ZONE.CI 全球网

《帝国时代II：决定版》曝高危远程代码执行漏洞CVE-2026-50663，攻击者可通过创建恶意游戏房间，诱使其他玩家加入后触发路径遍历缺陷实现远程攻击。微软已发布安全更新修复，建议玩家及时更新游戏并避免加入陌生房间或加载未知自定义内容。该事件凸显游戏联机与UGC机制成为攻击新入口。

2026年7月世界人工智能大会上，人工智能安全漏洞治理联盟正式成立，29家首批成员单位共同发布联盟章程。该联盟旨在凝聚产业协同共识，促进AI安全漏洞治理工作，形成风险联防合力，推动AI产业安全可控发展。

WordPress核心漏洞wp2shell允许远程代码执行，影响6.9和7.0版本，全球数百万网站面临风险。官方已发布6.9.5和7.0.2补丁并启动强制更新。建议站长立即更新版本并检查服务器日志，启用WAF作为额外防护。

本文分享AI辅助SRC挖洞的翻车事件。作者利用AI分析流量意外发现可全局篡改商品价格的严重逻辑漏洞，但提交后未获奖励反遭平台严重警告。文章提醒安全人员使用AI辅助挖洞务必保持谨慎，对AI发现需严格人工复核，切勿盲目提交以免引发合规风险。

OperaGX浏览器存在一个安全漏洞，允许恶意网站通过GXMods的自动安装机制静默安装CSS插件。攻击者利用通用CSS注入技术，通过属性选择器逐字符窃取页面中的敏感数据，如Gmail地址。该漏洞无需用户点击即可触发，Opera已发布版本130.0.5847.89修复，并支付了最高5000美元赏金。建议用户立即更新浏览器以防范风险。

本文复现了ThinkPHP框架多个历史漏洞，包括2.x任意代码执行、5.0.23RCE及5.0.22/5.1.29RCE。作者详细分析了漏洞原理，指出2.x版本因preg_replace的/e修饰符导致代码执行，5.0.23因未过滤_method参数可调用任意方法，5.x系列因控制器名缺乏校验可实例化任意类。文章提供了POC和搭建环境方法，强调理解框架路由机制对漏洞利用的重要性。

VEXAIoT提出利用AI智能体自主进行物联网漏洞利用的双智能体框架，在IoTGoat与Metasploitable2环境中实现95%总体攻击成功率，多数攻击两分钟内完成。该框架通过漏洞检测与攻击执行智能体协作，覆盖OWASPIoTTop10中九类漏洞，验证了LLM驱动自主渗透测试在高度异构IoT场景的可行性，为自动化安全测试提供参考范式。

腾讯朱雀实验室开源了一站式AI红队安全测试平台A.I.G，集成AI基础设施漏洞扫描、MCP与Agent技能风险检测、Agent工作流安全扫描、OpenClaw安全体检和大模型越狱评估五大模块。该平台支持Web界面与命令行双模式，可识别100+种AI组件和1900+个CVE漏洞，旨在帮助企业系统性自查AI安全风险，但需注意其无鉴权机制，仅限内网部署。

WordPress曝出RESTAPI路由混淆(CVE-2026-63030)与SQL注入(CVE-2026-60137)漏洞链，攻击者无需认证即可通过未授权SQL注入获取管理员密码哈希，进而破解密码并利用插件安装功能实现远程代码执行。影响WordPress7.0.0-7.0.2、6.9.0-6.9.5及6.8.0-6.8.6版本。官方已发布安全版本，建议用户立即升级至7.0.2、6.9.5或6.8.6及以上版本。360产品已支持检测。

锦岳智慧在2026世界人工智能大会上获评人工智能安全漏洞治理联盟首批成员单位。该联盟由国家信息安全漏洞库牵头，旨在构建漏洞发现、通报共享、协同处置、风险预警的综合治理体系。锦岳智慧将依托威胁检测、漏洞挖掘等技术优势，参与应急响应与标准共建，助力提升AI安全韧性。

该文档介绍了一款基于JavaSwing的未授权访问探测工具，支持39+常见服务如Redis、MongoDB、Elasticsearch等的批量扫描，具备SOCKS5代理、指纹识别和CSV导出功能。工具适用于安全测试人员快速检测未授权漏洞，运行环境需JDK8及以上。用户可通过GitHub获取并按照使用说明操作。

本文复盘了CVE-2026-63030漏洞的AI自动化监测过程，系统从多源采集、AI分析到资产扫描全链路自动化，无需人工介入。文章质疑行业抢首发复现的惯性，认为人的精力应转向业务场景判断和深度分析，而非重复劳动。建议行业转向自动化加深度判断的工作模式。

WordPress6.8.0至7.0.1版本存在组合漏洞(CVE-2026-63030和CVE-2026-60137)，攻击者可通过未授权访问RESTAPI的批量请求端点实现SQL注入，获取管理员密码哈希后利用插件安装功能执行任意代码。文章提供了漏洞复现步骤、POC链接及修复建议，包括升级至7.0.2版本、安装安全插件或通过WAF阻断相关请求路径。

CVE-2026-42980是Windows内核WMI整数下溢漏洞，存在于nt!WmipQueryAllDataMultiple和nt!WmipQuerySingleMultiple函数中。攻击者通过未检查的减法导致计数器回绕，实现越界写入，结合命名管道喷洒和数据泄露，最终可本地提权至SYSTEM。补丁采用饱和减法修复。建议立即应用安全更新。

WordPress6.8.3版本存在高危SQL注入漏洞，攻击者可通过batch/v1路由利用author\\_exclude参数进行时间盲注，最终实现远程代码执行并完全接管网站管理员权限。漏洞利用链涉及oEmbed和changeset等机制。建议立即升级WordPress或应用修补意见，包括对相关路由实施参数白名单、使用参数化接口修复SQL注入点、隔离关键副作用并加强认证与提权控制。

本文详析WordPress核心WP2Shell组合高危漏洞，攻击者无需授权即可通过路由混淆绕过鉴权，结合SQL注入时间盲注脱库获取管理员哈希，最终实现远程代码执行。建议立即升级至6.8.6、6.9.5或7.0.2及以上版本彻底修复；暂无法升级时需通过WAF或Nginx拦截批量请求接口路径，开启持久化对象缓存，并排查恶意插件与后门文件。

ClarotyTeam82使用AnthropicClaudeOpus4.5模型对Zenitel视频对讲机进行完全自动化漏洞挖掘实验。模型在10分钟内自动发现5个高危漏洞（含三个命令注入、一个越界写入、一个跨站脚本），并生成披露级报告。实验表明AI能自主完成固件提取、脱壳、逆向分析和漏洞报告全流程，效率远超人工。这标志着漏洞研究门槛正从技术能力转向获取固件能力，安全团队需重新评估漏洞管理策略以应对即将到来的AI驱动漏洞报告浪潮。

本文深入分析AndroidWindowManagerShell的CVE-2026-0091本地提权漏洞。该漏洞源于registerTransitionPlayer接口缺失权限校验，使shell进程无需root即可注册为全局唯一ITransitionPlayer，从而拦截系统窗口过渡、获取SurfaceControl内核图形句柄、篡改窗口布局或冻结UI。补丁将setRunningRemoteTransitionDelegate参数从IBinder收紧为IApplicationThread以阻断伪造，但攻击者

WordPress核心框架wp2shell漏洞通过组合CVE-2026-63030和CVE-2026-63137实现SQL注入，利用RESTBatch索引错位将categories请求错误路由到postshandler，导致author_exclude参数未清洗直接拼接SQL。虽仅读权限，但通过Customizerchangeset和权限切换可新建管理员账户并上传恶意插件实现RCE。修复版本7.0.2补全了matches数组并统一使用wp_parse_id_list清洗输入。建议立即升级。

WordPress7.0.0-7.0.1及6.9.0-6.9.4版本存在严重RCE漏洞链wp2shell，由CVE-2026-63030（RESTAPI路由混淆，CVSS9.8）与CVE-2026-60137（SQL注入，CVSS5.9）串联组成，无需认证即可在默认配置下实现远程代码执行。已有野外利用报告和公开PoC。建议立即升级至7.0.2/6.9.5/6.8.6等修复版本，并检查日志和数据库IOC确认是否已被利用。