ZONE.CI 全球网

本周CNNVD新增安全漏洞4276个，整体修复率87.68%，Linux基金会漏洞最多，授权问题类占比最大。重要漏洞涉及IBM、Dell、GoogleChrome及AI框架Langflow、WeKnora、vLLM等，建议相关用户及时关注厂商补丁并修复，防范跨站脚本、命令注入及服务端请求伪造等风险。

本文披露脸爱云一脸通智慧管理平台存在getMKh信息泄露漏洞，攻击者可通过构造特定请求获取敏感信息，可能导致数据泄露或服务器被控制。文章提供了资产收集特征与漏洞复现的HTTP请求示例，属于典型的信息泄露类漏洞分析，建议相关系统及时修复并加强访问控制。

360漏洞研究院披露WordPress核心未认证路径遍历漏洞CVE-2026-87902，CVSS评分8.1，影响多个版本分支，特定条件下可致远程代码执行。官方已发布修复版本，建议用户尽快升级至指定安全版本。360已成功复现该漏洞，并发布防护方案与检测规则，以降低被攻击风险。

本文披露吉林某大学存在的四个连锁安全漏洞：未授权接口泄露学生信息及userid、任意用户密码重置、登录无验证码可爆破学号、存储型XSS。因默认密码123456，攻击者可重置全校学生密码并植入XSS，危害严重。建议修复越权访问、增加验证码及强化密码策略。

制造业频遭勒索攻击，根源不仅是漏洞修复，更在于身份与配置管理缺陷。BlackKite报告显示，约70%制造企业存在凭证泄露，配置错误是最常见安全短板，中型企业成主要目标。建议优先修复已知被利用漏洞，加强IAM和邮件安全配置，关注供应链风险。

第十六届网络安全漏洞分析与风险评估大会在重庆举办，聚焦人工智能发展与安全，设主论坛及四个分论坛，发布国家人工智能安全漏洞库首批技术支撑单位名单，展示128款智能化成果，强调构建自主可控网数智安全保障体系，推动漏洞治理与AI安全测评能力升级。

该漏洞为Next.jsImageResponse在Node.jsRuntime下的远程代码执行漏洞，编号CVE-2026-94545。根因是next/og使用的Satori生成SVG时对攻击者可控值转义不足，结合其他依赖形成利用链。影响Next.js16.2.0至16.3.5版本，修复版本为16.3.6及以上，EdgeRuntime不受影响。建议立即升级并排查运行环境。

微步在线入选国家信息安全漏洞库（CNNVD）发起的人工智能安全漏洞治理联盟成员单位，并获2026年度第二期CNNVD漏洞一级贡献奖。微步以威胁情报与AI为核心，自研XGPT大模型及漏洞风险评估模型VPT，持续输出高质量漏洞信息，未来将协同推进AI安全漏洞治理体系建设。

WordPress核心存在CVE-2026-87902未授权路径遍历漏洞，可致条件性RCE，影响跨度长达九年的所有版本，CVSS评分9.2。攻击者无需认证即可利用，在满足特定主题目录、PEAR组件及PHP配置等前置条件下可完全控制服务器。官方已在7.1.2版本修复并向下回移植，建议用户立即更新并核查利用迹象。

CVE-2026-76424是CiscoISE未授权文件上传导致远程命令执行与root提权的严重漏洞，影响3.5.0.527版本。攻击者可绕过登录通过/admin/files-upload上传恶意zip包并解压至/opt/CSCOcpm目录，植入JSP获得初始命令执行，再利用sudo免密码timeout命令完成提权。该漏洞利用无需任何凭证，但受限于源IP过滤策略，实际威胁范围限定于同网段、已获取容器权限或可直连管理端口的环境。漏洞已于Patch4修复，强烈建议受影响版本立即升级并核查网络边界。

青藤云安全入选CNNVD牵头组建的人工智能安全漏洞治理联盟成员单位，该联盟依托CNNVD平台汇聚骨干企业与机构，致力于AI安全漏洞信息共享、联合研判与协同处置。青藤云安全将依托攻防实践参与联盟工作，助力完善AI安全漏洞治理体系，守护人工智能产业安全发展。

Linux内核曝出高危漏洞CVE-2026-89775，影响KVM/arm64环境，源于页表遍历类型截断，可致虚拟机逃逸并直接读写宿主机内存，对多租户云基础设施构成严重威胁。上游已发布修复补丁，建议管理员及时升级内核，评估并关闭非必要嵌套虚拟化功能，核查/dev/kvm权限配置以降低风险。

F5BIG-IPAPMOAuth授权服务器存在严重零日漏洞CVE-2026-94127，攻击者无需认证即可远程代码执行，CVSS评分9.8，已观测到在野利用。CISA已将其列入KEV目录。受影响版本需安装官方热补丁，临时可向F5申请iRule防护规则。文档提供入侵痕迹排查方法，建议确认遭入侵后立即启动应急响应。

本文介绍基于Docker的分布式afrog漏洞扫描系统，采用FastAPI主控平台加工作节点架构，通过MongoDB持久化任务与结果，Redis监控worker状态，支持多代理轮换扫描内网目标，复刻afrog-web展示效果。提供Web界面操作、任务进度查看、漏洞报告筛选及Worker状态监控功能，可提升渗透扫描效率，仅限授权目标使用。

WordPress核心存在零点击存储型XSS漏洞CVE-2026-93485，攻击者仅需提交一条评论，当具有插件安装权限的管理员浏览页面时即可触发脚本上传恶意插件，最终实现远程代码执行。该漏洞影响范围极广，互联网上存在超5300万个潜在易受攻击实例，且PoC已公开，风险极高。建议用户立即升级至官方修复版本，并采取关闭评论、启用审核、限制后台访问等临时缓解措施。

第十六届网络安全漏洞分析与风险评估大会在重庆举办，聚焦人工智能发展与安全，发布国家人工智能安全漏洞库首批技术支撑单位名单，并推出人工智能安全测评业务。大会设主论坛及四个分论坛，展示128款智能化安全成果，强调自主可控与协同治理，为筑牢网络安全屏障注入动力。

文章分享网安挖洞副业经验，强调授权前提，介绍补天等平台奖励机制，单个漏洞奖金500至50000元，推荐BurpSuite等工具组合，建议新手从低危漏洞入手，但文末推广个人资料引流，需谨慎甄别。

天融信获评首批国家人工智能安全漏洞库优秀技术支撑单位，并包揽三项CNNVD漏洞贡献奖。公司深耕AI安全漏洞治理，打造智能化漏洞挖掘技术体系，将AI能力深度反哺漏洞研究，推动高价值漏洞挖掘向智能挖掘、自动验证、快速消控闭环演进，持续为AI安全发展提供底层支撑。

华顺信安创始人赵武在2026年网络安全漏洞分析与风险评估大会上发表演讲，指出AI正将网络攻防推向机器规模化攻击与人为中心防御的新局面，传统防御成本函数失效。他提出可验证的持续攻击面管理、自动化防御等机遇，并介绍FOFA平台AI基础设施建设进展，强调垂直领域差异化领先与自动化可持续防御体系。

第十六届网络安全漏洞分析与风险评估大会在重庆举办，聚焦人工智能发展与安全，设主论坛及四个分论坛，发布国家人工智能安全漏洞库首批技术支撑单位名单，展示近200款成果中的128款创新装备，强调构建自主可控网数智安全保障体系，推动漏洞治理与AI安全测评能力升级。