ZONE.CI 全球网

本文编译自YesWeHack官方技术文章，核心命题是大语言模型在无人监督时会产生注水内容，导致漏洞赏金报告出现影响夸大、POC未证实、严重性虚高、套话堆砌四类被拒稿缺陷。YesWeHackClaudeKit插件通过常驻护栏层与三个按需技能，将基于已验证事实起草、不跨越证据空白的铁律固化进ClaudeCode会话环境，使报告以可复现证据进入审核队列。插件采用双层结构：常驻护栏从会话首条消息起阻止编造事实、理论化影响、套话填充、未证即认四类行为；三个按需技能（write、triage、gotchas）分别负责

斗象科技谢忱在VARA大会分享AI大模型接管漏洞全生命周期的实践，指出漏洞利用已成黑产主要入侵途径，AI需翻越长程执行、专家记忆、多智能体协同三座大山，通过harness体系实现漏洞挖掘与治理自治，强调漏洞治理与安全验证同步推进，缩短风险暴露时间。

本文分析WordPress核心CVE-2026-93485未认证存储型XSS漏洞，可升级为RCE。漏洞源于wpautop()正则不感知引号导致过滤器级联变换，攻击者可通过评论零点击触发。影响4.7至7.1版本，官方已发布修复。建议立即升级、排查异常文件、关闭评论审核，并部署WAF拦截恶意评论。

本文分享了某SRC漏洞挖掘实战案例，包括阿里云存储接管、前台SQL注入、JWT越权及隐私合规漏洞汇总，并附有详细技术细节和操作建议，但文末包含大量培训课程推广内容。

搜狗输入法Windows版存在CVE-2026-51990远程代码执行漏洞，CVSS9.8，由协议处理器参数注入、CEFWebView无限制导航及无沙箱旧版Chromium引擎三个弱点链式组合而成，已被UNC3569在野利用投放GRAYRABBIT后门。建议立即升级至16.3.0.3498版本，排查可疑文件与出站连接，并拦截sgbiz协议链接。

本文介绍dddd-next自动化资产测绘与漏洞扫描工具，基于原dddd重写，支持指纹识别、弱口令检测、nucleiPOC、Shiro专项检测及HTML报告，可接入FOFA等测绘平台，提供安装使用命令与下载方式，强调需在虚拟机运行并遵守授权测试。

本文系统阐述两高一弱专项治理与漏洞全生命周期闭环管控体系，聚焦高危漏洞、高危端口、弱口令三类风险，提出扫描加自动化渗透验证双重模式、端口白名单机制、强密码策略与多因素认证等实操方案，建立台账化闭环管理机制，实现风险发现、评估、整改、复测、核销全流程可追溯，并针对重保场景提出专项保障措施，强调从被动堵漏转向主动防御。

本文预警macOS本地提权漏洞CVE-2025-43786，高危等级。漏洞源于CoreServices组件缺少entitlement检查，低权限攻击者可利用普通应用以root权限执行任意代码。影响macOSSequoia15.8以下、Tahoe26.7以下及GoldenGate27以下版本，POC已公开。建议用户立即升级至官方安全版本。

MicrosoftSharePoint存在高危远程代码执行漏洞CVE-2026-65660，影响多个版本，POC已公开。攻击者可利用ToolPane.GetPartPreviewAndPropertiesFromMarkup()对Register指令与Tag标记分离处理不当及引号过滤不充分，绕过安全控制注入危险命名空间，结合XamlServices.Parse()等gadget实现任意代码执行并创建无文件WebShell。建议用户立即升级至官方安全版本。

本文介绍OSSFileBrowse工具，一款基于JavaFX的图形化存储桶遍历漏洞检测工具，支持多格式文件在线预览、压缩包嵌套展开、敏感字段搜索、批量下载等功能，适用于授权渗透测试中验证存储桶遍历漏洞风险，可提升漏洞验证效率。

本文分享一个AI辅助挖掘的任意用户接管漏洞案例，通过分析JS提取OAuth接口，利用未授权接口枚举用户名，并伪造status参数获取token实现用户接管。文章后半部分为代码审计培训课程推广，包含课程大纲、费用及常见问题解答。

CNVD发布周报显示本周收录516个漏洞，0day占比85%，涵盖WEB、路由器等高危风险；Anthropic推出Sonnet5.5提升效率并增强防护，但AI攻防不对称加剧，企业需强化基础安全与人工研判；GitHub私钥大规模泄露威胁关键基础设施，Bitget因巨额盗币事件重启提现；ShinyHunters利用URL编码绕过WAF攻击Oracle系统。建议及时更新补丁、审计密钥、完善AI管控机制。

本文报道安恒信息在2026西湖论剑大会发布AI安全新品，指出AI已从工具演变为自主攻击执行体，漏洞进入量产时代，CVE数量暴涨而安全人力短缺。为此推出X安全数字员工、零日雷达、AI动态蜜罐及AI资产治理等方案，主张以机器速度防御机器速度攻击，建议企业采用AI驱动防御体系应对新威胁。

长亭应急响应中心披露CitrixNetScalerADC与Gateway存在未授权命令注入漏洞CVE-2026-88771，攻击者无需认证即可远程执行任意命令，可能导致设备完全控制及敏感数据泄露。该漏洞已被在野利用且利用代码公开，影响多个版本。官方已发布修复版本，建议立即升级，并可通过限制网络暴露及拦截特定流量临时缓解。

本周CNVD共收集516个漏洞，其中高危漏洞253个，中危234个，低危29个。涉及党政机关和企事业单位的事件型漏洞总数32862个，环比下降30%。CNVD向多个行业单位通报漏洞事件，并协调处置漏洞。重要漏洞包括TendaAC6、ComputerSalesandInventorySystem、PharmacySalesandInventorySystem等产品的安全漏洞，以及TOTOLINKT6的访问控制不当漏洞。建议用户及时更新补丁。

斗象科技谢忱在VARA大会分享安全大模型推动漏洞管理从自动化迈向自治的实践。指出漏洞利用已成黑产首要入侵途径，AI需翻越长程执行、专家记忆、多智能体协同三座大山。斗象构建Sonic、Pokemon等Harness体系，推进CyberAI大模型，强调漏洞治理需以机器速度响应，实现从发现到修复的闭环自治。

奇安信CERT发布CitrixNetScaler命令注入漏洞CVE-2026-88771安全通告，该漏洞源于日志处理脚本未校验内容，攻击者可未认证利用以root权限执行任意命令，CVSS评分9.8，已发现在野利用。影响多个版本，国内风险资产超一万个。建议及时升级至修复版本，并采取临时缓解措施排查异常文件与日志。

本文披露CitrixNetScalerADC与Gateway两个高危漏洞：CVE-2026-88772为DTLS握手分片重组逻辑缺陷导致的内存越界写入，可致未认证远程代码执行；CVE-2026-88771为预认证命令注入，通过恶意用户名注入日志并以root执行命令，两者CVSS均达9.5且已被在野利用。建议升级至14.1-73.37/13.1-64.24及以上版本，短期可关闭DTLS缓解，并排查失陷痕迹。

该报告汇总2026年9月7日至20日期间移动应用安全隐私合规监管动态与漏洞风险。公开通报显示广东、甘肃等地通信管理局及公安部检测发现多款App存在违规收集个人信息问题，主要涉及未经同意收集信息、未明示收集规则等。漏洞分析显示73.41%的受检App存在中高危漏洞，Java代码反编译风险、数据任意备份风险及HTTPS未校验主机名漏洞位列前三。建议开发者加强隐私合规自查与漏洞修复。

Cloudflare开源安全审计Skillsecurity-audit-skill，通过六阶段流程将AI审计转化为可核查流水线。实测埋入7个漏洞全部被找出，核心价值在于覆盖率台账、结构化输出、发现与验证者分离的对抗性验证及沙箱强制要求，将AI幻觉从能力问题转为流程问题。建议接入CI/CD多次运行累加覆盖率，适用于需证据链的审计场景。