ZONE.CI 全球网

安恒信息CERT发布微软10月安全更新风险提示，披露多个Windows高危漏洞，涉及权限提升与远程代码执行类型，危害等级涵盖高危和严重，CVSS评分最高达9.8。建议用户及时关注官方补丁更新，加强系统安全防护，防范潜在攻击风险。

GitLabCE/EE存在高危整数溢出漏洞CVE-2026-97229，攻击者可通过特制正则表达式在CI/CD配置中触发RCE，以git用户身份执行任意命令。影响19.2至19.4部分版本，官方已发布修复版本，建议用户立即升级并采取限制公共项目访问等临时缓解措施。

F5发布安全公告修复三个NGINX漏洞，包括内存损坏和远程代码执行风险，影响NGINXOpenSource和NGINXPlus，提供升级和配置变通方案。

本文介绍百度安全团队开源的OpenRASP-IAST灰盒安全扫描工具，该工具结合运行时代理分析与自动化模糊测试，可精准检测SQL注入、命令注入、目录遍历等十大Web漏洞，误报率低。文章详细阐述了其Preprocessor、Scanner、Monitor三大核心模块架构、插件机制、部署方式及动态速率调整等高级特性。工具支持多目标扫描与云端管理，适合已获授权的安全测试场景。但文末含广告推广内容，需注意甄别。

本文记录一次渗透测试过程，从信息泄露入手，通过目录扫描发现接口并识别框架，转为白盒审计。利用AI辅助代码审计，发现排序字段SQL注入漏洞，结合xp\\_cmdshell实现RCE，获取系统权限。文章后半部分为作者付费圈子、知识库等商业推广内容。

Atlassian披露CVE-2026-21589严重漏洞，CVSS评分9.3，影响Confluence、Jira等8款自托管产品。攻击者无需认证即可利用双重URL解码缺陷实现任意文件读取，可能导致凭据泄露和权限提升。建议立即升级至安全版本，或采取网络隔离、WAF过滤等临时缓解措施。

本周CNNVD接报漏洞4030个，其中包括CitrixNetScalerApplicationDeliveryController输入验证错误漏洞等重大漏洞，建议用户及时确认产品版本并采取修补措施。CNNVD统计显示，谷歌公司新增漏洞最多，授权问题类漏洞占比最大。超危漏洞178个，高危漏洞668个，中危漏洞708个，低危漏洞141个。

GitHub安全实验室用自研开源TaskflowAgent在安卓应用中挖出24个漏洞，包括OsmAnd静默定位追踪和维基百科安卓版账号接管。任务流通过定制入口点分类和漏洞类型清单引导LLM发现复杂漏洞，但LLM估不准严重性且易报低危误报，需人工复核。建议结合严格与宽泛提示词多轮运行，并让LLM写PoC验证。

Laranode面板1.2及更早版本存在CVE-2026-100520任意文件写入漏洞，源于上传接口路径参数未过滤导致跨租户写文件，可致远程代码执行，CVSS3.1评分8.8，POC已公开。建议立即升级至1.2.1版本修复。

Anthropic推出OSSScanner服务，面向符合条件的开源项目免费提供AI漏洞扫描，利用高能力模型自动分析代码并生成漏洞报告、复现步骤及修复补丁。该服务在隔离环境构建项目，需项目核心维护者申请。报告未经人工审核，存在误报风险。文章建议安全团队将AI审计纳入研发体系，并重视漏洞验证与修复闭环。

文档为2026年10月13日安全威胁情报速递，汇总多项高危漏洞与数据泄露事件。重点包括IBMi7.3至7.6版本存在严重代码注入漏洞CVE-2026-93886及关键认证缺陷，FrappeERPNext多个版本存在SQL注入漏洞。数据泄露方面，暗网行为者出售百万条被盗凭据，Malwarebytes报告近900万条记录因弱密码泄露。行业动态包括IonQ收购零信任公司Elisity。建议相关用户尽快关注补丁更新。

本文探讨AI在漏洞挖掘中的辅助作用，强调AI可降低重复性工作成本，辅助前端解析、接口梳理、权限验证和证据整理。通过多个实际案例展示对象级授权、功能级授权、令牌处理、接口暴露和组件漏洞等风险，强调授权范围内测试和人工复核的重要性。

本文探讨AI提升漏洞发现效率但企业修复能力不足的问题。AI可快速生成大量候选漏洞，但需人工验证确认，且修复环节受业务兼容性、团队协作等制约。建议企业合并重复结果、区分候选与确认漏洞、按真实风险排序、明确修复责任并复测，以缩短闭环而非仅增加发现。

思科披露Nexus3000和9000系列交换机存在三个严重漏洞，未经身份验证的攻击者可利用NGOAM功能中的堆栈缓冲区溢出漏洞，以root权限执行任意代码或导致设备重启，CVSS评分9.8。思科已发布软件更新修复，建议管理员检查NGOAM状态并升级，或在不必要时禁用该功能以消除攻击途径。

文档汇总2026年10月14日六条高危安全风险，覆盖软件交付链路、企业核心系统与网络设备。关键漏洞包括GitLab未认证代码执行、SAP云开发工具包凭据外泄、IBMi管理界面代码注入、Linksys路由器缓冲区溢出、MikroTik授权绕过及ApacheCamelKaravan路径穿越。建议优先升级交付链路组件，按官方说明为SAP与IBMi安装补丁，轮换凭据，收敛网络设备管理面并收紧账号权限。

本文介绍一款AI赋能的漏洞播报系统，可7\\*24小时监控全网漏洞，间隔10分钟自动抓取多源漏洞信息，利用LLM自动生成PoC、漏洞简介、原理及攻击范围，支持nuclei模板双向同步、自动中文化及文件式存储，内置Web控制台，并提供快速部署与API使用指南。工具获取需关注公众号回复关键字，属推广性质。

本文分享一次AI辅助渗透测试实战：目标为ThinkPHP框架系统，先尝试Nday未果后回归业务逻辑，发现前端验证码可绕过。利用AI辅助发现数组参数SQL注入实现登录绕过，进入后台后进一步发现文件上传组件未做校验，可无认证上传PHP文件并执行，最终getshell。文章展示了AI在漏洞挖掘中的高效应用，并给出完整复现过程。

本文为GraphQL漏洞三部曲收官篇，聚焦进阶攻击手法，涵盖内省关闭后的字段枚举、订阅长连接滥用、别名击穿限流器及GraphQLCSRF等技巧，并整理19份HackerOne实战报告与6份深度资源，按攻击类型速查，最后给出红队实战Checklist与工具栈建议，可操作性强。

本文介绍拉黑后消息重放漏洞，源于服务端未校验拉黑状态，攻击者可重放旧请求绕过拉黑继续发送消息，导致拉黑功能失效并可能投递恶意内容。文章提供测试流程与危害分析，建议服务端校验拉黑关系。

本文披露大华智慧园区综合管理平台poi接口存在文件上传漏洞，攻击者可构造恶意请求上传JSP木马获取服务器权限。文章提供漏洞复现的POST与GET请求示例，并建议关闭互联网暴露面或升级至安全版本。同时推广付费漏洞圈子，内容仅供技术学习，禁止非法利用。