ZONE.CI 全球网

Ubiquiti发布UniFi安全公告066修复25个漏洞，其中UniFiConnect应用一个漏洞评分10.0无需登录即可执行代码。多个严重漏洞可导致命令注入或权限提升。受影响产品包括UniFiConnect、Talk、Access、Network、Protect等。建议立即更新至指定版本，目前无主动攻击但需及时打补丁。

微软已修复Defender漏洞RoguePlanet(CVE-2026-50656,CVSS7.8),该漏洞位于恶意软件保护引擎mpengine.dll中,是一个权限提升问题,攻击者可获得SYSTEM权限。微软在引擎版本1.1.26060.3008中修复,并发布深度防御更新。用户无需手动操作,软件会自动更新。

PaloAltoNetworks披露PAN-OS高危缓冲区溢出漏洞CVE-2026-0288，CVSS评分7.2。该漏洞位于User-ID终端服务器代理中，未认证攻击者可远程利用导致防火墙崩溃或执行任意代码。受影响版本包括PAN-OS10.2至12.1的特定版本。建议用户立即更新至修复版本如12.1.8，并临时限制TSA连接为受信任IP地址以降低风险。

本周安全热点聚焦AdobeColdFusion高危漏洞，该漏洞在披露后两小时内即被利用，CISA已下令联邦机构紧急修复。此外，Langflow和Joomla等多个平台的高危漏洞也已在野利用。安全事件方面，AI编程工具ClaudeCode被指存在安全后门隐患，同时首个全程由AI驱动的勒索攻击也已曝光。

微软于2026年7月10日发布安全更新，修复了WindowsDefender中的一个高危提权漏洞CVE-2026-50656（RoguePlanet），CVSS评分7.8。该漏洞存在于恶意软件防护引擎mpengine.dll中，攻击者可利用它将权限提升至SYSTEM。影响所有启用Defender的Windows10/11及Server系统。建议用户立即安装7月累积更新并确认引擎版本已更新。

微软SharePointServer被曝出可被远程利用的高危漏洞，属于远程代码执行类型，攻击者可在未授权情况下通过网络请求触发，获取系统控制权限。CISA已将其纳入已知被利用漏洞清单并发出紧急修复提醒。安全机构建议立即更新补丁、隔离公网暴露实例、启用日志审计并开展取证排查。该漏洞已被多个攻击活动利用，可能导致数据泄露和横向移动。

本文系统梳理了ThinkCMFCMS的已知漏洞，涵盖X系列至6.x版本。核心漏洞包括X系列前台模板注入(CVSS9.8)可实现未授权Getshell、5.x系列后台路由注入(CVE-2019-6713)及Ueditor文件上传漏洞。文章提供了版本识别方法、详细利用路径与官方修复方案，强调通过将display和fetch方法改为protected可修复关键漏洞。

U-Boot引导加载程序被曝六个严重漏洞，潜伏逾十年影响超50个版本，覆盖数十亿嵌入式设备。漏洞位于FIT签名验证逻辑，两个可致任意代码执行，四个可致拒绝服务。攻击者可在操作系统加载前执行恶意代码，绕过信任检查。修复已合入主分支，但需厂商集成至固件更新方可生效，老旧设备可能永无补丁。用户应关注厂商固件更新并评估设备暴露面。

fast-mcp-telegram0.19.0及更早版本存在严重路径遍历漏洞CVE-2026-52830。攻击者可在HTTPAuthorization标头中提供遍历别名如…/fast-mcp-telegram/telegram，绕过持有者令牌验证，访问默认Telegram会话。此漏洞允许未授权攻击者读取和发送消息、调用MTProtoAPI。建议立即升级至0.19.1版本以修复此问题。

Shiro550反序列化漏洞因默认AES密钥和配置难以统一修改而持续高危。ShiroAttack2工具支持GUI和CLI双模式，可自动探测框架、批量爆破密钥、执行命令、注入内存马并篡改服务端密钥。攻击流程包括目标探测、密钥爆破、载荷构造、命令执行和持久化驻留。工具仅限授权安全测试使用，严禁非法行为。

CVE-2026-40860是ApacheCamel中多个JMS组件存在的严重不安全反序列化漏洞，CVSS评分9.8。漏洞源于JmsBinding.extractBodyFromJms()方法在处理ObjectMessage时未加过滤直接反序列化，攻击者可构造恶意消息实现远程代码执行。影响版本包括camel-jms等组件从3.0.0到4.20.0之前版本。官方已发布修复版本4.14.7、4.18.2和4.20.0，建议立即升级并配置反序列化过滤器。

Apple修复了ModelI/O框架中处理Alembic文件时的越界写入漏洞(CVE-2026-20616),攻击者可通过构造恶意USD文件触发,甚至无需用户主动打开(QuickLook、Spotlight等后台解析)。漏洞由ZDI研究员报告,2025年11月报给Apple,2026年2月修复。受影响版本包括iOS/iPadOS18.7.5之前、macOSSonoma14.8.4之前等。建议升级到最新版。

本文分析了Electron应用因安装在用户目录、未加密asar包及Chrome调试协议而成为攻击者持久化入口的三种利用手法：BEEMKA脚本注入、DLL劫持和远程调试协议。文章指出这些方法无需修改系统文件，可绕过杀软检测，并建议通过监控AppData目录文件变化、进程树和端口来防御。

FirefoxJIT引擎存在CVE-2026-10702高危漏洞，攻击者可通过恶意JS触发越界读写实现沙盒内任意代码执行。Mozilla已在151.0.3版本修复。建议立即升级或禁用JIT编译作为临时缓解。该漏洞已被纳入IonStack安卓Root攻击链，实战风险极高。

该文档汇总了2026年攻防演练前需重点排查的679个漏洞清单，指出AI与大模型应用工具、OA与协同办公系统、中间件与开发框架、网络与安全产品、桌面软件与操作系统为五类高危入口。强调漏洞治理应从发现修复转向优先修复最易被利用的漏洞，并关注AI基础设施、传统Web漏洞及企业软件供应链风险。

同程旅行安全应急响应中心自2026年7月10日起暂停接收旗下子公司（金天鹅、住哲、云掌柜等）业务漏洞，以优化漏洞管理流程、提升处置效率，恢复时间将另行通知。

2026年7月10日CISAKEV新增4个在野利用漏洞，包括AdobeColdFusionCVE-2026-48282（CVSS10.0）、Joomla插件SPPageBuilderCVE-2026-48908（CVSS10.0）、LangflowCVE-2026-55255（CVSS9.9）及CoreWCFCVE-2026-54782（CVSS10.0），另有ApacheGravitinoCVE-2026-41042（CVSS9.1）。这些漏洞均被积极利用，需立即升级软件、审计日志并限制网络访问。

斗象科技发布2026攻防演练必修高危漏洞集合2.0版，整理38个高危漏洞，涵盖SQL注入、RCE、文件读取等类型，影响国产化ERP、OA、CRM等系统。报告提供漏洞信息、影响范围、检测思路和修复建议，旨在帮助企业补充自查清单，应对护网期间安全风险。

本文通过三道CTF题目详细演示了Web流量包分析提取冰蝎WebShell、本地导出Java类文件排查隐藏内存马、以及Fastjson漏洞关联哥斯拉流量解密获取Flag的完整实操步骤。核心方法包括过滤HTTP流量定位WebShell路径、使用MD5计算文件哈希、通过ABC蓝队分析工具解密冰蝎和哥斯拉加密流量、以及全局搜索敏感关键字排查内存马。可操作建议包括使用D盾查杀工具辅助验证和编写Python脚本解密Base64类文件。

本周报收录了国家信息安全漏洞共享平台(CNVD)及国家信息安全漏洞库(CNNVD)发布的风险漏洞信息，建议相关用户和组织及时关注并应用官方补丁与修复方案，以保障信息系统安全稳定。