ZONE.CI 全球网

近期共采集重要人工智能漏洞392个，包括多个厂商的漏洞，其中超危漏洞64个，高危漏洞193个，中危漏洞135个。列举了OpenClaw加密问题、vLLM资源管理错误和Ollama服务端请求伪造等漏洞实例，并提供了修复补丁的链接。

国家人工智能安全漏洞库通报OpenClaw存在83个安全漏洞，含超危1个、高危41个、中危33个、低危8个，涉及访问控制错误、代码问题、路径遍历等类型。攻击者可未授权获取敏感数据、提升权限或远程执行代码，影响2026.9.6及之前多个版本。官方已发布修复更新，建议用户尽快确认并采取修补措施。

CitrixNetScalerADC与Gateway存在未认证远程代码执行漏洞CVE-2026-88771，默认配置即受影响且已在野利用，全球暴露资产约11.7万条。官方已发布修复版本，建议优先升级至14.1-73.37等修复版本，并审计日志排查异常。

CNNVD发布2026年第七期重要安全漏洞通报，包括通用产品和人工智能领域的漏洞统计及修复情况，提醒用户关注并修复漏洞。

CitrixNetScalerADC/Gateway存在未授权命令注入漏洞CVE-2026-88771，攻击者无需认证即可远程以root身份执行任意命令，影响多个版本，威胁等级严重。官方已发布修复版本，建议立即升级至安全版本，同时可采取关闭非必要功能、限制公网暴露等临时缓解措施，并利用安全产品进行资产发现与攻击防护。

VMwarevCenter存在高危目录遍历漏洞CVE-2026-59310，攻击者无需认证即可利用该漏洞写入文件至vCSA任意位置，结合cron机制实现以root权限执行任意代码。官方已发布修复补丁，建议升级至安全版本，同时可采取关闭非必要功能、限制访问源等临时缓解措施。

本文介绍碳泽玉衡漏洞管理系统在某大型保险集团的实践案例。系统采用分布式架构支撑20万+资产全国覆盖扫描，漏洞库从20万条扩展至47万+条。通过现场排查化解设备异常重启质疑，并新增流量标记功能解决敏感业务误扫问题。文章属于产品推广软文，核心价值在于展示产品在复杂场景下的稳定性与适配能力。

本文是V8漏洞利用入门实战教程，以StarCTF2019OOB漏洞为例，系统讲解从环境搭建、V8调试技巧到WASM利用及任意读写实现的完整流程。文章详细介绍了编译环境配置、gdb调试方法、WASM基础原理，并深入分析了对象内存布局与利用链构建，提供了可操作的实战步骤，适合CTF选手和安全研究人员学习参考。

知名加密货币交易所Bitget因采购的第三方安全产品零日漏洞遭利用，攻击者获取内部系统权限并伪造提现指令，窃取约3.88亿美元加密货币。损失由保护基金承担，用户资金未受影响。事件暴露供应链安全风险，交易所计划重新审视第三方安全产品评估流程，并加强内部访问控制与异常监测。

斗象科技谢忱在VARA大会指出，漏洞利用首次超越窃取凭据成为黑产主要入侵途径，大模型正接替连接器角色，推动漏洞研究从单点自动化走向全生命周期自治。需翻越长程执行、专家记忆、多智能体协同三座大山，最终解决治理问题，让漏洞被发现后以机器速度自动流向被解决。

CNNVD发布2026年第十四期人工智能重要漏洞通报，9月3日至28日共采集392个漏洞，含超危64个、高危193个、中危135个，涉及GoogleGemini、FlowiseAI、OpenClaw等厂商。通报了OpenClaw加密问题、vLLM资源管理错误、Ollama服务端请求伪造等漏洞实例，均已有修复补丁，建议相关用户及时升级更新。

云起无垠获2026年度CNNVD基础软硬件漏洞报送优秀企业称号，其VulnHunter平台以AI大模型为核心，通过多智能体协同实现代码语义理解与漏洞自动发现、验证闭环，突破传统规则扫描局限，推动漏洞治理向智能化、规模化演进，并持续参与国家漏洞生态建设。

安全研究人员披露了一个影响Linux内核的严重容器逃逸漏洞，允许未授权攻击者通过触发释放后重用条件从隔离环境逃逸。漏洞存在于AF\\_UNIX套接字垃圾回收机制中，影响多租户云平台安全。建议使用microVM隔离不受信任工作负载，并关注上游补丁。

CitrixNetScalerADC与Gateway存在高危预认证命令注入漏洞CVE-2026-88771，默认配置即可利用，攻击者无需认证即可远程执行任意命令，影响13.1.x及14.1.x所有版本。攻击通过User-Agent写入恶意载荷触发日志脚本命令注入，流量隐蔽且WAF难识别。建议立即升级官方补丁，临时缓解措施包括公网ACL限制、WAF拦截shell元字符及日志审计，疑似被攻陷需隔离设备并重置账号。

本文深度解析CVE-2026-101909，指出Axios并非原型污染入口而是消费污染值的Gadget。受影响版本为0.28.0至0.34.0及1.15.1至1.20.0，修复版本为0.34.0与1.20.0。实测仅maxDepth、visitor、Blob三个属性可利用，其中maxDepth门槛最低可致DoS。文章提供完整POC与双版本对照验证，强调需配合其他污染源才能利用。

本文通过代码审计分析越权与未授权漏洞高发原因，以sa-token为例讲解鉴权逻辑梳理方法。指出系统常存在全局登录认证但部分接口遗漏权限校验，导致低权限用户可垂直越权。强调白盒审计能发现黑盒难以定位的鉴权覆盖不完整问题，并给出审计思路与操作建议。

CitrixNetScalerADC与Gateway存在命令注入漏洞CVE-2026-88771，风险等级极危。攻击者可发送特制HTTP/HTTPS请求绕过身份验证执行任意命令。影响版本低于14.1-73.37、13.1-64.23及对应FIPS版本。官方已发布修复版本，建议紧急升级至安全版本，并限制管理接口公网访问作为临时缓解措施。

文章基于CNCERT通报的873个AI大模型漏洞数据，指出AI安全并非另起炉灶，传统Web安全基础仍适用。建议网安生按三层学习：巩固原有安全基础、理解AI应用运行链路、识别提示注入等风险点，并强调机器学习非入门门槛。

苹果推送iOS26.7.1，修复CoreGraphics框架越界写入漏洞CVE-2026-86950，该漏洞可能已被用于定向攻击。建议iOS26用户尽快升级，iOS27用户安装27.0.1修复其他问题。文章提供升级路径区分和自动更新建议，强调安全补丁重要性。

本文复盘一次路径遍历漏洞攻防实战，通过下载接口仅改几个字符即读取系统口令文件与应用源码。漏洞成因为用户输入直接拼接文件路径，过滤黑名单可被编码绕过、双重编码、空字节截断、绝对路径、平台差异等手法绕过。修复方案为白名单校验、路径规范化后判断、编号映射文件名、牢笼机制等七条措施，并提供自查清单。