ZONE.CI 全球网

GitHub将公开漏洞赏金计划奖励削减50%以上，同时将更高奖励集中于仅限邀请的VIP计划，同一严重漏洞在公开计划仅获1万美元，VIP计划可达3万美元以上。调整核心原因是AI工具降低了报告生成门槛但未降低厂商分诊成本，导致低质量报告激增。文章指出漏洞赏金体系正从发现数量转向验证质量，真正稀缺的是经过可靠复现、可工作利用证明和产品特定攻击链分析的高质量漏洞。curl案例表明取消现金奖励后报告质量反而提升，说明关键不在工具而在研究员对结果的验证责任。建议研究员先验证再提交、提供稳定概念验证并描述产品影响。

ENCFORGE勒索软件利用Langflow的CVE-2025-3248未授权代码注入漏洞入侵AI基础设施，通过暴露的Docker套接字横向移动，专门加密PyTorch、TensorFlow等约180种AI模型文件，使用AES-256和RSA-2048混合加密，无数据窃取功能。攻击者JADEPUFFER为AI智能体，自主编写脚本部署勒索软件。建议立即修复Langflow漏洞并保护Docker套接字。

本文介绍zack-ai-scanner，一个集成AI的BurpSuite插件，能自动分析HTTP请求、生成针对性payload、绕过WAF并二次验证漏洞，覆盖17种Web漏洞类型。支持16家模型服务商，上手快、覆盖全，但需注意API成本、数据隐私风险及人工复核。建议在授权范围内使用，可提升挖洞和护网效率。

AdobeAcrobatChrome扩展存在UXSS漏洞(CVE-2026-48294,CVSS7.4),允许攻击者无需用户交互即可窃取WhatsAppWeb聊天记录、联系人等数据。攻击链利用扩展后台服务不验证发件人身份、隐藏功能标志、预测标签页ID及DOM操作注入隐藏表单,绕过同源策略。Adobe已在26.5.2.3版本中修复,建议用户立即更新。

华硕路由器固件存在严重漏洞CVE-2026-13385，源于网络通信验证不当，远程攻击者可通过中间人攻击执行任意命令，影响3.0.0.4_386、3.0.0.4_388和3.0.0.6\\_102等版本。成功利用可导致设备完全控制、流量拦截、DNS劫持及内网横向移动。华硕已发布修复固件，建议用户立即升级并关闭远程管理、实施网络分段。

ManageEngineADAuditPlus存在CVE-2026-6516严重漏洞，CVSS满分10。AgentAPI的身份验证绕过与路径遍历缺陷被链式利用可导致未授权远程代码执行。因该软件监控活动目录且代理部署在域控制器上，被攻陷将严重威胁核心环境。目前无在野利用。建议立即将主程序升级至Build8606，同步更新低版本Windows代理及所有Mac代理，阻断攻击链路。

谷歌推出CodeMender人工智能代理，用于自动化漏洞检测与修复。与传统静态分析不同，该工具在客户管理的隔离沙箱中生成并执行概念验证漏洞利用程序以验证可利用性，随后生成经过测试的补丁供开发人员审核。此流程能有效减少误报与警报疲劳，帮助团队优先处理真实威胁。该代理结合DeepMind成果与存储库级上下文，可识别内存损坏和代码注入等复杂漏洞。此外，其与Wiz安全平台深度集成，利用部署上下文增强检测并协同红绿代理实现渗透测试与修复闭环。建议企业安全团队关注此类自动化验证修复工具以提升供应链安全效能。

QUALYS披露Ubuntu桌面版本地提权漏洞CVE-2026-8933,评分7.8分。漏洞源于snap-confine组件在沙箱初始化时的竞争条件,攻击者利用普通用户权限可提权至root。受影响版本包括UbuntuDesktop26.04、25.10及部分24.04。建议用户立即执行sudoaptupdate&&sudoaptupgradesnapd更新snapd以修复漏洞。

JoomlaSPPageBuilder在2026年被曝出多个严重安全漏洞，允许未授权用户上传恶意文件并执行代码。攻击者通过POST请求上传文件并尝试执行PHP代码。作者通过Nginx和Cloudflare规则拦截了攻击，并清理了数据库中的恶意配置。建议使用Cloudflare规则拦截相关POST请求，并定期清理恶意文件。

本文详细介绍了文件上传漏洞的多种绕过技术，包括前端校验、Content-Type、文件后缀、文件头、文件内容及文件名重命名等绕过方法。文章强调这些技术仅供安全学习和授权测试使用，未经授权的漏洞利用属于违法行为。核心结论是文件上传漏洞仍存在，绕过方法多样，需结合具体环境灵活运用。

Linux内核流量控制子系统曝出本地提权漏洞CVE-2026-68138。根因是速率表全局链表及引用计数无锁，而flower分类器解除了RTNL锁，并发创建规则时触发UAF或double-free。利用链通过竞态触发、BPF回收、指针泄露、伪造管道缓冲及触发modprobe加载实现提权。漏洞影响5.1至7.1.5版本，建议尽快升级至7.1.6或7.2-rc5修复。

微软已修复Windows11及Server2025中代理文件系统驱动的高危漏洞CVE-2026-50458。该漏洞源于并发操作引发的Use-After-Free内存破坏问题，CVSS评分7.8。攻击者需具备本地低权限，可通过特制IOCTL请求绕过沙盒隔离机制，将权限提升至SYSTEM级别，导致系统完全被控。目前尚无在野利用记录。建议安全团队立即核查受影响系统的构建版本号，紧急部署2026年7月累积更新KB5101650；若暂无法补丁，应限制低权限账户本地登录并收紧应用控制策略以降低风险。

Vercel修复了Next.js框架中的九项安全漏洞，包括高危SSRF、中间件认证绕过、拒绝服务攻击及敏感数据泄露等风险。漏洞影响多个版本，建议立即升级至15.5.21或16.2.11版本，并审计重写规则、自定义服务器配置及缓存组件使用情况。

CERT/CC于2026年7月23日披露Logto身份认证平台存在六个漏洞，允许攻击者通过未验证邮箱劫持账户、绕过MFA及重放SAML断言。厂商SilverhandInc.未响应协调，目前无补丁。建议管理员避免本地账户与联合登录使用相同邮箱、停止使用socialSAML连接器、在上游IdP强制启用MFA并监控日志。

KnotResolver的DNS-over-QUIC模块存在无需认证的堆越界写入RCE漏洞。攻击者利用大小追踪错误覆写TLS对象函数指针实现代码执行，进而伪造下游DNS应答。目前PoC已公开。建议立即升级至6.4.1版本，或禁用DoQ、限制端口访问并监控进程崩溃，DoT与DoH不受影响。

该漏洞为WindowsSMBv3内核级远程代码执行漏洞(CVE-2026-57089)，无需认证即可利用，影响广泛，具备蠕虫级传播潜力。建议立即安装补丁或采取封禁445端口等缓解措施。

盛邦安全漏洞扫描评估系统凭借10万+资产指纹库与66万+漏洞特征库，在香港特区政务场景中从多家国际厂商中脱颖而出。产品具备复杂异构资产透视、AI智能降噪、0day快速应急等能力，已落地香港政务安全检测与风险管理体系。该案例验证了其技术实力，并为其拓展国际市场提供了权威背书。

该周报汇总了近期国家信息安全漏洞共享平台等权威机构发布的安全漏洞信息，建议用户及时关注并应用官方补丁以保障系统安全。内容包含多个漏洞详情及修复方案，并提供了服务热线。

本文分析了LinuxKernelrtmutex本地提权漏洞CVE-2026-43499。漏洞源于remove\\_waiter函数误用current导致红黑树出队异常与优先级错误，影响广泛版本的内核及Ubuntu、Debian系统。利用需具备本地执行权限且内核开启CONFIG\\_FUTEX\\_PI。建议受影响用户尽快通过官方补丁链接升级内核以修复漏洞。

PHPext-pgsql扩展存在高危SQL注入漏洞(CVE-2026-17543,CVSS9.8)。漏洞因转义逻辑缺陷导致反斜杠逃逸,影响PHP8.2至8.5多个版本。攻击者可利用pg\\_select()等函数实现数据泄露或权限提升。建议立即升级至8.2.33/8.3.33/8.4.24/8.5.9及以上版本。