ZONE.CI 全球网

Langflow开源AI应用构建框架存在严重未认证RCE漏洞CVE-2026-0768，正被攻击者利用窃取OpenAI和AWS密钥等敏感凭证。攻击主要来自俄罗斯，已观测到360次利用尝试。建议用户立即升级至1.11.6版本修复所有已知缺陷。

畅捷通T+POSSyncService接口存在未授权SQL注入漏洞，攻击者可未授权读取数据库敏感信息，部分接口可实现远程代码执行，风险较高。影响T+13.0及专属云2026特定版本，官方已发布补丁，建议受影响用户尽快修复，也可通过防护设备拦截相关路径请求临时缓解。

CNNVD发布2026年第35期信息安全漏洞周报，本周新增安全漏洞2265个，较上周有所下降。谷歌公司漏洞最多达333个，授权问题类漏洞占比最大达15.41%。超危漏洞225个，高危漏洞808个，整体修复率为78.41%。建议用户关注厂商补丁更新，及时修复漏洞以防攻击。

该通报汇总2026年9月3日六大安全风险：Langflow漏洞CVE-2026-0768遭利用、JFrogArtifactory认证绕过漏洞被攻击、AI评测机构METR密钥被盗致60万美元损失、勒索团伙招募内部人员、免费LLM接口陷阱及Guildma木马邮件传播。建议优先排查相关资产版本与公网暴露面，轮换密钥凭据，收敛管理接口并加强终端与邮件防护。

本文预警Linux内核io_uring组件高危提权漏洞CVE-2026-52933，评分7.8，源于有符号比较致取消标记失效引发重复释放，影响6.1至7.0等多版本主线及长期支持分支，公开利用链可本地提权至root。建议升级至修复版本或临时禁用io_uring缓解。

Dropbox与联想ID集成存在信任缺陷，攻击者可仅凭受害者邮箱地址注册联想账户并利用SSO机制劫持Dropbox账户，无需密码。Dropbox已撤销受影响会话并要求密码验证，部分账户文件遭查看或下载。事件凸显第三方SSO信任边界验证缺失风险。

文章指出AI工具正推动漏洞挖掘从手工作坊走向工业化生产，挖掘周期从数月压缩至数小时。黑客经验可被蒸馏进大模型批量复制，智能体本身成为新攻击面。防守方需将漏洞情报响应流程自动化、对内部AIAgent做权限收敛和审计、用AI辅助漏洞挖掘和代码审计，以应对攻击方自动化产能。

文档汇总2026年10月网络安全要闻：CNNVD新增漏洞1.3万余个，授权问题占比最高；Anthropic预警小型AI模型或实现自复制，催生物联网AI蠕虫风险；微软修复1411个漏洞含3个零日；英国发布AI安全举措；AI发现漏洞利用率低但风险更高；IDC报告称中国AI安全市场将达340亿元，智能体安全成核心战场。

安恒信息CERT发布微软10月安全更新风险提示，披露多个Windows高危漏洞，涉及权限提升与远程代码执行类型，危害等级涵盖高危和严重，CVSS评分最高达9.8。建议用户及时关注官方补丁更新，加强系统安全防护，防范潜在攻击风险。

GitLabCE/EE存在高危整数溢出漏洞CVE-2026-97229，攻击者可通过特制正则表达式在CI/CD配置中触发RCE，以git用户身份执行任意命令。影响19.2至19.4部分版本，官方已发布修复版本，建议用户立即升级并采取限制公共项目访问等临时缓解措施。

F5发布安全公告修复三个NGINX漏洞，包括内存损坏和远程代码执行风险，影响NGINXOpenSource和NGINXPlus，提供升级和配置变通方案。

Redis存在高危远程代码执行漏洞(QVD-2026-55651)，源于堆使用后释放缺陷，攻击者可通过阻塞命令和客户端驱逐实现任意代码执行。影响Redis8.8.0版本，PoC已公开。建议升级至8.8.2或启用认证并限制命令权限。

AutoHunter是一款基于多Agent协同的自动化漏洞挖掘系统，由安全研究员StanleyNull开发。其核心理念是让AI执行侦察、攻击验证等任务，人工仅做最终审核。系统内置nmap、nuclei等真实工具链，通过多Agent流水线架构实现7x24小时无人值守挖洞，并具备通杀验证、情报复用、崩溃恢复等特性。部署简单，支持多种大模型，适合SRC漏洞挖掘场景。

国家信息安全漏洞库(CNNVD)近期(2026年8月5日至17日)采集了201个人工智能相关漏洞,其中超危31个,高危89个,中危81个。漏洞涉及FlowiseAI、IBM、MLflow等厂商项目,包括代码注入和服务端请求伪造等类型。报告建议用户关注并升级相关补丁以修复漏洞。

Splunk于2026年8月20日发布安全更新，批量修复17个高危漏洞，涉及MCPServer、AIToolkit、Kafka连接器等组件。最严重的是MCPServer的CVE-2026-76404远程代码执行漏洞（CVSS9.1），源于不安全反序列化。AIToolkit存在9个漏洞，包括代码执行和越权访问。Kafka连接器有SSRF漏洞可窃取凭证。建议企业优先升级受影响组件，收紧API权限并清理高权限账号。

本文介绍AIVibePentest，一个基于AIAgent架构的自动化渗透测试工具，支持多Agent并行执行Web应用、API等黑盒测试。工具提供详细安装使用流程，包括多阶段渗透测试步骤和报告生成功能。强调需获得授权并在虚拟机中运行，禁止非法使用。

2026年8月Oracle发布WebLogicServer9个漏洞补丁，其中CVE-2026-60702为认证后接管漏洞，CVSS评分9.9，影响多个版本。攻击者利用T3或IIOP协议，通过低权限认证可远程执行任意命令并横向影响同JVM其他组件。另有4个未认证远程代码执行漏洞。官方已发布补丁，建议立即更新。

DellPowerStoreT系列存在严重SMB漏洞CVE-2026-67271，CVSS评分9.8。攻击者无需身份验证即可通过网络发送特制SMB数据包触发越界写入，导致服务崩溃并可能实现远程代码执行。建议立即将PowerStoreTOS升级至5.0.0.2-2761110或更高版本，并在补丁部署前限制SMB及管理接口的网络访问。

该文档记录了一次针对金山云系统的渗透测试过程，重点包括通过子域名收集发现登录页面，使用御剑工具进行后台目录扫描找到Zabbix目录，并利用Zabbix的SQL注入漏洞获取数据库信息。关键发现包括无验证码登录页面和两个注入点，但管理员密码哈希未能破解。建议加强访问控制和漏洞修复。

Lazarus组织借虚假高薪招聘诱骗军工人员，结合SEO仿站与DLL侧加载投递恶意PDF工具。攻击利用Windows零日漏洞提权并部署内核Rootkit与无文件后门，窃取多国航空涉密资料。建议紧急安装补丁，管控软件安装权限并加强招聘审计与流量监控。