go构建、内置JS引擎、多会话认证和BurpSuite集成。用户可通过命令行进行快速扫描、认证扫描或AI自主扫描，并支持生成HTML报告。该工具适用于授权安全测试，强调合法使用。

本文评论网购仅退款规则被恶意利用的乱象，指出其初衷是保护消费者但执行中权责失衡，导致商家和快递员受损。新规已禁止平台强制商家承担退款不退货责任，并建议平台建立恶意用户数据库、设置申诉通道，快递公司需核实客诉，监管部门应打击黑灰产，以堵住规则漏洞。

ServiceNow披露并修复了其AI平台中的一个严重沙箱逃逸漏洞CVE-2026-6875，该漏洞可导致未经身份认证的攻击者远程执行代码，影响托管和自托管部署版本。ServiceNow已为托管实例部署安全更新，并为自托管客户提供补丁。建议组织立即审查并应用相应版本更新，同时监控异常活动以防范潜在利用。

WindowsHTTP.sys存在整数溢出漏洞CVE-2026-47291，影响多个Windows版本。攻击者通过构造HTTP/1.xHTTPS请求触发内核堆溢出，可能导致系统崩溃或代码执行。建议立即安装微软官方更新以修复漏洞。

ApacheAirflowGitprovider存在SSH主机密钥校验绕过高危漏洞（CVE-2026-58065，评分8.1）。因其默认禁用StrictHostKeyChecking，攻击者可实施中间人攻击伪造Git服务器身份，注入恶意代码或窃取凭据，引发供应链风险。建议立即将组件升级至0.4.1及以上版本，并加强网络访问控制。

本文是OSCP备考系列第18期，聚焦Windows提权。核心观点是Windows提权本质与Linux相同，即找到高权限组件并篡改其执行内容，但攻击面更广。文章强调OSCP考试中99%的提权靠服务配置错误而非内核漏洞，并详细介绍了信息收集方法、手动枚举命令、自动化工具对比以及三种服务配置错误利用技术：未引用服务路径、弱服务权限和可写服务二进制/DLL劫持。最后给出了一条完整的攻击链示例，从低权shell到获取SYSTEM权限。

奇安信CERT发布WindowsHTTP.sys整数溢出漏洞(CVE-2026-47291)安全通告，该漏洞影响多个Windows版本，CVSS评分9.8，可导致远程代码执行。攻击者需通过TLS连接发送特制HTTP请求触发，利用条件苛刻但PoC已公开。建议用户立即安装官方补丁或使用奇安信天擎进行修复。

n8n存在高危令牌验证绕过漏洞(CVE-2026-59208),因令牌交换身份解析仅校验JWT的sub字段而忽略iss字段,导致攻击者可用低权限签发者令牌冒充其他签发者下的高权限用户,直接获取账号全部操作权限。影响2.0至2.27.3及2.28.0版本,需启用令牌交换并配置多个可信签发者。建议立即升级至2.27.4或2.28.1修复版本,或精简签发者配置、统一sub命名规范作为临时缓解。

本文为看雪学苑企业级防火墙漏洞挖掘付费课程推广软文。课程引入自研LangGraph工作流实现半自动化挖掘，覆盖Fortinet、Cisco等十余家厂商架构与攻击面，深度拆解三十余个高危CVE的根因分析与武器化利用，旨在帮助安全人员建立零日漏洞独立挖掘与AI辅助审计的系统化实战能力。

作者认为AI可辅助漏洞挖掘但需谨慎，强调基础知识和安全红线的重要性。AI不能替代基础，面试和实际工作仍需自身能力。AI边界效果有限，违规操作可能导致严重后果，建议在客户端或测试环境使用。将AI作为学习工具，在测试环境中谨慎使用，并始终敬畏安全红线。

本文介绍SolidityDetectionv1.1智能合约安全漏洞检测工具，基于SmartCheck理论开发，通过XML中间表示、XPath规则库和漏洞匹配三大模块实现26种漏洞检测，共56个XPath模式。工具主要支持Solidity0.4至0.6版本，不支持0.8及以上版本。文章提供了详细的漏洞规则表、命令行参数说明及获取方式，但需关注公众号回复关键字下载。

CNNVD于2026年7月15日通报OpenClaw存在多个安全漏洞，提醒相关用户关注并采取防护措施。该通报由苏说安全公众号发布，但未提供具体漏洞细节或修复建议，仅作为预警信息。建议用户关注官方渠道获取详细补丁信息。

本文介绍HephaestusDesktopClient安全扫描工具，基于Slack扫描引擎重构，支持自动化漏洞发现、结果管理与请求转发。漏洞库覆盖4900+漏洞，采用Nuclei模板驱动，支持规则热更新。工具采用双端分离架构，桌面端离线扫描，Web端云端同步。部署需注册获取Key。文章末尾包含广告推广内容。

2026年7月15日高危漏洞速报：微软7月补丁修复570+漏洞创纪录，含SharePoint双满分RCE（CVE-2026-58644/50522）及两个在野零日（CVE-2026-56164/56155）正被勒索软件利用；SonicWallSMA1000VPN双漏洞（CVE-2026-15409/15410）被CISAKEV紧急新增，未认证SSRF可直通内网；EdgeV8类型混淆（CVE-2026-58289CVSS9.0）浏览即沦陷；WindowsPrintSpooler严重RCE（CVE-2026-

伊朗在美伊战争期间利用SS7攻击和商业广告数据实时追踪美军人员位置，疑似用于辅助袭击行动。电信数据显示伊朗运营商定向追踪特定移动设备，专家认为伊朗具备实时位置获取能力。美国中央司令部承认收到威胁报告但否认数据追踪发挥关键作用。该事件暴露了移动网络基础设施漏洞和商业数据被滥用于军事监控的风险。

特朗普政府启动金鹰计划，利用前沿AI技术建立网络安全信息交换中心，协调漏洞发现与修复。该计划与卡内基梅隆大学合作开发VINCE平台，使用Anthropic的Mythos模型，旨在以前所未有的速度和规模处理漏洞，补充现有联邦漏洞计划，强化关键基础设施防御。

XCON2026议题揭示LLM推理引擎存在严重安全漏洞，传统fuzzer无效。绿盟团队开发了专为LLM时代的自动化漏洞挖掘体系，拆解七层攻击面，利用AI赋能fuzzing，在Ollama等引擎中发现高危漏洞，一次HTTP请求即可导致服务瘫痪。建议关注推理引擎安全。

微软于2026年7月15日发布安全更新，修复了622个漏洞，其中63个为严重级别，552个为重要级别。47个漏洞被标记为高利用风险，涉及远程代码执行、特权提升等多种类型，影响SharePoint、Windows内核、DHCP服务器等多个产品。建议用户优先修复高利用风险漏洞以降低安全威胁。