ZONE.CI 全球网

该文档披露了macOSSMB内核漏洞CVE-2026-84543的详情与PoC代码。漏洞存在于SMBFS组件，恶意SMB服务器可导致内核崩溃，CVSS评分7.5。苹果已于2026年9月14日修复并支付2万美元悬赏。建议用户立即更新至GoldenGate27、Tahoe26.7或Sequoia15.8，并避免连接不受信任的SMB共享。

CFCA安全响应中心「洞寻」平台正式上线，定位金融级众测平台，面向持牌金融机构输出合规可控的安全检测服务。平台整合千名白帽与三百位金融专家，提供八大核心功能与五大检测能力，覆盖上线前、合规节点及常态化守护三大关键节点，旨在解决金融机构测不透、不敢测的痛点，并强调测试全程留痕可追溯，输出材料可用于监管举证。

360AI安全专家借助AI语义理解能力，从海量告警噪声中识别出隐蔽攻击探测，顺藤摸瓜还原完整攻击链，确认某Web应用存在高危0dayRCE漏洞。通过多智能体协同在隔离沙箱中成功复现漏洞，并自动生成标准化报告，沉淀监测规则反哺防护系统。该实践展示了AI在安全运营中从辅助走向自主，实现漏洞全生命周期管理。

Next.js的next/og模块存在未授权远程代码执行漏洞CVE-2026-94545，影响16.2.0至16.3.5版本，CVSS评分9.8，攻击者无需认证即可利用。官方已发布补丁，建议升级至16.3.6及以上版本并同步升级Satori至0.33.5及以上版本，同时可采取切换edge运行时、移除sharp依赖等临时缓解措施。

本文预警Next.js16.2.0至16.3.5版本存在高危RCE漏洞CVE-2026-94545，源于开发者将用户输入未转义嵌入SVG，经Satori依赖链缺陷触发Node.js代码执行。建议立即升级至16.3.6版本，并对OG图片接口实施输入转义、访问控制及日志审计，同时排查受影响业务特征。

本文由中国移动专家撰写，系统阐述AI时代电信运营商漏洞安全治理体系重构与实践。文章指出攻防效率差距拉大、AI系统安全风险蔓延等挑战，提出五位一体治理体系，涵盖制度双轨、四层技术平台、AI全生命周期防护、实战育才与产业协同，并给出量化成效与行业共性瓶颈及优化路径，为行业智能化转型提供参考。

2026年9月车联网漏洞态势综述显示，本月共收录47条车联网相关漏洞，严重与高危占比53%，平均CVSS评分7.05。漏洞集中于联网车载终端、基础组件与平台软件、芯片内核与传感器三大领域，其中BotslabG980H行车记录仪单日集中披露14个漏洞，lwIP协议栈MQTT组件存在可远程利用的严重越界写入漏洞。当前处于漏洞已公开但攻击利用尚未规模化的处置窗口期，建议相关单位尽快排查修复，车辆用户应及时升级固件并修改默认密码。

深瞳漏洞实验室发布Next.jsnext/og未授权远程代码执行漏洞通告，编号CVE-2026-94545，影响16.2.0至16.3.6版本及Satori0.0.27至0.33.5，无需授权即可远程代码执行，威胁等级高危。官方已发布修复补丁，建议升级至安全版本，并遵循最小权限原则、限制公网暴露。深信服多款产品已支持检测、监测与防护。

Glasswing项目5个月实测数据显示AI漏洞发现误报率较高：Anthropic上报26153个发现仅202个被确认修复占0.8%，Claude评级与维护者判定存在明显偏差。专家指出人工分诊成瓶颈，AI需与领域专家结合才能释放价值，同时AI工具本身正形成新攻击面。

MCPPythonSDK存在高危OAuth认证漏洞，影响1.9.1至1.29.1及2.0.0至2.1.1版本。攻击者可诱导AIAgent连接恶意MCP服务器窃取OAuth凭据并劫持账号。建议立即升级至1.30.0或2.2.0，显式配置expectedissuer，清理历史凭据并审计访问日志。

本文分析WeblogicCVE-2020-14882与CVE-2020-14883漏洞利用链，影响多个版本。攻击者可通过构造特定URL未授权访问后台并远程执行命令。文章详细分析了漏洞原理、POC触发过程及调用栈，并给出代码级分析，建议使用vulhub环境复现，并关注官方补丁更新。

本文剖析AI审代码的核心风险：模型可能编造看似合理实则不存在的漏洞。以Cloudflare开源skill为例，介绍六阶段流水线，核心铁律是发现漏洞的Agent不得自证，须由独立Agent验证。给出可操作建议：拆分发现与验证角色、用coverageledger记录、采用机器可读schema、强制OS沙箱。

本文分享一次从普通审批API请求挖掘严重越权漏洞的实战过程。作者通过分析前端bundle代码找到通用查询接口，利用entityName等参数完全可控的缺陷，成功越权查询客户、用户及系统参数表等敏感数据，并获取云存储密钥。文章深入分析了漏洞根因是应用服务账号执行导致平台授权机制失效，并给出换回调用者身份、接口设边界、密钥轮换等修复建议。

文章探讨AI在安全漏洞发现与修复中的应用，核心观点是AI能快速找漏洞时，最有价值的不是提示词技巧，而是建立可被人类复查的证据链。作者提出具体化审查任务、要求AI输出代码位置与复现思路、将修复也视为审查、把AI接入流程而非完全交出方向盘等可操作建议，强调能被复现的发现才配得上优先修复。

本文介绍Quarkslab构建的AI代理漏洞研究工作流，将代理嵌入8阶段流水线，以FreeRDP为靶标，4天内挖出两个可链式利用的高危漏洞实现远程代码执行。工作流结合大模型与确定性核心，通过图谱、侦察、切片、分析、分流、POC、链式组合和利用阶段，强调研究员验证与引导，将AI作为放大器而非替代，解决注意力瓶颈问题。

MikroTikRouterOS存在严重漏洞CVE-2026-84411，CVSS评分9.8，未经身份验证的攻击者可通过单个精心构造的HTTP请求实现root权限远程代码执行或拒绝服务。漏洞位于Web管理服务HTTP请求正文处理中，影响7.24之前版本。建议用户立即更新至7.24.2或7.23.4版本，并在补丁前将Web管理界面与互联网隔离，仅允许受信任IP或VPN访问。

本文分析n8n平台CVE-2026-33696原型污染漏洞，攻击者利用GSuiteAdmin节点自定义字段将schemaName设为**proto**污染对象原型，结合Git节点GIT_SSH_COMMAND实现远程代码执行，影响所有部署形态并可窃取凭据。建议立即升级至修复版本、重启实例、最小化编辑权限并排查工作流定义中的恶意痕迹。

本文深度解析OraclePeopleSoft高危漏洞CVE-2026-35273攻击链，核心是利用%50编码绕过WAF规则，通过前后端解析差异触发Java反序列化实现RCE，部署JSPWebShell后结合白加黑免杀与合法工具维持权限。文章给出打补丁、深挖日志、排查文件与网络等具体防御建议，并披露UNC6240组织攻击活动。

CitrixNetScalerADC与Gateway曝出严重预认证远程代码执行漏洞CVE-2026-88772，CVSS评分9.5，已发现在野利用。攻击者可在启用DTLS的设备上通过网络触发内存溢出，实现远程代码执行。360漏洞研究院已成功复现。建议受影响用户立即升级至修复版本，无法立即升级时应评估关闭DTLS或限制外部访问。

本文记录了一次针对OnlyOffice的渗透测试实战，利用任意文件写入漏洞覆盖ELF文件实现RCE并成功getshell。过程中因版本限制导致常规利用链失效，通过扩展审计发现x2t可执行文件，最终实现命令执行。文章详细展示了漏洞分析、源码审计与利用思路拓展，对实战渗透具有参考价值。