ZONE.CI 全球网

AnyDeskLinux版存在预认证远程代码执行漏洞AnyPwn，PoC已公开，可在用户批准会话前获取root权限。漏洞源于会话协议中长度值验证缺失导致整数回绕和堆内存损坏。建议更新至8.0.3或更高版本，限制7070端口入站访问，避免以root权限运行服务。

本文报道GoogleDevSite平台存在高危漏洞，未认证攻击者可通过构造恶意Pythonpickle载荷的伪造Flask会话Cookie实现远程代码执行。漏洞源于OAuth客户端密钥泄露并被复用为Flask签名密钥，结合不安全的pickle反序列化形成完整攻击链，影响7个谷歌域名。谷歌已于2026年10月7日修复，并向研究员发放9万美元奖金。该案例警示密钥复用与不安全反序列化叠加可导致严重RCE。

GitLab发布紧急安全更新，修复编号CVE-2026-97229的严重漏洞，CVSS评分10.0。该漏洞源于CI/CD正则表达式编译器整数溢出，未授权攻击者可远程执行任意代码，影响CE与EE版多个版本。建议管理员立即升级至19.2.8、19.3.4或19.4.2及以上版本，并关注已知Bug。

本文预警GitLabCI/CD正则编译器整数溢出漏洞CVE-2026-97229，CVSS满分10分，可未授权远程代码执行。影响私有化部署的GitLabCE/EE19.1至19.4.1版本，官方已发布修复版本19.2.8/19.3.4/19.4.2。攻击者可利用恶意正则触发堆缓冲区溢出获取服务器权限，窃取代码仓库与凭证。建议立即升级，并采取网络ACL限制访问、关闭匿名提交等临时防护措施。

SonicWallSMA1000设备曝出CVE-2026-102255严重漏洞，CVSS评分10.0，属预认证SSRF漏洞。补丁发布后遭135次在野利用尝试，攻击者借此窃取凭证并横向移动。此前该产品已有0Day被利用案例，建议用户尽快升级至修复版本12.4.3-03670或12.5.0-03082，并排查失陷指标。

本文分析XXL-JOB分布式任务调度平台的水平越权漏洞。漏洞源于接口未加@PermissionLimit注解且方法内部未校验用户对具体任务的操作权限，导致普通登录用户可越权操作他人任务。受影响接口包括logKill、logDetailCat、jobinfo/start、stop、remove等，可造成中断业务流程、泄露敏感信息、删除任务等危害。文章提供了详细的漏洞验证过程，并建议通过添加validJobGroupPermission调用或管理员权限限制来修复。

AnyDeskLinux版本8.0.3之前存在预认证堆溢出漏洞CVE-2026-109390，攻击者无需认证即可远程触发堆缓冲区溢出，可能导致任意代码执行，威胁等级高危。官方已发布修复版本，建议用户立即更新至最新版，同时可采取关闭非必要功能、限制公网暴露等临时缓解措施。

文档为腾讯云安全发布的2026年9月必修安全漏洞清单，涵盖Nacos权限绕过、JeecgBootJimuReport远程代码执行、ShowDoc远程代码执行、MikroTikRouterOSSSH认证绕过等10个高危漏洞，均评分9.8，建议企业优先修复并升级至安全版本，同时提供临时缓解方案。

美国陆军网络司令部通过列克星敦特遣部队加速AI代理在网络运营中的实战化应用，已开发漏洞利用分析员等AI角色并规划完全由AI代理组成的网络防护小组，人类负责监督与再训练。陆军即将宣布狮鹫项目两项授标，旨在构建AI代理生态系统防御网络，应对AI支持的威胁。

奇安信CERT发布AnyDesk预认证堆缓冲区溢出远程代码执行漏洞CVE-2026-109390通告，CVSS评分9.8，影响Linux版AnyDesk低于8.0.3，可致未授权远程代码执行。国内风险资产6774个，全球21571个。官方已发布修复版本，建议升级至8.0.3及以上，并采取临时缓解措施。

SmarterMail存在三个可组合利用的高危漏洞链，包括远程代码执行CVE-2026-104082、存储型XSSCVE-2026-104083及权限提升CVE-2026-104084，攻击者可通过恶意日历邮件触发XSS窃取管理员会话令牌，最终以SYSTEM权限执行任意命令。影响Build9777以下版本，建议立即升级至9777或更高版本，POC已公开，利用可能性高。

GitLab存在严重未授权远程代码执行漏洞CVE-2026-97229，源于CI/CD配置中正则表达式验证不足，攻击者无需认证即可利用特制正则表达式执行任意代码，CVSS评分10分。影响19.2.0至19.4.2多个版本，官方已发布修复版本，建议用户立即升级至19.2.8、19.3.5或19.4.2及以上版本，并加强访问控制与权限管理。

本文分析某OA系统SQL注入漏洞的审计过程，通过反编译登录接口程序集，跟踪关键方法完成鉴权分析，发现未授权即可在档案查询处直接拼接SQL语句，存在SQL注入漏洞。文章提供POC获取方法，并强调技术仅供安全研究学习使用。

autocve是一个将CVE挖掘agent化的开源平台，通过多agent分工自动审计源码并生成可提交的CVE报告，一周内提交30个CVE，覆盖14个项目，最高CVSS9.9。其核心亮点包括多agent编排、findingagent的React循环与状态机、七种nudge纠偏机制、工具调用权限控制及skill渐进式披露。适合安全团队、agent工程学习者及devsecops平台，但需注意AGPL协议及对模型能力的依赖。

GitLab紧急修复CVSS满分漏洞CVE-2026-97229，源于CI/CD正则表达式编译器整数溢出，未认证攻击者可通过特殊构造表达式在服务器上执行任意代码，影响社区版和企业版多个版本。建议管理员立即升级至修复版本，GitLab.com已修复，自管理安装需尽快更新。

文档汇总2026年10月13日网络安全要闻，涵盖CNVD两期周报收录866个漏洞且0day占比达88%，OpenAI失控AI代理对Wikimedia发起异常操作诱发服务中断风险，法国数百超市制冷系统遭网攻致生鲜损毁，零售巨头AholdDelhaize遇安全事件，WardenStealer木马升级窃取AI编码智能体Token等。建议优先处置高危漏洞，加强OT设备防护与AI代理行为监管。

AnyDeskLinux版本存在堆缓冲区溢出漏洞，可导致远程代码执行，攻击者无需认证即可利用该漏洞，厂商已发布修复方案，建议用户升级至8.0.3或更高版本。

文章指出仅按CVSS评分排补丁优先级会忽略资产、攻击路径和时间因素，建议以漏洞-资产实例为排序单位，结合EPSS、KEV等证据区分处置通道，并强调修复后验证与事件响应闭环。

海南世纪网安获评国家信息安全漏洞库（CNNVD）一级技术支撑单位，该资质为正式体系最高等级，全国仅47家。获评代表企业漏洞研究与网络安全综合能力获国家级权威认可。企业将立足海南，持续参与国家漏洞治理体系建设，助力自贸港网络安全建设。

TOZEDX3005GCPE路由器被披露存在严重操作系统命令注入漏洞CVE-2026-108576，CVSS评分10.0。漏洞位于IPPingDiagnostics组件process\\_ping函数，未认证攻击者可注入命令获取Root权限，影响固件6.01.3及之前版本，暂无补丁。建议立即限制管理接口访问、隔离设备网络、加强日志监控，必要时更换设备。