ZONE.CI 全球网

VMwarevCenter存在未授权RCE漏洞CVE-2026-59310，无需凭据即可通过UDP/TCP514端口实现任意文件写入与代码执行，影响多个版本分支。文章提供完整利用链分析及POC地址，并给出临时缓解措施，包括禁用RFC5424攻击面、路径净化、网络隔离等，建议用户尽快升级或应用缓解方案。

CISA于9月25日将SharePoint代码注入漏洞CVE-2026-65660列入已知被利用漏洞目录，微软同日确认存在实际攻击。该漏洞影响本地部署的SharePointServer，攻击者需先获得一定权限方可利用。建议管理员核对补丁安装情况，检查账号登录、应用日志及异常进程，发现入侵迹象需按现场证据处理。

该报告分析了一次针对美国机构的入侵活动，攻击者利用SliverC2信标、创建域管理员账户、窃取凭证并禁用端点保护服务，通过计划任务维持持久性，并利用以太坊智能合约动态更换C2域名。建议重置凭据、检查特权组和计划任务、恢复DNS配置，并监控合约变更。

本文分析了AI安全工具虽能发现大量疑似漏洞但最终难以有效提交的原因，指出AI产出多为疑点而非结论，需人工验证、排除误报、确认影响并符合平台规则。强调漏洞发现变易而判断价值更难，安全人员应提升筛选与证明能力。

本文披露了一条从Twitch聊天消息到完全控制主播电脑的完整攻击链。攻击链利用聊天叠加层将观众消息直接渲染为HTML的XSS漏洞，结合OBS内嵌Chromium禁用了沙盒且V8版本存在CVE-2024-7971漏洞，最终实现远程代码执行。OBS团队已确认升级浏览器引擎和重新启用沙盒两项修复措施。建议开发者将观众内容视为不受信任输入，避免将其渲染为HTML。

文章探讨AI安全工具Mythos对网络安全行业的影响，核心观点是AI正从辅助工具走向自主完成攻防闭环，包括代码审计、渗透测试、漏洞管理等方面的变革。文章还讨论了企业安全建设逻辑变化、重点系统安全策略、AI对攻防成本结构的影响，以及未来安全团队将演变为少量专家加大量Agent的形态。

VMwarevCenterSyslog服务存在未授权目录遍历远程代码执行漏洞CVE-2026-59310，攻击者可构造恶意Syslog报文利用路径穿越写入webshell实现未授权RCE，影响vCenterServer8.0、9.0、9.1多个版本。建议优先升级补丁，收紧514端口访问控制，加强文件监控与日志审计，疑似入侵需立即断网并排查后门。

本文介绍Nuclei漏洞扫描引擎，其基于YAML模板驱动，支持多协议探测，具有扫描速度快、误报率低等优势。文章详述安装方法、基础扫描命令及自定义POC模板编写实战，并给出蓝队防御建议，包括检测Nuclei流量、加固敏感路径及定期自扫描。文章强调工具仅限合法授权场景使用。

文档指出IoT设备出海合规中漏洞披露渠道是强制要求，英国PSTI、欧盟CRA、澳大利亚标准及日本JISC均将其列为强制项。企业常因官网无漏洞报告页面、邮箱无人响应、说明书未提及、要求报告者提供个人信息、无状态更新机制等五类问题导致认证失败。建议企业建立公开、可追溯的漏洞响应流程，并持续更新处理进度。

CNVD周报显示本周共收录980个漏洞，其中高危546个，0day占比90%，涉及党政机关及企业事件型漏洞激增60%。重点披露IBMWebSphere与GoogleChrome存在高危漏洞，厂商已发布补丁。建议用户及时更新系统，关注电信及移动互联网行业风险，强化漏洞处置与应急响应能力。

本文介绍一款BurpSuite的AI智能漏洞扫描插件Zack-AI-Scanner，通过大模型判断参数价值并自动发送载荷，支持任务管理、报告导出等功能。安装需通过BurpExtender加载JAR并配置APIKey，文章附下载链接获取方式，并强调工具需在虚拟机运行、注意安全风险。

wvp-GB28181pro摄像头管理平台存在未授权访问漏洞，攻击者可通过访问/doc.html路径进行未授权访问，影响该平台。文章提供了FOFA查询语句、漏洞复现数据包及POC，并建议用户打补丁修复。同时文章推广了知识星球及POC工具箱，内容仅供学习用途。

本文介绍评论字符限制绕过导致客户端拒绝服务漏洞的测试流程，包括测试前提、构造超长载荷绕过前端限制、提交请求并验证服务器存储，最终导致客户端加载超长评论时崩溃。危害等级极高，可造成大规模拒绝服务或针对性攻击。建议加强后端长度校验及客户端渲染保护。

本文介绍渗透测试人员需要漏洞管理平台的原因，核心是开源项目ARTEX，一套AI自主渗透测试系统，整合资产发现、任务管理、探索过程、工具调用、漏洞发现及人工审批。其特点包括独立任务管理、资产关联去重、探索图记录AI决策过程、漏洞复测流程及人在环路审批设计。文章强调安全测试需管理资产、测试任务、证据及复测，而非仅关注漏洞本身，并提示工具应仅用于授权测试环境。

文章分析B站UP主11集豆包辅助SRC挖洞视频，结论为前6集实用、后5集有4集凑数。豆包擅长代码审计类漏洞识别、批量初筛端点、生成测试用例及解释漏洞原理，但不擅长业务逻辑判断、漏洞真实性验证及跨会话状态管理。建议先学手工测试再用AI加速，所有测试须在授权范围内进行。

F5修复BIG-IPAPM中CVE-2026-94127零日漏洞，该漏洞为基于堆的缓冲区溢出，CVSS评分9.8，已被远程代码执行攻击利用。影响APM作为OAuth授权服务器的系统，F5已发布热修复程序并提供iRule缓解措施。建议立即应用补丁或缓解措施，并检查入侵迹象，包括OAuth认证失败、可疑命令及TMMSIGABRT信号等。

本文介绍EHole棱洞红队指纹探测工具，支持本地文件批量检测与FOFA平台API联动两种模式，提供关键字匹配、正则表达式匹配、favicon哈希匹配三种指纹识别方法，内置数百种主流系统指纹，支持JSON和xlsx格式导出，采用模块化设计并支持并发处理，适用于红队信息收集、漏洞预警排查和攻击面评估等场景。

seetong多款NVR存在CVE-2026-100886认证绕过漏洞，CVSS10.0，攻击者可未认证访问debugservice并可能接管设备。受影响型号包括T8108等，固件版本4.6.1.4-build202604241011，目前无官方修复。建议立即隔离设备、禁止公网暴露、禁用debugservice并加强监控。

本文解析优惠券叠加漏洞这一SRC高危业务逻辑漏洞，指出根因是后端信任前端限制且缺少数量校验。文章给出原始请求报文、危险PHP代码示例及修复方案，并建议通过抓包修改参数为数组进行测试，强调所有业务校验必须放在后端执行。

混合App存在Deeplink参数校验缺陷，可绕过路由拦截加载外部恶意H5页面，恶意页面可直接调用原生接口读取JWT凭证，实现账号接管。