ZONE.CI 全球网

macOS出现路径穿越漏洞CVE-2026-84568，可被利用执行任意代码，已发布修复版本，漏洞影响macOS15.0至15.8和26.0至26.6版本，CVSS评分7.8。

本文为Tomcat漏洞复现实战指南，详细介绍了CVE-2017-12615任意文件上传漏洞及弱口令war包部署getshell两个漏洞的原理、影响版本、复现步骤与修复建议。文章基于vulfocus靶场环境，通过抓包改包、爆破弱口令、上传webshell等操作实现getshell，并给出修改readonly配置、强化口令等修复措施，实操性强。

文章基于AnthropicProjectGlasswing五个月实践数据，揭示AI漏洞发现能力虽强但转化率极低：26153项发现仅202项修复，高危定级与维护者认可度相差40个百分点，真实利用比例仅约1%。核心结论是AI放大数据供给而非处理能力，人工分诊成为新瓶颈。文章结合RedHat的VulnOps实践，提出七条建议：区分发现与判断、强化人工分诊、领域专家参与Agent建设、确定性工具与AI协同、AI补丁仅作候选、建立持续化漏洞运营、将AI系统纳入攻击面管理。强调AI时代需建立机器负责规模、专家负责判断

本文记录一次SRC漏洞挖掘实战，通过审计JS文件中的Chunk映射还原隐藏接口，绕过自动化插件限制，最终发现两个未授权漏洞，包括获取全站用户名和MD5密码等敏感信息，以及未授权写入排班信息。建议在测试Vue或Webpack系统时，将Chunk映射作为必查项，逐一验证隐藏接口，以发现服务端缺少授权控制的接口。

中国电信大可实验室在AI漏洞挖掘领域取得新进展：自研锐鉴AI代码安全审计平台通过信通院首批代码安全审计智能体能力评估，实现智能发现-自动验证-方案输出闭环；两篇学术论文分别获2026年网络安全学术征文优秀论文及入选ICAIPS2026，提出多路径协同漏洞挖掘方法与受控重放评估方法，彰显产品与学术双轮驱动实力。

该文档为Next.jsnext/og未授权远程代码执行漏洞（CVE-2026-94545）的安全通告。漏洞源于SVG渲染组件Satori的编码缺陷，攻击者无需认证即可通过特制请求在服务器上执行任意命令，影响Next.js16.2.0至16.3.5版本，官方已在16.3.6及Satori0.33.5修复，建议用户尽快升级并采取临时缓解措施。

本文介绍利用WorkbuddyAgent与40套Web漏洞Skill技能库实现AI自动化挖洞流程，以文件上传漏洞为例，分步完成上传点定位、漏洞排查人工复现及SRC标准报告生成，强调合规授权测试前提，并推广其技能库资料。

雷神众测发布2026年9月21日至10月11日漏洞周报，涵盖海康威视iVMS-A100SQL注入、金蝶EAS命令执行、IvantiEndpointManagerMobile代码注入及TendaAC6命令注入等四个漏洞，均源自CNVD，建议相关用户及时测试并升级至最新版本以修复风险。

本期高危漏洞预警聚焦SonicWallSMA1000预认证SSRF、CitrixNetScalerSAML内存溢出及国家级组织利用ProFTPD等五类上古漏洞，并披露GhostAction劫持GitHub仓库窃取密钥事件。建议立即升级SonicWall至12.4.3-03670或12.5.0-03082，NetScaler至14.1-73.46或13.1-64.29，全面排查老旧组件并清理Git历史中的敏感密钥，同时加强日志监控与身份认证配置。

本文探讨了安全服务验收过程中的关键步骤，包括漏洞判断依据、对象与范围核实、整改路径确认和复验依据补充，强调了确保漏洞整改有效性的重要性。

本文探讨AI辅助漏洞挖掘中的安全护栏问题。作者指出提示词约束不可靠，因上下文压缩、模型自主性、提示注入及注意力分散等原因，AI可能执行危险操作。提出四层确定性护栏：规则声明、工具调用前拦截脚本、只读凭证及环境隔离，并给出具体配置与验收脚本。强调结构上安全而非概率上安全。

本文为OSCP备考系列第14期，聚焦Web漏洞利用入门三件套：XSS、CSRF与命令注入。文章以说人话方式讲解三漏洞原理，区分其攻击目标分别为用户浏览器、用户身份与服务器本身。提供手工测试向量、绕过过滤器手法及从弹框到窃取Cookie、拿Shell的完整利用链路，并给出防御建议。同时明确考试可用工具限制，强调手工测试重要性，内容实操性强。

本周CNVD共收录866个漏洞，其中高危428个，0day漏洞占比88%，涉及Oracle、Ivanti等厂商产品存在未授权访问、命令注入等高危风险，建议用户及时下载厂商补丁并关注电信、工控等重点行业漏洞动态。

文档汇总了2026年9月28日至10月11日期间关注度较高的产品安全漏洞，涵盖境外厂商如Ubiquiti、OpenClaw、WordPress插件及境内厂商如海康威视、金蝶、磊科、TOTOLINK等产品的多个漏洞，涉及输入验证不当、授权问题、SQL注入、命令执行、跨站脚本及访问控制不当等类型，建议相关用户及时关注并修复。

本周网安资讯汇总了多项安全威胁情报与漏洞预警，包括钓鱼邮件社工攻击、车载终端恶意探测、云存储未授权访问、物联网摄像头弱口令爆破等风险，并通报了WordPress、Zabbix、D-Link路由器、Node-RED、Grafana及PostgreSQL等系统的高危漏洞，建议相关单位及时升级补丁、加强访问控制与安全自查。

WordPressBricksforge插件存在严重RCE漏洞CVE-2026-85097，CVSS满分10.0，影响3.1.8.9及更早版本，官方已修复。漏洞源于参数校验缺陷，攻击者可未认证执行任意代码，已遭野外利用。建议管理员立即升级至4.0.1版本，并审计相关接口和目录。同时提醒其他两个插件也存在漏洞，以及WordPressQ2安全态势。

NVIDIADCGMExporter存在高危漏洞CVE-2026-47483，可被未授权远程攻击利用导致资源耗尽与监控崩溃，影响AI工作负载。公网超2000台主机暴露，涉及近300家机构，泄露超12000个GPU标识符。官方已发布4.8.2修复版本，建议禁用pprof参数、绑定私有地址并排查公网暴露端口。

文章指出仅按漏洞评分排序补丁会排错，因漏洞严重性不等于资产处置优先级。建议用证据分流方法，先决定响应动作再安排安装顺序，并讨论了CVSS、EPSS、KEV等工具的作用与局限，强调需结合本地资产路径与业务影响决策。

FortinetFortiWeb存在高危命令注入漏洞CVE-2025-58034，源于产品在解析CLI命令参数时未做充分过滤，已验证身份的攻击者可通过构造恶意HTTP请求或CLI命令在底层系统执行未经授权的命令。该漏洞可与CVE-2025-64446身份认证绕过漏洞组合形成攻击链，影响FortiWeb7.0.0至8.0.1多个版本。建议用户尽快升级至8.0.2或更高版本以修复此漏洞。

威胁人员正利用RayAI框架中已修复的老漏洞CVE-2023-48022攻击集群，进行ShadowRay2.0攻击活动，接管计算资源进行挖矿。攻击者使用AI生成的攻击代码攻击AI基础设施，利用GitLab和GitHub平台分发恶意载荷，并采用DevOps实践实时更新攻击工具。目前超过23万台Ray服务器可从互联网直接访问，许多已被入侵。建议Ray框架用户及时更新版本并确保部署在安全的网络环境中。