ZONE.CI 全球网

微软10月修复1413个漏洞，其中80个高危、2个零日（1个在野利用）。漏洞主要集中在Windows系统，AI加速了漏洞发现。真正需警惕的是在野零日CVE-2026-96951及今年CISAKEV目录中的26个漏洞。建议用户优先安装10月累积更新，并关注MOTW机制失效风险，可通过脚本自查补丁状态与文件网络标记。

西部数码nas的login\\_mgr.cgi存在命令执行漏洞，攻击者可获取系统权限。影响范围为西部数码nas，已提供poc复现方法，建议联系厂商打补丁或升级版本，并增加web应用防火墙防护。

搜狗输入法Windows版存在高危远程代码执行漏洞CVE-2026-51990，源于sgbiz协议处理器参数验证不足，可被利用加载恶意页面并部署GRAYRABBIT后门，影响千万级用户且已在野利用。建议升级至16.3.0.3498或更高版本，或通过注册表删除sgbiz协议处理器作为临时缓解措施。

Docker修复了一处存续两年多的高危漏洞CVE-2026-105445，攻击者可利用个人访问令牌在账号转组织过程中冒用他人身份操作镜像仓库，CVSS评分9.4。Docker已完成修复并全面排查约30.4万次推送操作，未发现实际利用证据。建议用户轮换访问令牌，检查异常令牌及组织账号，组织应优先使用组织访问令牌。

绿盟科技CERT发布GitLab远程代码执行漏洞CVE-2026-97229通告，该漏洞源于CI/CD配置对正则表达式验证不充分，可致整数溢出并以Git账户身份执行任意代码，CVSS评分10.0，影响多个GitLab版本。官方已发布修复版本，建议用户尽快升级至安全版本，无法升级时需限制系统访问。

绿盟科技CERT监测到微软发布10月安全更新，修复1413个安全问题，涉及Windows、Office、SQLServer、Azure等产品，含75个关键漏洞及1个在野利用漏洞。重点漏洞包括AzureAppService远程代码执行、MicrosoftBookings权限提升等，CVSS最高9.9。建议相关用户尽快更新补丁防护，重点关注高危漏洞。

网络安全资料库免费提供，包含靶场、漏洞报告和CTF指南，帮助学习者系统学习网络安全知识，提高实战能力。

文档汇总金蝶产品线安全漏洞，涵盖云星空、EAS、Apusic等产品，包括反序列化RCE、任意文件上传、文件读取、SSTI、XXE等漏洞类型，提供影响版本、漏洞URL、POC要点及修复建议，用于安全自查、漏洞管理和补丁跟踪，强调仅限授权测试。

GitLab发布CVE-2026-97229安全公告，该漏洞为CE/EE版本CI/CD正则表达式编译过程中的整数溢出漏洞，CVSS评分10.0，已有公开利用验证。受影响版本包括19.2.x至19.4.x多个分支，攻击者可利用恶意正则表达式以git用户权限执行任意命令。建议受影响实例尽快升级至修复版本，暂无法升级时可采取限制用户注册、监控异常等临时缓解措施。

思科发布紧急公告，其ISE及ISE-PIC存在严重零日漏洞CVE-2026-76460，CVSS评分10.0，已被攻击者利用，可致未认证远程攻击者绕过身份验证并获取root权限。思科已发布补丁，建议管理员尽快升级至修复版本，并可通过iACL限制访问作为临时缓解措施，同时检查日志排查入侵迹象。

n0n勒索组织于2026年10月12日一次性点名38家全球航运港口物流企业，要求10月19日前支付赎金。SOCRadar分析认为攻击可能源于共享应用程序漏洞而非38起独立入侵，数据量从60MB到2.4GB不等。建议相关组织映射共享平台、修补暴露接口、轮换凭证并准备交易对手暴露。

该文档为华顺信安威胁情报中心发布的安全风险通报，汇总了六项高危漏洞与两起大规模数据泄露事件。漏洞涉及IvantiConnectSecure认证绕过、文档协作组件命令注入、AI存储平台及仓储系统等，多数无需认证即可利用，部分已在野利用。两起泄露事件波及约1464万条客户信息及16家韩国金融机构。建议企业优先排查公网暴露系统、及时升级补丁、加强访问控制与日志审计。

XBOW公司研究人员利用公开OpenAI模型，在六天内构建了价值25万美元的Chrome全链漏洞利用，影响约10亿Windows用户。攻击链分三个阶段：V8引擎漏洞、WebP解码器漏洞及Crashpad漏洞，成功突破两层沙箱。AI与人类协同开发模式将传统6-9个月的利用构建时间压缩至6天，成本约4万美元。谷歌已修复相关漏洞，建议用户更新Chrome至152.0.7977.82或更高版本。

该研究揭示影响Anthropic、OpenAI、Google等主流LLMAPI的严重架构漏洞：无状态API将加密推理轨迹返回客户端，且加密块在同一提供商生态内可跨会话、跨用户、跨模型互换。攻击者可将强模型生成的加密推理块注入同提供商弱模型，诱导其作为解密预言机逐字转录明文，实现蒸馏攻击、隐私提取、隐藏有害信息与提示注入。研究发现可恢复367个PII、182个凭证，且Kimi-K3、GLM-5.2对专有推理存在行为兼容性异常但无法因果证明蒸馏。缓解方案包括服务器端存储推理轨迹、密码学绑定、API网关强制跨模

本文深度拆解CVE-2026-83498漏洞，该漏洞影响WindowsSmartScreen安全飞地，攻击者通过4字节固定值写入配合时序竞态漏洞，在VTL1隔离环境中实现任意代码执行。微软已发布补丁KB5124008修复，但存在BYOVE自带脆弱飞地攻击隐患，建议审计历史遗留enclaveDLL加载行为。

n0n勒索组织一次性点名38家航运港口企业，疑因共享应用漏洞而非独立入侵，统一截止10月19日。数据量差异大、内容狭窄、凭证不匹配支持共享入口判断。建议相关组织映射共享平台、修补暴露接口、轮换凭证并准备对手暴露。事件凸显海事供应链互联风险。

XBOW团队借助GPT-5.6Sol模型，6天花费约4万美元算力完成Chrome全链漏洞利用，获Google25万美元奖金，为Chrome赏金史上第二次该级别奖励。团队由四名人类研究员加一名AI组成，临阵更换方案成功。事件显示漏洞发现成本正崩塌，防御者应缩短补丁周期、加大主动测试并将AI纳入漏洞管理。

本文为隐雾安全推出的AI自动化漏洞挖掘实战训练营招生软文，课程以SRC漏洞挖掘为核心，融入AI辅助与自动化能力，涵盖渗透测试Agent开发、skill设计、MCP工具调用等，采用10人小班实战带挖模式，周期3-4个月，价格3600元，10月24日开班，报名赠送内部AI漏洞挖掘skill及自动化工作流。

本文介绍AI时代下安全圈出现的新机遇，有人通过AI自动化漏洞挖掘赚取数十万，有人通过售卖Skill获利。文章探讨普通人如何利用AI提升效率、拉近与高手的距离，并推广一个AI自动化漏洞挖掘实战训练营，强调在AI时代仍需重视自身能力与价值。

该文档披露CRMEB系统image\\_base64接口存在SSRF漏洞，未授权攻击者可构造恶意请求探测内网，严重可致服务器被控。影响范围为CRMEB全版本，提供Fofa空间测绘语法及Nuclei检测模板，建议联系厂商升级补丁并部署WAF防护。