ZONE.CI 全球网

Atlassian多款DataCenter产品存在预认证任意文件读取漏洞CVE-2026-21589，源于共享库路径处理缺陷，攻击者利用双冒号绕过路径规范化，无需认证即可读取WEB-INF下敏感文件，CVSS评分9.3。墨云VackBot已支持检测。建议及时升级至官方修复版本，并排查资产风险。

GitLab发布紧急补丁修复CVE-2026-97229未授权远程代码执行漏洞，CVSS满分10.0。漏洞源于CI/CD正则表达式编译器整数溢出，无需认证即可远程利用，影响私有化部署的19.2.0至19.4.2版本。建议立即升级至19.2.8、19.3.5或19.4.2及以上版本，升级前需完整备份数据。

西门子披露S7-1500PLC网页服务器八个漏洞，三个严重级别CVSS4.0评分9.4，暂无补丁。漏洞位于Trace页面存在XSS风险，需诱骗授权用户导入恶意跟踪文件触发。受影响产品包括S7-1500CPU及ET200SP等系列。建议禁用不必要网页服务器、限制端口访问、仅上传受信任跟踪文件并隔离OT网络。

搜狗输入法Windows版存在高危远程代码执行漏洞(CVE-2026-51990)，影响千万级用户，CVSS评分8.8。漏洞源于sgbiz协议处理器参数验证不足，可被利用部署GRAYRABBIT后门，已发现在野利用。建议用户立即升级至16.3.0.3498或更高版本，并可通过删除注册表项临时缓解风险。

蚁景网络安全文章，介绍如何轻松获取并发、重放和安全漏洞信息。

微软10月补丁日修复1413个漏洞含3个零日，其中1个已在野利用。终端安全正从传统杀毒向体系化运营转变，面临固件层与AI智能体攻击两大新方向，人为因素仍是关键入口。建议48小时内修补严重漏洞、部署EDR检测响应、核实可疑附件与语音电话。

微软发布10月安全更新，修复Windows多个产品的高危漏洞，包括DynamicsBusinessCentral远程代码执行、WebDAV特权提升等。建议相关用户及时更新补丁修复漏洞，防范潜在攻击风险。

本文为推广SRC漏洞挖掘副业的软文，对比上班与挖洞的收益差异，介绍漏洞盒子、补天及大厂SRC等平台，建议新手从综合平台入门再进阶大厂，强调技术积累与时间自由优势，文末引导读者获取所谓无偿学习资料，实为引流推广。

本文报道GitLabCE/EE存在远程代码执行漏洞CVE-2026-97229，因正则表达式校验不足导致整数溢出，特定条件下未认证用户可通过CI/CD配置执行任意代码。影响版本为19.2至19.4.2，官方已发布修复补丁，建议用户及时升级或采取临时缓解措施。

本文为GitLabCI/CD正则表达式编译器整数溢出漏洞CVE-2026-97229的预警，该漏洞无需认证即可远程代码执行，影响19.2、19.3、19.4分支较早版本，官方已发布修复版本19.2.8、19.3.5、19.4.2。建议优先升级公网暴露实例，无法立即升级时移出公网并收紧权限，同时审计异常请求并轮换凭据。

IvantiConnectSecure企业级安全远程访问网关存在命令执行漏洞，攻击者可远程利用该漏洞执行任意命令，影响22.8系列和25.1早期版本，已发布补丁。

微软发布2026年10月安全更新，包括1413个漏洞，其中76个高危，1334个严重，涉及众多组件，建议用户及时更新补丁。

华为终端安全奖励计划调整漏洞报告处理规则，强调人工分析和验证，优先处理严重威胁用户安全的完整攻击链，并规范白帽子参与行为，调整工具类漏洞受理范围。

大华智慧园区综合管理平台存在SQL注入漏洞，攻击者可获取数据库信息或权限，建议厂商打补丁或升级版本并增加WAF防护。

腾讯朱雀实验室借助AI多智能体系统发现Linux内核vhost子系统高危漏洞CVE-2026-74580，潜伏近9年，可本地提权至root，特定场景下虚拟机可逃逸宿主机。受影响版本为Linux4.11至7.2-rc4，建议升级内核修复，临时缓解需收紧vhost设备节点权限。

谷歌大幅调整Chrome漏洞奖励计划，内存损坏漏洞基础赏金提升四倍至2000美元，沙箱逃逸漏洞最高可获2万美元奖励。中危非内存安全漏洞若含修复方案可获2000美元，同时恢复Fuzzer工具贡献奖励2000美元。新规则即时生效，适用于2026年4月30日后提交的报告，旨在完善内部安全测试机制。

谷歌发布Chrome155版本更新，修复37个安全漏洞，含7个严重级别漏洞，涉及浏览器、PDF、网络、媒体等多个组件，多为缓冲区溢出和释放后重用问题。谷歌未确认漏洞已被利用，且限制技术细节公开。建议用户尽快更新至最新版本以确保安全。

本文报道了微软于2026年10月13日发布的3个WindowsBitLocker漏洞公告，均标记为重要级别。其中两个为本地权限提升漏洞（CVE-2026-85920和CVE-2026-88070），分别涉及TOCTOU竞争条件和越界读取缺陷；另一个为需物理接触设备的安全功能绕过漏洞（CVE-2026-83500）。文档指出现有公开资料未说明受影响系统版本、补丁信息及实际攻击案例，建议查阅微软官方公告核实。

思杰NetScaler两个CVSS9.5的0Day漏洞遭在野利用，攻击者通过命令注入和DTLS内存溢出漏洞在公网设备部署定制版Platypus远控工具，该工具支持持久化、横向探测等功能。补丁无法清除已有后门，企业需升级至修复版本并排查日志、轮换凭证、检查高可用节点，将暴露设备视为失陷。

安恒信息CERT发布GitLab远程代码执行漏洞CVE-2026-97229预警，CVSS评分10.0，影响GitLabCE/EE19.2至19.4多个版本，攻击者可通过特制CI/CD配置在服务端执行任意代码。官方已发布修复版本，建议升级至19.4.2、19.3.5或19.2.8及以上，升级前可采取临时缓解措施限制公开项目写入和未认证访问。