ZONE.CI 全球网

奇安信CERT发布WordPressClick2Shell核心预认证远程代码执行漏洞(QVD-2026-70986)通告，该漏洞影响WordPress多个版本，CVSS评分8.8，评级高危，POC和EXP已公开。攻击者可诱导管理员访问构造URL实现任意代码执行，完全控制站点。建议及时更新至安全版本，审计移除未使用主题，配置WAF拦截并加强日志审计。

本文实战复现了某社区平台的存储型HTML注入结合CSRF登出漏洞。攻击者通过逆向前端AES加密与MD5签名逻辑，利用WAF规则缺陷（标签名与<间空格、属性名大小写敏感、仅检测小写href）及换行符绕过过滤，注入恶意链接，结合GET方式登出接口实现点击即登出的CSRF攻击。建议敏感操作避免使用GET方式，并加强服务端输入校验。

本文围绕欧盟CRA第14条漏洞报告义务展开实战分析，核心要点包括：漏洞被主动利用（AEV）才触发报告义务，发现漏洞不等于AEV；24小时报告期限从制造商形成合理确定性认知时起算；第三方组件漏洞需判断产品中是否实际可利用；报告流程分24小时早期预警、72小时通报和14天最终报告三阶段；企业需提前准备SRP平台操作、协调CSIRT选择等。建议企业建立定位、验证、定性、响应四步漏洞响应链，并借助SBOM和SCA提升效率。

Linux内核曝出四个提权漏洞，分别命名为dirtyah6、tunderflow、pppoeject和diagspill，对应CVE-2026-80844、CVE-2026-81000、CVE-2026-68121和CVE-2026-74469，影响IPSec、tun/tap、PPPoE和SCTP诊断代码，可致本地提权至root，部分存在远程风险。上游已发布修复版本，建议升级至5.10.270等稳定版，并限制非特权用户命名空间及禁用相关功能。

pgAdmin4存在严重认证绕过漏洞CVE-2026-86863，影响6.2至9.17版本，攻击者可伪造HTTP头冒充任意用户包括管理员，CVSS评分9.8。官方已在9.18版本修复，建议立即升级并审查反向代理认证配置，启用可信代理和共享密钥校验。

本文为FreeBuf直播研讨会回顾，聚焦高危漏洞披露后企业的应急响应流程。核心观点包括：漏洞升级为安全事件需结合PoC、真实利用、资产暴露及业务重要性判断；第一小时目标为优先确认高风险资产与公网暴露面；补丁无法立即上线时可通过收缩暴露面、增加临时策略降低风险；小时级响应需提前打通情报、资产、授权与协同链路。文章强调漏洞情报仅是起点，企业需提升从知道到行动的响应速度。

360漏洞研究院披露四个Linux内核本地提权漏洞DirtyAH6、TUNderflow、PPPoEject和DiagSpill，影响多个发行版，其中两个可远程触发致内核崩溃或拒绝服务，修复已进入上游稳定版本。建议优先核查并安装包含修复的内核版本，暂时无法更新的系统可收紧非特权用户命名空间并禁用相关内核模块，容器环境需核查capability权限。

CVE-2026-76460是影响CiscoISE的严重认证绕过漏洞，CVSS评分10.0，已被CISA列入KEV目录。漏洞源于API网关未强制执行JWT校验，攻击者可未认证获取管理员权限，甚至触达受限的root命令执行。升级是唯一修复手段，文章提供了各版本修复矩阵。

本期安全风险日报聚焦六大威胁，最紧迫为Linux内核三漏洞遭在野利用并列入CISAKEV，需优先升级；另有IBMMQAppliance满分未认证RCE、JoomlaSPPageBuilder未认证0day在野利用、IBMGuardium反序列化漏洞等，建议优先修复满分漏洞与内核在野清单，同步强化终端检测与上传接口防护。

文章指出EPSS预测的是漏洞未来30天被利用的可能性而非企业资产失陷风险，不能仅按分数排序。建议分层处理：先核对适用性，再纳入已利用证据与本地可达路径，最后结合业务影响安排修补，并动态更新队列。

Chrome153版本修复230个安全漏洞，包含一个已被积极利用的零日漏洞CVE-2026-87491，该漏洞存在于V8引擎中，为越界写入问题。更新还修复了5个严重级别漏洞及43个高危漏洞，涉及ANGLE、PDFium等组件。谷歌建议用户立即更新至153.0.8010.36或更高版本，以防范潜在攻击风险。

本文分享了利用AIAgent多代理编排在漏洞赏金大赛中夺冠的经验，核心是让AI负责侦察、利用、验证和报告生成，人类负责编排与决策。通过6个专业化代理顺序执行共享上下文，结合上下文构架、压力提示等策略提升GLM5.2输出质量，并强调漏洞链式攻击与报告质量的重要性，最终以3558.8分夺冠。

本文介绍一套面向CNVD通用型未授权漏洞的批量挖掘工具包，包含Skill本体、9个Python脚本及28条端点字典，覆盖测绘、验证、查重抽验全流程。工具强调合规红线，仅做只读验证，需授权使用。文章为公众号推广性质，引导关注获取下载链接。

本文分享AIagent提示词模板，适用于渗透测试、红队攻防及SRC漏洞挖掘工作流。模板包含角色定义、安全围栏、能力覆盖、作战流程及交付规范，强调授权边界与最小化原则。文章后半部分为SRC漏洞挖掘培训课程推广，介绍课程价格、特色及报名方式。

本文介绍Desinter\\_scan，一个基于ClaudeAI智能评分的多Agent侦察系统，通过23个Collector四阶段流水线完成资产发现、服务探测、深度扫描与AI评估，按六维度评分输出五层优先级报告，直接指导攻击目标选择。实战中一次扫描发现141个子域与201个漏洞目标，显著提升红队侦察效率。建议安全人员关注其AI辅助决策与自动化流程。

该文档介绍一个ClaudeCodeskill，用于将已确认漏洞写成可提交SRC或0day平台的DOCX报告。其核心约束包括双重审查机制、Step式PoC规格、截图铁律及去AI腔硬规，并内置固定DOCX版式。适用于企业SRC、EDUSRC及0day报告场景，旨在从源头过滤垃圾报告并提升提交稿质量。

本文复现了CVE-2026-39363漏洞，该漏洞影响Vite多个版本，攻击者可通过不带Origin头连接开发服务器WebSocket，调用fetchModule方法并结合file协议读取服务器任意文件。文章提供了受影响版本范围、Docker环境搭建步骤、BurpSuite抓包验证流程及完整payload，确认漏洞利用成功，并附有参考文献。

本文推荐一款自动化文件上传漏洞检测工具UploadRanger，该工具集成一键扫描、抓包代理及Payload生成等功能，支持WebShell与Polyglot载荷生成，安装简单需Python环境建议在Kali中运行。文章指出文件上传漏洞危害严重，该工具集成度高值得肯定，适合安全测试人员快速检测上传点漏洞。

本文介绍了AI大模型Web站点在渗透测试中常见的实战漏洞，包括API密钥泄露、XSS漏洞、SSRF漏洞、提示词注入、系统提示词泄露等，并提供了相应的防范措施。文章强调了网络安全的重要性，并警告读者不要非法利用漏洞。

本文记录一次针对教育行业SRC的通杀漏洞挖掘实战，核心为Fastjson1.2.39反序列化漏洞利用。作者通过前端泄露的.map文件获取接口，探测确认后端使用Fastjson且开启AutoType，利用JdbcRowSetImpl链进行JNDI注入实现命令执行。文章详细展示了多种WAF绕过技巧，包括脏数据填充、双重编码命令、二开JNDIExploit工具等，并演示了在低权限下通过修改工具源码读取配置文件。文章最后附有培训课程推广。