ZONE.CI 全球网

WordPress存在条件竞争漏洞，攻击者可利用该漏洞在升级窗口内注入恶意配置，实现任意代码执行，影响多个版本，官方已发布修复版本。

Claude-BugHunter是一个独立的技能包，用于漏洞挖掘和红队工作，包含83项技能和15个斜杠命令，涵盖24个核心漏洞类别的681个已披露报告模式，支持企业身份和基础设施攻击矩阵，并经过实战检验。

CyberPanel开源Web控制面板存在命令注入漏洞，攻击者可利用该漏洞以root身份执行任意系统命令，官方已发布修复版本建议用户升级。

OpenSSH/musl密码认证绕过漏洞（CVE-2026-123158）复现分析，影响OpenSSH10.6p2之前版本，需升级修复或禁用密码认证，提供复现PoC及修复建议。

SonicWall发布安全更新，修复了SonicOS防火墙中的七个漏洞，其中包括一个在攻击中被利用的SSL-VPN身份验证绕过漏洞（CVE-2026-19868）。该漏洞可能导致攻击者绕过SAML身份验证控制，影响配置为使用SAML身份验证的SonicOSSSL-VPN服务。SonicWall建议客户安装最新的安全更新以降低风险。

本周雷神众测漏洞周报发布了LinuxKernel、OpenSSH、WindowsUpdateStack和JetBrainsTeamCity的多个漏洞信息，包括漏洞危害、影响范围和修复方案。建议及时测试并升级至最新版本。

IBMConcert操作系统存在命令注入漏洞CVE-2026-6715，CVSS评分9.8，可远程执行任意命令。同时，其他安全事件包括IrisOhyama数据泄露和GnosisPay卡业务数据泄露。微步在线收购ARTEX渗透框架并转向闭源。

ReactServerComponents曝严重漏洞，攻击者无需认证可远程执行代码，影响特定版本包，官方建议立即升级。

攻击者利用SSHole漏洞对特定OpenSSH服务器发起攻击，通过超长密码绕过认证，OpenSSH已发布修复补丁，管理员应更新并重启sshd服务。

SonicWall披露了SSL-VPN身份验证强制执行漏洞，可能被攻击者利用绕过多因素身份验证，影响启用了SAML身份验证的SonicOSSSLVPN部署，CVSS评分为7.1，需及时更新至修复版本。

ApacheOFBiz存在代码注入漏洞，远程攻击者可利用该漏洞执行任意代码，完全控制应用与主机。建议升级至最新版本并采取其他缓解措施。

Webmin2.670及以下版本Samba组件存在命令注入漏洞CVE-2026-125391，可远程攻击；同时报道了巴西阿根廷演习保护海底通信光缆、CISA发布增强版网络事件报告表、Varonis发布NotC2概念验证工具、前FBI探员窃取加密货币等安全动态。

Telegram安卓版存在漏洞，允许攻击者在用户接听语音通话时运行代码，需更新至12.10.4版本或更高版本，并设置通话隐私选项为‘无人’以防止攻击。

一个名为sshole的漏洞正在被黑客积极利用，该漏洞允许未经身份验证的访问Linux系统上的特权账户，攻击者利用此漏洞实施成熟入侵，OpenSSH已发布修复补丁，用户应立即安装更新。

国内SRC驳回漏洞提交，应急响应中心修复漏洞却留下痕迹，引发白帽争议。

OpenSSH密码认证绕过漏洞（CVE-2026-123158）影响musllibc的Linux系统，攻击者可绕过密码认证登录。官方已发布修复补丁，建议升级至10.6p2或更高版本，或采取临时措施。

ApacheOFBiz存在未认证远程代码执行漏洞，攻击者可利用该漏洞执行任意命令，建议升级至最新版本或采取临时缓解措施。

OpenSSH在AlpineLinux等基于musllibc的系统上存在严重认证绕过漏洞，攻击者可利用超长密码绕过认证直接登录。OpenSSH已发布紧急更新，建议升级或禁用密码登录。

爱奇艺安全应急响应中心宣布暂停接收新增安全漏洞，暂停期间已提交漏洞审核与处理不受影响，恶意攻击将追究法律责任。

11月9日，NVD发布294条漏洞记录，其中6条为严重漏洞，涉及反序列化、上传、信息泄露和认证绕过，多个产品存在安全风险，包括rConfig、WidzialniCMS、WPDuplicate等，并提供了修复建议。