ZONE.CI 全球网

日本电信运营商KDDI确认其ISP邮件系统因第三方软件零日漏洞遭攻击，导致超1223万邮箱地址及761万密码泄露。攻击者自2026年5月16日潜伏至6月17日被发现。KDDI已修复漏洞并强制用户改密，后续计划引入AI分析代码并升级邮件协议。事件凸显共享基础设施与供应链安全的系统性风险，建议加强持续监测与零信任防御。

2026年7月7日公开的Linux内核高危漏洞CVE-2026-43499（GhostLock）存在于rtmutex子系统的remove\\_waiter()函数中，为栈释放后使用漏洞，影响2.6.39至7.1版本内核。攻击者利用本地普通权限通过构造futex系统调用序列可触发内存损坏，实现内核提权至root并完成容器逃逸，攻击稳定性达97%。官方补丁已发布，建议立即升级内核或采取限制本地访问、启用内核加固等临时缓解措施。

NebulaSecurity团队公开了全球首个Android17远程临时root演示项目IonStack，攻击者仅需诱导受害者点击恶意URL即可获取临时root权限。该利用链包含两枚0day漏洞：一枚影响Firefox151.0.2之前版本的浏览器漏洞，另一枚是潜伏Linux内核15年的通用漏洞GhostLock（CVE-2026-43499）。GhostLock本质是stack-UAF漏洞，通过构造死锁循环触发，最终实现权限提升。利用过程包括Prefetch侧信道泄露KASLR、CEA喷射绕过地址随机化

Linux内核KVM虚拟化中存在16年漏洞CVE-2026-53359（JanusCape），允许虚拟机逃逸到宿主机。漏洞源于影子MMU中影子页角色验证缺失，导致释放后重用，攻击者可破坏宿主机内核内存。影响多租户云环境，嵌套虚拟化场景下可被利用。建议及时更新内核补丁。

XWikiPlatform旧版核心组件存在高危路径遍历漏洞(CVE-2026-34151),攻击者无需认证即可远程读取系统配置、用户凭证哈希等敏感数据。影响全系列低于17.10.5版本。官方建议升级至17.10.5及以上版本,临时措施包括Nginx拦截私有路由和限制公网访问。

NetworkUPSTools(NUT)存在一个严重远程代码执行漏洞(CVE-2026-54161,CVSS8.1)。攻击者可通过控制告警数值，利用upsmon客户端对ups.alarm输入未进行清理的缺陷，以root权限执行命令。该漏洞影响NUT2.8.3至2.8.5版本及当前主分支，目前尚无官方补丁。建议用户立即从ALARM通知中移除EXEC选项，并严格限制upsd的网络访问权限作为临时缓解措施。

IBMWebSphereApplicationServer8.5和9.0版本存在三个漏洞，包括两个严重XSS漏洞（CVE-2026-11712和CVE-2026-11708，CVSS9.3）和一个中等路径遍历漏洞（CVE-2026-11595，CVSS4.3），均影响管理控制台帮助系统。建议立即升级至FixPack9.0.5.29或8.5.5.31及以上版本，并加强访问监控。

RapidScan是一款基于Python3的多工具Web漏洞扫描器，集成nmap、nikto、wpscan等主流工具，支持超过80项漏洞测试，涵盖基础设施、DNS、SSL/TLS及Web应用安全。其智能误报判断和结果分类功能提升了扫描效率。用户可获取该工具进行自动化安全评估。

文档汇总了2026年7月10日的六大安全风险，包括Chrome150修复27个漏洞、UbiquitiUniFiOS关键漏洞、AI编码代理信任边界问题、Entrapasskey语音钓鱼、伪造支付SDK供应链攻击和AssuranceAmerica数据泄露。建议企业优先更新浏览器和网络设备，隔离AI代理环境，审计身份认证方法，清理恶意依赖，并监控敏感数据访问。

该漏洞源于Budibase低代码平台authorized()中间件使用非锚定正则表达式匹配Webhook路径，攻击者通过拼接?/webhooks/trigger等字符串可绕过身份认证与CSRF防护，实现对所有API端点的未授权访问。复现需搭建Docker环境，利用默认管理员账号创建workspace后，在API请求后附加特定路径即可获取敏感信息。

ChocoPoC是一种针对安全研究员的远控木马，通过GitHub上发布假漏洞利用代码(PoC)进行传播。恶意代码不直接出现在主程序中，而是隐藏在依赖包frint和skytext中，需检测到特定PoC文件才触发。木马会窃取浏览器密码、Cookie、文件并建立后门，通过Mapbox服务进行隐蔽通信。建议在隔离环境测试PoC、检查依赖链、扫描特定包并更换凭证。

OPNsense防火墙高危漏洞CVE-2026-57155评分达9.9。攻击者利用GeoIP导入功能缺乏路径过滤的缺陷写入恶意文件，结合定时任务实现Root级RCE。该漏洞仅需低权限且PoC已公开，无缓解方案。建议立即升级至26.1.11或26.4.1p1修复，同时收紧账号权限、排查异常配置并强化日志监控以防设备被控。

微软修复WindowsDefender的RoguePlanet漏洞CVE-2026-50656，该漏洞为本地权限提升漏洞，CVSS评分7.8，影响恶意软件防护引擎。攻击者利用竞争条件可获SYSTEM权限，PoC已公开。建议用户立即更新引擎至1.1.26060.3008版本并开启自动更新。

锐明技术Crocus系统存在DeviceFileUpload任意文件读取漏洞，攻击者可利用该漏洞读取系统文件。漏洞复现POC已公开，可通过FoFa语法body=/ThirdResource/respond/respond.min.js&&title=Crocus搜索目标系统。文章提供漏洞详情及Nuclei批量自查脚本，但需关注公众号或加入付费圈子获取。建议用户及时排查并修复此漏洞。

CatoAILabs发现CursorIDE存在两个严重RCE漏洞，允许攻击者突破沙箱执行远程代码。该漏洞影响Cursor2.x系列，用户覆盖财富500强企业。攻击利用提示注入和符号链接缺陷。建议禁用自动终端执行并限制MCP服务器。

IBMPowerHMC存在严重命令注入漏洞CVE-2026-12943，CVSS评分9.8，允许未授权攻击者远程执行任意命令。影响HMCV10.3.1050.0至V10.3.1064.0及V11.1.1110.0至V11.1.1112.0版本。管理员应立即从IBMFixCentral下载补丁修复，防止系统被完全控制。

匿名作者bikini在GitHub公开Exploitarium仓库，包含数十个未报告的0day漏洞PoC，利用AI辅助fuzzing（如GPT-5.5Cyber）发现，将漏洞发现边际成本降至极低。此举引发安全圈震动，支持者认为可降低研究门槛，反对者担忧加剧攻击风险。文章指出这是AI时代安全研究范式转变的标志，建议防守方立即盘点基础设施、打补丁升级以应对漏洞发现速度远超修复速度的剪刀差。

本文是一个真实案例复盘，讲述了企业因对离职员工权限回收不彻底，导致业务线停摆近三个月的严重安全事件。攻击者利用未被回收的数据库密码、后台API设计缺陷以及光猫L2TPVPN隧道，每天定时执行破坏脚本，绕过所有安全措施。事件最终揭示了企业在人员管理、代码审计和网络设备安全等方面存在的多重漏洞，并强调了完善管理制度和技术规范对网络安全的重要性。

BMCControl-M/Server存在严重漏洞CVE-2026-10539，CVSS评分9.5，允许未经身份验证的攻击者远程执行命令。该漏洞源于输入处理不当，影响9.0.20.x至9.0.21.200版本。建议立即升级至9.0.21.300或更高版本，并限制网络访问以降低风险。

研究人员公开了SharePoint远程代码执行漏洞CVE-2026-33112的PoC，该漏洞CVSS评分8.8，影响本地部署版本。攻击者仅需站点成员账户即可利用XSD架构导入绕过此前补丁实现远程代码执行。微软已在5月补丁中修复，建议立即应用更新并阻止服务器向不受信任主机发起出站连接。