ZONE.CI 全球网

2026年8月研究者揭示ISO15118即插即充支付的中继攻击，攻击者通过假充电站中继合同证书与签名，实现自己充电他人买单，根源在于签名不含充电站标识，属于车联网安全漏洞。

vbulletin存在严重身份验证前远程代码执行漏洞CVE-2026-61511，影响6.2.1及更早版本，源于模板运行时的不安全eval操作，攻击者可执行任意PHP代码并完全攻破服务器。建议紧急升级至6.2.2或应用补丁，检查日志和异常请求，并限制模板渲染端点访问。

本文介绍网站资源被盗链的常见问题及护卫神防盗链工具的解决方案。文章指出手动配置Referer规则存在技术门槛高、易出错等痛点，而护卫神提供可视化配置界面，支持白名单、空Referer拦截、自定义拦截结果及日志功能，适配主流Web服务器，适合中小网站快速部署基础防护。

本文介绍一款名为pentest_rs的渗透测试工具集，涵盖资产侦察、漏洞扫描、漏洞利用、后渗透操作及攻击产物分析五域技能，并支持rs-scripting脚本创作。工具运行于raystyle/prs_workspace环境，仅限合法授权测试。文档提供安装目录结构、常用命令及通过公众号获取下载链接的方式，并附免责声明强调禁止非法使用。

暴风(storm)是奇安信星图实验室研发的基于agent的全自动源码fuzz工具，两个月内在25个主流开源项目中挖出54个真实漏洞，其中8个已获厂商确认修复。它通过语义理解与覆盖率数据回流实现增量轰炸，覆盖人工fuzzdriver未触及的路径，分支覆盖率远超现有工具。基于qwen3.6-27b模型，可在24GB显存笔记本上运行，全程无需人工介入，适用于供应链安全评估。

安全研究人员发现两个突破OpenAICodex沙箱的高危漏洞：Heapjack攻击冒充可信组件逃逸沙箱，可在最严格只读模式下远程执行命令；Overpatch漏洞利用特殊指令修改沙箱外文件。两漏洞均已在8天内修复，建议用户升级至CodexDesktop26.818.21641和CLI0.149.0版本。

文档为CNVD发布的2026年9月14日至20日关注度较高的产品安全漏洞周报，涵盖境外与境内厂商产品。境外涉及WordPress插件SQL注入与XSS、GoogleChrome及IvantiNeuronsforITSM授权漏洞、IBMWebSphere权限提升；境内涉及HuaweiHarmonyOS权限控制、Tenda及TOTOLINK多款路由器缓冲区溢出漏洞。建议相关用户关注官方公告并及时修复。

微软修复AzureAIFoundry中CVSS满分漏洞CVE-2026-85889，该漏洞因关键功能缺少身份验证，可被未授权攻击者通过网络实现提权，无需交互。微软同时修复了Microsoft365Copilot、AzureDatabaseforPostgreSQL等多个严重漏洞，并提及9月补丁星期二修复创纪录的974个漏洞，其中两个已遭活跃利用。

OpenSSLQUIC服务端存在双重释放漏洞CVE-2026-18798，由微步XGPT发现并报送官方。未认证攻击者发送畸形INITIAL包可触发堆损坏，导致拒绝服务，特定条件下可远程代码执行。影响多个版本，官方已发布修复补丁，建议用户尽快升级，并可通过防火墙阻断QUIC端口或禁用QUIC作为临时缓解措施。

安全公司Hacktron研究人员利用ClaudeOpus5，通过Discourse论坛libheif图像解码漏洞（CVE-2026-32882）结合OpenAI登录系统弱点，接管多名OpenAI员工ChatGPT和Codex账户并进入内部代码仓库，全程不到72小时。OpenAI支付6500美元赏金。文章建议更新libheif至1.23.4、限制单点登录信任范围，并警惕AI辅助攻击门槛降低。

CNVD周报显示本周共收录980个漏洞，其中高危546个，0day占比90%，涉及IBMWebSphere、GoogleChrome等多个厂商产品。建议用户及时更新补丁，重点关注SQL注入、命令注入等高危漏洞，加强系统防护。

本文汇总2026年9月14日至20日期间多项网络安全事件。CNVD周报显示本周共收录479个漏洞，高危164个，电信行业风险突出，修复率仅78.9%。PAYLOAD勒索软件滥用GPO实现无加密勒索，利用AD策略全域破坏。Amazon封禁MetaAIAgentMuse，引发AI购物代理数据安全争议。Google因违反GDPR被爱尔兰DPC罚款4.03亿欧元。Windows9月安全更新导致FileHistory备份功能失效。

本文探讨AI编程时代多语言混写项目的代码安全审计挑战，指出现代企业级项目普遍采用Java、Python、Go、JS等多语言混写架构，传统SAST工具基于单语言静态规则扫描，无法有效追踪跨语言调用链漏洞。文章通过具体下单场景展示从TypeScript前端到Python风控服务的完整污点链，说明AI编程安全通过大模型语义理解与关联推理能力，可实现跨语言全链路漏洞检测，已成为企业安全团队的基础能力。

文章指出Prometheus指标端点泄露常被忽视，但实际可通过泄露的API信息拼接构造获取敏感数据，甚至可能泄露APIKey。作者建议SRC漏洞挖掘中遇到此类问题应尝试提交，并强调最小权限原则，认为没有绝对安全，只有相对安全。

谷歌发布Chrome153版本修复42个安全漏洞，含3个严重漏洞，涉及WebGL越界读取及Workers释放后使用等高危问题。建议用户立即更新以防范内存安全、竞态条件及授权缺陷，企业需关注ServiceWorker等组件风险，利用模糊测试技术提升防御能力。

本文探讨AI辅助漏洞挖掘中的三种信息失真问题：边界提示词失效、上下文压缩丢失细节、多agent传话放大失真。解法是将信息从模型语言转入机器结构：边界写进配置、状态用结构化数据、事实进共享库，并辅以机器校验、证据链和人工抽检三道检查。

国内首部智能体安全漏洞治理蓝皮书发布，由公安部第三研究所联合360等单位编制。蓝皮书指出智能体安全漏洞具有继承性等五大特征，治理正转向智能协同模式。360自研的图龙锋系统作为实践案例被写入，已累计挖掘漏洞超10000个，其中260个获权威核验，覆盖多个重点领域。蓝皮书提出构建法律制度、运行控制、全生命周期治理及产业协同的治理框架。

本文披露CVE-2026-20242漏洞，影响CiscoFMC管理平台，CVSS评分9.8，源于外部数据库访问功能对Java序列化数据缺乏校验，攻击者可无需凭据远程执行代码获取root权限。思科已发布修复版本，建议升级前禁用该功能作为临时缓解措施。

本文介绍Atlantis系统，作为AIxCC冠军，通过多智能体协同架构融合模糊测试、符号执行与大语言模型，实现漏洞发现、补丁生成与SARIF分析闭环，漏洞发现率61%，准确率91.27%。其创新在于将大语言模型深度嵌入漏洞挖掘各环节，但系统复杂度高、资源消耗大，未来安全自动化将向机器主导、人类监督的智能体时代发展。

WordPress核心主题预览功能存在选择器注入漏洞（Click2Shell），影响7.1.1以下版本，结合第三方主题缺陷可实现远程代码执行。官方已发布补丁，建议升级至7.1.1并清理不必要主题、限制后台访问以降低风险。