ZONE.CI 全球网

本文披露WordPress核心无认证RCE漏洞wp2shell，由RESTAPI批量路由混淆与WP\\_QuerySQL注入串联触发。攻击者无需账号在默认配置下即可执行任意命令，影响6.9.0-6.9.4及7.0.0-7.0.1版本。POC已公开，风险极高。建议立即通过后台或WP-CLI升级至安全版本；暂无法升级者可临时禁用未登录RESTAPI、用WAF拦截批量端点或部署鉴权插件缓解。

ApacheSolr存在硬编码凭证高危漏洞CVE-2026-44825，影响9.4.0至9.10.1及10.0.0版本。其认证命令会静默创建默认密码与用户名相同的模板账户，攻击者可借此绕过认证获取管理权限，导致数据泄露或代码执行。建议立即升级至9.11.0或10.1.0及以上版本，临时方案为从配置文件中删除模板用户或修改为强密码。

本文记录了一次对aa.xxx.com域名的渗透测试过程。通过Googlehacking语法发现81端口下的两个系统，但注册需审核。随后利用微信搜一搜找到系统相关文章，从中获取了账号信息并发现同一域名下的其他子系统。其中一个子系统注册后无需审核，登录后台后通过置空查询用户接口的id参数，成功获取了系统所有用户的详细信息，包括姓名、手机号、身份证等敏感数据，最终发现高危信息泄露漏洞。

Gamaredon俄系APT团伙利用WinRAR路径穿越漏洞CVE-2025-8088，通过XHTML文件HTML走私释放恶意RAR，将HTA脚本写入开机自启目录实现持久化。攻击链包含Gammaphish、Gammaload、Gammaworm等模块，采用NTFS备用数据流、Telegram频道解析C2、多层跳转架构等高级隐蔽技术。建议全盘格式化重装并升级WinRAR，关注sekoia披露的IOC指标。

WindowsNetlogon高危漏洞CVE-2026-41089可被攻击者利用特制CLDAP请求触发缓冲区溢出，实现SYSTEM权限任意代码执行。该漏洞影响Server2012至2025多个版本且POC已公开。建议受影响用户立即参考微软官方指南升级至指定安全版本以规避远程攻击风险。

安全研究员阿马尔·阿斯卡尔因不满微软漏洞披露机制，公开VSCode零日漏洞。该漏洞存在于github.dev平台，OAuth令牌未限定作用域，攻击者诱导用户点击链接即可窃取GitHub访问令牌，进而读写用户所有代码仓库。研究员绕过扩展安装弹窗，实现全自动攻击。他批评MSRC处理漏洞不署名、定级低，导致信任崩塌，公开漏洞成为倒逼整改的手段。

思科修复了统一通信管理器中的高危漏洞CVE-2026-20230，该漏洞源于HTTP请求校验缺失，可导致未经身份验证的远程攻击者发起SSRF攻击并写入文件，最终提权至root权限。漏洞利用需开启WebDialer服务，POC已公开但暂未发现实际攻击。建议管理员立即停用WebDialer服务并部署官方补丁。

Linux内核FUSE子系统存在CVE-2026-31694漏洞，允许非特权用户通过破坏页面缓存并劫持SUID二进制文件（如/usr/bin/su）来提升权限至root。问题源于fuse_add_dirent_to_cache()函数在处理过大目录条目时发生24字节堆溢出。该漏洞影响Linuxv6.16-rc1及更高版本且仅影响4KiB页面大小的系统。建议立即应用补丁或升级内核以修复此漏洞。

ClaudeCodeGitHubAction曝出高危链式漏洞，攻击者利用Bot身份绕过校验并结合间接提示注入，通过一条Issue即可窃取CI密钥与OIDC凭证，进而接管仓库或引发供应链投毒。该漏洞已有npm包投毒真实案例。建议立即升级至v1.0.94以上版本，严格审计触发配置，最小化密钥与权限，落实输入隔离与输出审计，将AIAgent视为半信任执行体。

本文档是一篇教程，介绍如何使用ClaudeAgentSDK构建漏洞发现智能体。教程详细说明了设置环境、加载测试目标、进行威胁建模和自动化漏洞查找的步骤。核心是通过多轮会话和内置工具驱动分析流程，生成威胁模型和漏洞报告。文档强调需获得授权并遵循安全规范，示例程序canary.c植入了三个内存安全漏洞用于演示。

该文档为面向零基础新手的白帽SRC挖洞入门指南，提出3个月从零到出洞的学习路径。核心观点是挖洞门槛不高，关键在于精准学习与实战。首月聚焦Web基础与OWASPTop10漏洞原理，次月练习BurpSuite等工具与靶场，第三月转战补天等众测平台。文档强调业务逻辑漏洞是新手高产方向，并推荐教育类SRC作为起步赛道。文末提供免费学习资料包作为引流。

WordPress核心漏洞wp2shell(CVE-2026-63030)允许匿名远程代码执行，影响6.9.0至7.0.1版本。官方已发布7.0.2等修复版本并启用强制自动更新。建议管理员立即更新，临时可阻止RESTAPI匿名访问或封锁相关路径。利用扫描器可验证补丁状态。

本文介绍了AWSS3bucket列表未限制的漏洞利用方法，通过特定请求获取所有文件列表，并编写脚本筛选非图片文件（如.js、.json等）以寻找敏感信息。作者强调即使bucket列表本身不被重视，但其中可能包含API密钥等敏感数据，建议不要错过任何可能的机会。

WordPressCore存在严重wp2shell远程代码执行漏洞，由CVE-2026-63030和CVE-2026-60137两个漏洞串联组成，影响6.9.x和7.0.x版本。PoC利用代码已公开，已有野外利用迹象。管理员必须立即更新至WordPress7.0.2或6.9.5。临时缓解措施包括阻止匿名访问RESTAPI或使用WAF防护。

上周CNVD发布产品安全漏洞周报，涵盖境外与境内厂商漏洞。境外涉及IBMLangflowOSS输入验证错误与反序列化注入漏洞、MicrosoftSharePointServer欺骗漏洞、DellPowerProtectDataDomain跨站脚本漏洞及GoogleChromeCore资源管理错误漏洞。境内包括中兴新支点操作系统二进制漏洞、东胜物流软件与Ecshop的SQL注入漏洞、金蝶云星空SQL注入漏洞及联奕科技统一身份认证平台逻辑缺陷漏洞。建议相关用户及时关注并修复。

文章指出AI工具如ClaudeMythos正规模化挖掘漏洞，使传统漏洞管理模式失效。企业需转向基于风险的动态运营模式，采用即时补丁和虚拟补丁等补偿控制措施。核心建议包括融入实时漏洞利用情报、同步部署补偿控制、实现全域资产可视，并基于暴露面与利用潜力进行风险优先级排序。

华云安成为世界人工智能大会期间成立的人工智能安全漏洞治理联盟首批成员。该联盟由国家信息安全漏洞库牵头，旨在协同治理AI安全漏洞。华云安将基于其攻击面管理能力与CTEM框架，聚焦大模型安全与智能体防护，推动暴露面收敛方案落地，助力AI产业安全可控发展。

CNVD漏洞周报2026年第28期显示，本周共收集整理了609个信息安全漏洞，其中高危漏洞326个，中危199个，低危84个。漏洞主要集中在WEB应用（263个）、应用程序（192个）和网络设备（105个）。此外，本周还披露了多个知名厂商的重要漏洞，如GoogleChrome浏览器的多个高危漏洞、IBMLangflowOSS的代码注入与服务端请求伪造漏洞等。

本周网络安全动态主要包括：中央网信办启动`清朗·未成年人网络保护`专项行动；CNVD发布的漏洞周报显示上周漏洞总量走高，多款海外软件如GoogleChrome、IBMLangflowOSS等曝出高危漏洞；HuggingFace平台遭遇自主AI代理攻击；英国医疗技术公司Craneware发生数据泄露；此外，勒索软件攻击激增，Barracuda披露了百万封利用旧式文本污染绕过AI过滤器的钓鱼邮件等。

本文详细分析了fastjson1.2.83RCE漏洞，指出该漏洞需要特定环境条件（safemode未开启、JDK8、SpringBootfatjar等）才能实现远程代码执行，并非所有应用都面临直接风险。作者建议认真处置但不必恐慌，优先启用safemode和限制出站作为缓解措施，并给出了威胁检索和产品检测的具体建议。