ZONE.CI 全球网

天融信发布关于WordPressCore预认证远程代码执行漏洞链wp2shell的风险提示。该漏洞链由CVE-2026-63030（RESTAPI路由混淆）和CVE-2026-60137（WP\\_QuerySQL注入）组合而成，攻击者无需认证即可远程执行代码，影响WordPress6.9.0至6.9.4及7.0.0至7.0.1版本。建议受影响用户立即升级至6.9.5、7.0.2或6.8.6版本，或通过WAF对RESTAPI批处理接口进行临时限制。

绿盟科技CERT发布WordPress远程代码执行漏洞通告(CVE-2026-63030和CVE-2026-60137),CVSS评分9.8,漏洞细节与PoC已公开且存在在野利用。攻击者可绕过RESTAPI认证,通过SQL注入获取管理员密码哈希并植入WebShell实现远程代码执行。受影响版本包括WordPress7.0.0至7.0.2、6.9.0至6.9.5及6.8.0至6.8.6。建议用户立即升级至最新版本或采取安装DisableWPRESTAPI插件、拦截相关端点等临时缓解措施。

Qualys披露Ubuntu高危提权漏洞CVE-2026-8933与CVE-2026-3888。两者源于Snap沙箱组件snap-confine的竞争与时序缺陷。攻击者借临时文件窗口挂载FUSE并篡改udev规则，或利用组件交互时序缺陷获取root权限。建议尽快安装snapd更新修复。

Qualys于2026年7月22日披露了Linux内核XFS文件系统提权漏洞CVE-2026-64600，影响超1640万台系统。该漏洞源于XFS写时复制路径中的竞态条件，攻击者可通过reflink克隆文件并利用directI/O写入竞争绕过检查，直接修改原始文件数据块，获得root权限。常规防护如SELinux无法拦截。受影响版本为4.11及以上内核且启用reflink的XFS系统。建议立即更新内核并重启，无可靠临时缓解措施。

CNVD漏洞周报2026年第27期显示，本周共收集整理428个信息安全漏洞，其中高危漏洞237个，中危145个，低危46个。漏洞主要集中在WEB应用（236个）、网络设备（77个）和应用程序（76个）。本周重要漏洞包括MicrosoftASP.NETCore资源管理错误漏洞、GoogleChrome资源管理错误漏洞等，攻击者可利用这些漏洞导致系统拒绝服务或执行任意代码。建议相关用户及时下载补丁更新，以避免安全事件的发生。

苹果起诉OpenAI窃取商业机密，核心为前员工利用罕见身份验证零日漏洞绕过机制，非法下载数十份未发布硬件机密文件。该员工不仅未按协议上报漏洞，还挪用他人权限进行操作。苹果已修复漏洞并要求陪审团审判，此案凸显了企业离职权限管控与内部威胁防范的严峻挑战。

新公开的wp2shell漏洞利用两个WordPress核心漏洞CVE-2026-63030和CVE-2026-60137，可链式实现未授权远程代码执行，影响6.9.x和7.0.x版本。WordPress已发布7.0.2和6.9.5修复版本并启用强制自动更新。建议站点所有者立即更新，或临时配置WAF规则阻止对RESTAPI批处理端点的匿名访问。

CVE-2026-42533是NGINX脚本引擎中一个存在15年的堆缓冲区溢出漏洞，允许远程未认证攻击者通过特制HTTP请求导致工作进程崩溃或可能实现远程代码执行。该漏洞影响nginx0.9.6至1.31.2版本，仅在使用特定正则表达式map配置时触发。F5已发布修复版本1.30.4和1.31.3，建议用户立即升级。临时缓解措施为将编号捕获替换为命名捕获，但并非完全有效。

WordPressCore存在严重预认证远程代码执行漏洞wp2shell，影响超5亿站点。漏洞源于RESTAPI批处理路由混淆导致SQL注入和RCE，无需认证即可利用。官方已发布补丁并通过自动更新强制推送，建议管理员立即更新或采取临时缓解措施如屏蔽相关端点。

Redisstream消费组NACK双重释放远程代码执行漏洞(CVE-2026-25243补丁绕过)被披露，影响Redis6.2.22、7.4.9、8.6.4等版本。攻击者需认证，利用复杂度低，POC已公开。根因是rdbLoadObject加载PEL时缺少重复归属校验，导致双重释放。建议立即升级至8.8.0或应用补丁，并加强访问控制与运行时降权。

MetaCRM6的/customizemt/xkq/rpc.jsp接口存在SQL注入漏洞(CVE-2026-15514),未经验证的攻击者可利用该漏洞执行任意SQL语句获取数据库敏感信息,影响版本为MTCRM66.4.0Beta06,目前POC已公开,建议用户立即升级至官方安全版本。

上周新增漏洞2613个较前一周大幅反弹，微软漏洞最多；曝光Spirals勒索软件、AndroidAI代理架构漏洞等安全事件；GAO报告指出美国七成网络安全法规重叠加重企业负担；VibeCoding应用存在系统性安全缺陷；GitHub下调公开漏洞赏金。

本文为零基础学习者提供了一条从入门到实战的网络安全进阶路线图，强调先筑牢法律法规、网络基础、操作系统和编程等根基，再深入学习Web安全核心漏洞原理，然后通过工具和靶场进行实战演练，最后在合规SRC平台挖掘漏洞赚取赏金。文章结尾引导读者获取免费学习资料，具有明显的推广性质。

新华三披露Redis身份认证后远程代码执行漏洞，暂无CVE编号。该漏洞源于流数据类型恢复消费组时的内存管理缺陷，具备特定命令权限的攻击者可触发重复释放内存从而执行任意代码。漏洞影响6.2.22等多个版本，威胁等级高危。建议用户立即访问官方仓库升级补丁，或部署新华三IPS及态势感知产品进行拦截与检测。

Exim邮件传输代理4.88至4.99.4版本存在高危目录遍历漏洞(GCVE-25-2026-07-45-1)，源于消息队列处理中对命令行参数的不当处理，本地攻击者可利用该缺陷提升权限。官方已发布4.99.5修复版本，通过限制特权用户使用敏感选项并加强输入验证解决。由于无临时缓解措施，建议管理员立即升级并监控异常队列操作。

Anthropic的ClaudeCowork存在SharedRoot沙箱逃逸漏洞，攻击者可突破Linux虚拟机限制，在Mac上任意读写文件。漏洞源于宿主机文件系统以读写方式挂载至VM，结合CVE-2026-46331提权漏洞实现逃逸。约50万macOS用户受影响，Anthropic未发布补丁但默认采用云端执行。建议禁用非特权用户命名空间、限制共享范围。

华东师大与上交大团队发现公交二维码密码学漏洞千里码，攻击者仅需分析一次问题码即可伪造签名并持续冒用他人电子公交卡盗刷。该漏洞影响国内部分城市，已负责任披露并修复。建议用户除乘车外切勿在社交平台分享公交码防范风险，企业可联系研究者获取检测工具排查。

微软2026年7月单月修复570个漏洞创历史纪录，含3个零日漏洞，其中ADFS与SharePoint权限提升漏洞已被在野利用。漏洞暴增主因是微软引入AI多智能体系统MDASH辅助挖掘缺陷，表明AI正加速重塑网络攻防节奏。建议企业立即部署累积更新，优先处理ADFS、SharePoint及DHCP等关键基础设施漏洞，暂无法修补者可开启AMSI作为缓解措施。

安恒信息王欣在访谈中探讨AI安全下一个十年，指出AI代码审计智能体发现FreeBSD32年高危漏洞，标志防御方拥有结构性优势而非临时优势。技术重心应从传统漏洞挖掘转向实时智能对抗和AI自身安全，防范模型投毒等风险。正确的网络安全观需融入自主可控、智能主导、前置防御、AI安全和体系协同五大内涵。

厦门四信通信水利信息化平台存在高危SQL注入漏洞，未经身份验证的攻击者可利用该漏洞获取数据库敏感信息。目前漏洞利用代码已公开，官方已发布修复版本，建议用户立即升级至安全版本以防范风险。