ZONE.CI 全球网

本文系统梳理WebSocket协议基础，对比ws与wss安全性差异，详解握手流程与帧类型，并重点列出八大致命风险，包括拒绝服务、明文通信、访问控制缺失、输入校验缺失、认证不当、隧道滥用、CSWSH劫持及服务端OOB问题，为渗透测试提供可操作的风险排查方向。

本文为绿洲安全公众号发布的API网关参数拼接漏洞案例分享，主题涉及越权与CRLF注入风险。文档仅提供标题与来源信息，未包含具体技术细节、漏洞分析过程或修复建议，内容深度不足，可操作性有限。建议读者关注原文获取完整技术方案。

ApacheHTTPServer2.4存在多个高危漏洞，包括可导致远程代码执行和拒绝服务的缺陷，影响mod_rewrite、mod_http2、mod_proxy_ftp及WebDAV等组件。最严重的CVE-2024-38475可致代码执行或源码泄露，CVE-2024-38476可致SSRF或本地脚本执行。官方已在2.4.68版本修复，建议组织优先升级并审查受影响配置。

本文为SRC漏洞挖掘实战经验分享，作者以时间线形式记录了从提交漏洞、等待审核到审核结束的完整流程，并穿插个人状态变化。内容展示了SRC挖掘的日常节奏与审核等待期的心态调整，对新手了解SRC活动流程有一定参考价值，但缺乏技术细节与深度分析。

本文记录了SRC漏洞挖掘过程中的日常状态，包括提交漏洞、等待审核、外出散心及充值token等场景，反映了挖掘者的真实工作节奏与心态变化。文章以图文形式呈现，内容较为轻松，未涉及具体技术细节或操作建议，属于SRC挖掘日常分享类内容。

腾讯悟空安全团队联合高校推出VulnGym项目级白盒漏洞发现基准平台，覆盖38个开源项目、184条安全公告及408个可达入口点，漏洞类型以业务逻辑漏洞为主，提供可验证评估路径，采用CC-BY-4.0许可证，可用于AIAgent能力评估、工具基准测试及安全研究，文档末尾含广告推广内容。

本文披露上海鸿翼软件电子文档管理系统importNewBpmnDesignByIe接口存在XStream反序列化漏洞，提供FOFA搜索语法及POST请求复现示例，并附批量探测脚本链接。建议相关用户及时排查修复，加强访问控制，关注官方安全公告。

本文披露一个结合拉黑与标记功能的逻辑漏洞：攻击者先标记受害者，再拉黑受害者，导致受害者无法访问文章页面从而无法移除标记，造成隐私泄露和强制社交绑定。建议平台应提供独立于文章页面的标记管理入口，并校验权限时区分拉黑状态。

本文分析CVE-2026-94545漏洞，该漏洞影响Next.js的next/og组件，根因是上游Satori库SVG序列化层输出编码不当，导致SVG标记注入，可能升级为远程代码执行。影响Next.js16.2.0至16.3.5版本，修复版本为16.3.6。建议升级至修复版本并核对Satori依赖版本，临时缓解措施为停止将不可信参数传入SVG内容或切换Edgeruntime。

本文详细分析了CVE-2026-97359漏洞，这是HFS2.x文件服务器中的服务端模板注入漏洞，可导致未授权远程代码执行。攻击者通过multipart上传文件名注入恶意模板语法，利用模板引擎顺序替换的二次展开和未转义符号字段，最终通过无鉴权的exec宏执行系统命令。漏洞影响2.0.0至2.4.0全系列版本，无官方补丁，研究者提供了三级修复方案，并建议运维侧缓解措施。

据称有攻击者出售针对FortinetFortiGateSSLVPN设备的1day远程代码执行漏洞利用程序，影响FortiOS7.2.x和7.4.x版本，但信息未经独立验证，缺乏CVE编号和技术细节。安全团队应清点暴露设备、验证补丁、限制管理访问并检查异常活动，同时关注此前已披露的CVE-2025-25249和CVE-2024-21762漏洞的持续利用。

俄罗斯黑客组织利用Zimbra0-day漏洞实施零点击攻击，通过标签切分技术绕过清洗器，在邮件渲染时执行恶意脚本ZimbraReaper，窃取凭证、通讯录和邮件数据。建议立即升级至10.1.20版本，并重置密码、清理会话和检查IMAP设置。

荷兰漏洞披露机构DIVD被AIAgent利用Zammad双0day链攻击，从会话劫持到获取root权限仅需几秒，两个漏洞已列入KEV，10月5日前必须修复。攻击者使用AIAgent自动化完成侦察、利用、提权与横移，日志中留有自我正当性注释成为新取证特征。建议升级Zammad7或下线实例，并使用IOC脚本排查。

Apache软件基金会于2026年10月1日发布HTTPServer2.4.69版本，修复20个安全漏洞，含5个中危和15个低危，涉及代码执行、崩溃、数据泄露及认证绕过等问题。其中CVE-2026-63292与CVE-2026-42356两个代码执行漏洞均存在前提限制，默认配置下风险有限。建议用户评估自身配置并及时升级至2.4.69版本。

Google威胁情报组报告显示2026年1-8月全球漏洞披露量翻倍，8月单月达10740个。AI正改变漏洞发现格局，其发现的漏洞中约50%存在远程代码执行风险，且高危漏洞披露量增长167%。今年已有141个新漏洞遭野外利用，超2025年全年。AI软件自身漏洞激增，编排框架与推理服务成重灾区。建议企业结合威胁情报确定修复优先级，并在代码上线前引入AgenticAI进行安全审查。

戴尔发布安全更新DSA-2026-448，修复容器存储模块CSM中多个高危漏洞，其中CVE-2026-63688和CVE-2026-63692危害最严重，CVSS评分均为满分10.0，未授权远程攻击者可获取管理员权限并完全控制存储环境。影响1.17.0之前所有CSM版本，官方已在1.18.0及后续版本中提供完整修复。建议受影响企业立即升级至1.18.0或更高版本，升级完成后需轮换JWT签名密钥，审查CSMAuthorization访问日志及管理员令牌使用记录，全面核查KubernetesRBAC策略与自定

本文披露Zammad两个0Day漏洞遭在野利用，攻击者已入侵荷兰漏洞研究所DIVD。漏洞CVE-2026-102489为会话劫持漏洞，可远程代码执行；CVE-2026-102490为本地提权漏洞，可获root权限，两者组合形成完整攻击链。建议升级至Zammad7版本，检查日志排查入侵痕迹，轮换凭证并开展取证调查。

思科发布安全公告，披露CatalystSD-WANManager存在严重身份验证绕过漏洞CVE-2026-76504，CVSS评分9.8。漏洞源于URI编码处理不当，远程攻击者无需凭据即可管理员身份认证。建议管理员检查特定日志文件，限制管理访问并部署防火墙规则，怀疑入侵时收集技术包并提交TAC案例。

本文探讨数字化环境下网络安全治理模式转型，核心观点是从追求消灭全部漏洞转向管理漏洞导致的业务风险。文章提出风险处置四种策略：风险消除、降低、转移和接受，并强调网络韧性建设六方面能力，包括抵抗、感知、响应、持续、恢复和改进。建议组织建立风险评估为核心的治理机制，将漏洞治理延伸至网络韧性建设，以应对不可避免的网络攻击。

DellSystemUpdate修复5个漏洞，其中CVE-2026-86360路径遍历漏洞可被用于root权限代码执行，CISA要求联邦机构完成修补。