ZONE.CI 全球网

AI技术将漏洞利用时间从22天缩短至几小时，导致漏洞修补速度未提升，可能引发长期、昂贵的局部爆发，对无法快速更新的系统和高价值目标构成威胁。文章分析了AI对网络安全的影响，并提出了防御建议。

OpenAI推出网络安全专用模型GPT-6Cyber，在ExploitGym上得分提升51%，帮助Mozilla发现81个高危漏洞，具备代码阅读、漏洞查找、利用程序编写及验证能力，但仅向特定客户开放，并实施严格防护措施。

BootScope是一款SpringBoot路径泄露/绕过漏洞验证的浏览器扩展，内置67条框架路径，支持路径绕过和URL编码变体，自动识别SPA回退和软404，可一键导出报告，无需构建后端，适用于Chrome、Edge和Firefox浏览器。

CVE-2026-123960是TOTOLINKCA300-PoE路由器固件中的缓冲区溢出漏洞，影响固件6.2c.884，可通过Web管理接口远程触发，利用难度低，无补丁可用，建议禁用远程管理或限制管理接口，或考虑替换设备。

TendaAC19路由器存在无需认证的远程堆溢出漏洞，攻击者可远程利用，厂商未发布修复固件。

本文记录了一次客户系统测试中发现的多种经典漏洞，包括用户枚举、任意用户登录、SQL注入和垂直越权等，并分析了这些漏洞的发现过程和解决方案。同时，文章也介绍了相关的培训课程信息。

该仓库包含1600+个CMS历史漏洞的验证脚本，提高审计和自查效率，但需在授权环境下使用，并提供多种漏洞扫描框架和脚本格式。

本文介绍了设计漏洞挖掘Agent的方法，从LLM原理到四层架构与核心代码，包括LLMAPI、FunctionCalling、Agent的运行本质、四层后端架构、领域建模和核心代码实现。

11月7日NVD记录667条漏洞，包括文件上传、认证绕过、反序列化、信息泄露等，多个插件存在高危漏洞，需及时修复。

本周汇总了54个高危漏洞，包括3个在野利用，并分析了SonicWallSSLVPN、Apple、WordPressCore等漏洞的详情，同时提供了修复优先级和建议。

安全工程师应先了解业务价值、系统边界和数据流向，建立判断坐标，而非直接寻找漏洞。通过业务全景图和核心业务清单，可确定安全工作的起点，并根据业务阶段和变更节奏调整风险排序。

TheGrid插件存在代码执行漏洞，允许攻击者通过特定输入执行系统命令，复现过程已提供。

本文描述了配置参数无效值注入导致下游功能异常漏洞，分析了漏洞的技术细节和测试流程，并指出了可能造成的危害，如功能拒绝服务、账户锁定和权限绕过或错乱。

本文详细记录了一次针对客户网站SQL注入漏洞的挖掘过程，包括发现注入点、绕过过滤、获取库名等步骤，并附带了作者在挖掘过程中的经验分享。同时，文章也介绍了相关的SRC漏洞挖掘培训课程信息。

OpenAI的GPT-6网络安全系统发现大量严重漏洞，推出GPT-6Cyber模型以增强漏洞发现和修复能力，该模型在多个基准测试中表现优于前代，并已应用于实际漏洞修复和代码审查。

OpenSSH发布10.6p2修复了musl系统上sshd接受任意长度密码的漏洞，影响Alpine、OpenWrt等系统，建议升级修复并检查是否被攻击。

安卓银行木马漏洞导致设备无限重启、变砖，谷歌未修复。该漏洞无需权限，诱导安装应用即触发，可造成拒绝服务攻击。Bitdefender发现，谷歌已知晓但未修补。

文章探讨了勒索软件攻击中漏洞流转的可能性，分析了疑似利用AI挖掘漏洞并售卖至勒索组织的情况，同时讨论了漏洞披露过程中的问题与争议。

AI编码助手ClaudeCode的`不再询问`功能导致密码、API密钥等敏感信息泄露，1122个GitHub仓库受影响，建议开发者重置密钥并检查仓库配置。

本文分享了针对只有登录框的渗透测试的多种攻击方法，包括弱口令、SQL注入、暴力破解、验证码绕过、修改响应码、目录扫描、找回密码、注册、历史漏洞、端口扫描和JS信息泄露等，并强调了测试过程中需要注意的细节和防御建议。