ZONE.CI 全球网

DefectMine是一个AI辅助代码审计与漏洞挖掘平台，通过多Agent协同完成代码审计，支持项目版本管理、全仓库与局部扫描、漏洞审计复核、可配置扫描知识库、LLM配置切换及报告导出等功能。环境要求Python3.10+、Node.js18+及可访问的LLM服务，安装分前后端进行。该平台旨在提升代码审计效率与漏洞发现能力。

SplunkEnterprise存在严重漏洞CVE-2026-76268，CVSS评分9.8，源于PatroniRESTAPI缺少身份验证，攻击者可未授权执行任意命令。影响10.2.0至10.2.6及10.4.0至10.4.2版本，修复版本为10.2.7和10.4.3。建议立即升级，或禁用PostgreSQLsidecar组件并限制网络访问。

文档披露高校期刊投稿系统存在水平越权漏洞，普通用户通过抓包修改id即可恶意撤销他人投稿，造成业务干扰、数据泄露及平台公信力受损。建议增加后端资源归属校验、输入参数校验、遵循最小权限原则并完善日志审计。

本文详细描述了任意用户密码重置漏洞的挖掘过程，通过注册测试账号、点击忘记密码、抓包修改响应包将flag值改为true绕过验证步骤，成功重置任意用户密码。文章后半部分为代码审计培训课程广告，介绍课程大纲、价格及常见问题。核心结论是展示了逻辑漏洞的利用手法，建议企业加强服务端验证逻辑，避免仅依赖前端响应包控制流程。

本文汇总2026年10月15日信息安全快讯，涵盖NGINX漏洞、curl修复、Linuxvhost漏洞PoC公开、仿冒VPN下载站、AI代理构建攻击链、SmartScreen提权漏洞、iPhone利用工具包、MetaGitHub仓库入侵及WindowsShell零日漏洞等。建议企业优先核对受影响版本并部署补丁，强化多因素认证与最小权限，监控异常访问行为。

本文介绍利用Workbuddy搭配Skill技能库自动化复现垂直越权漏洞的实战流程，涵盖接口收集、自动化探测、人工复现、根因分析与修复方案，并生成SRC报告。核心结论是后端仅校验token有效性而缺少角色权限校验导致越权，修复需增加角色校验与接口白名单。文章强调仅限授权SRC合规测试。

本文介绍开源AI漏洞挖掘工具AgenticBugHunter，其核心创新在于将侦察、狩猎、验证、报告全流程Agent化，并通过7问验证闸门过滤弱发现，避免无效报告浪费。工具支持9个专职Agent分工协作，提供DOMXSS无头浏览器真实验证、跨会话记忆等功能，支持本地模型零成本运行。文章提供详细安装使用指南及避坑建议，适合漏洞赏金猎人、渗透测试团队及AI安全研究者。

本文分析漏洞工单积压的根因，指出整改堵点常在补证、验证和交接环节而非研发修复速度。建议按进入条件拆分状态、用最小证据记录、区分等待与作业时间、建立质量护栏，并给出状态流转、重复报告合并及漏退率等可操作方案，帮助安全团队定位积压瓶颈并推进有效整改。

摄星科技发布关键漏洞目录，新增GitLabCE/EE整数溢出等5个漏洞，包括详细描述和修复建议。

GitPython远程辅助组件存在注入漏洞（CVE-2026-110857），微软发布补丁修复超1400个漏洞，丹麦人口登记中心因弱密码泄露超880万条数据。文章包含行业动态、数据泄露、焦点漏洞等安全资讯。

PaloAltoNetworks发布安全更新，修复PAN-OSRCE高危0day漏洞CVE-2026-0322，CVSS评分8.6，已被利用攻击防火墙。漏洞影响管理接口，攻击者需认证凭据和网络访问权限。已为多个版本发布修复方案，CISA已纳入KEV清单并要求联邦机构10月17日前缓解。建议用户升级至不受影响版本并限制管理接口访问。

全球具身智能应用创新挑战赛漏洞挖掘挑战赛公布决赛晋级名单及优胜奖名单，展示参赛队伍成果及奖励信息。

该文介绍《2026智能体安全漏洞治理蓝皮书》发布。蓝皮书由公安部第三研究所等机构联合出品，针对智能体安全漏洞治理提出框架。文章指出智能体安全面临风险边界扩展、后果外溢、治理滞后三大挑战，建议完善资产可见性、动态授权、场景化评价等机制，为智能体安全有序发展提供参考。

本文介绍BlindROP盲返回导向编程技术，阐述其攻击条件与栈溢出原理，重点提出使用二分算法测试栈溢出长度的方法，相比传统线性测试效率显著提升，案例中仅用14次连接完成测试，并附完整Python实现代码。

CUPS打印系统存在高危本地权限提升漏洞，CVSS评分7.8，低权限用户可通过lpadmin组获取root权限，影响Ubuntu26.04LTS等系统。POC已公开，官方暂未发布补丁。建议收紧lpadmin组权限、处置特权serial后端、审计打印队列、限制网络暴露并关注官方公告。

本文分析DockerMac沙箱逃逸漏洞CVE-2026-77179，源于virtio-fs路径解析缺陷，容器内三行bash即可读写宿主机文件系统。DockerDesktop与Sandboxes受影响，已分别于4.88.0和0.42.0版本修复。建议用户立即检查版本并升级，防范潜在逃逸风险。

360在国家信息安全漏洞共享平台2025年度技术组支撑单位能力评价中获三项荣誉，涵盖协作特别贡献、漏洞应急与信息报送。其依托360漏洞研究院及AI攻防系统图龙锋，累计挖掘漏洞超万个，260个获国家级核验，覆盖主流AI产品。建议关注其AI驱动漏洞挖掘技术及全链路漏洞治理体系。

SolarWinds发布安全更新，修复AccessRightsManager中CVSS8.8分的高危漏洞CVE-2026-28326，该漏洞源于硬编码静态密钥，可能导致未认证远程代码执行，影响ARM2026.2及之前版本，已在2026.2.1中修复。此外还修复了WebHelpDesk的SAML认证绕过及拒绝服务漏洞，以及Serv-U的16个漏洞。建议用户尽快升级至修复版本。

本文为pgAdmin4Webserver身份认证绕过漏洞（CVE-2026-86863）的安全通告。漏洞评分9.3，等级严重，攻击者无需权限即可通过网络利用，在启用webserver认证方式时，可构造身份请求头冒充任意用户包括Administrator账户。影响范围为6.2至9.18版本，建议升级至9.18或更高版本，并加强访问控制和权限管理。

启明星辰监测到CUPS配置及权限边界缺陷导致本地权限提升漏洞，评分7.8高危，攻击向量为本地，需属lpadmin组且满足特定系统条件，PoC已公开。官方暂未提供修复版本，建议限制lpadmin组成员、加强CUPS配置及服务异常日志审计监控，并定期更新补丁。