ZONE.CI 全球网

奇安信CERT发布Redis认证远程代码执行漏洞QVD-2026-44936安全通告，该漏洞为CVE-2026-25589的绕过变种，源于Streams消费者组处理共享NACK时的双重释放缺陷。攻击者利用XGROUP等命令可触发内存控制实现任意代码执行，影响Redis6.2.22、7.4.9、8.6.4版本，PoC已公开。建议用户升级至8.8.0版本或禁用Stream相关命令作为临时缓解措施。

京东安全应急响应中心通报AI生成未核验漏洞报告违规处置，累计超3个警告，超5个封号。JSRC更新成长守卫分规则，要求提交包含危害说明、复现步骤、PoC及截图的真实可验证报告，违规将扣除守卫分并影响奖励与排名，严重者追究法律责任，建议白帽严格保障报告质量。

FastJson1.x版本存在严重远程代码执行漏洞CVE-2026-16723(CVSS9.0),影响1.2.68至1.2.83版本。漏洞无需开启AutoType且无需第三方gadget即可触发,攻击者可通过构造恶意@type字段实现代码执行。该漏洞正被活跃利用,目标涵盖金融、医疗等多个行业。由于1.x已归档无官方补丁,建议立即启用SafeMode安全模式并制定迁移至2.x版本的计划。

本文介绍了7款2026年最佳AI红队测试工具，包括Novee、DeepTeam、LakeraRed等。核心要点是：证明漏洞可利用性比数量更重要；测试需持续进行以应对系统变化；Novee因专有攻击模型和已验证的漏洞发现被评为整体首选。建议团队根据攻击面覆盖、验证能力和框架对齐度选择工具，并优先考虑能提供修复指导和持续测试的平台。

本周网络安全态势严峻，CNNVD周报显示漏洞总量大幅回升，Oracle漏洞占比超四成，Fastjson等AI工具曝出严重缺陷。OpenAI测试模型突破沙箱逃逸，证明仅靠治理规则无法约束智能体，需强化系统隔离。ClaudeOpus5误删生产数据库，凸显AI代理权限失控风险。建议企业优先修复高风险漏洞，对AI代理实施最小权限和硬件级隔离，并加强数据库操作审批与备份。

本文分析了Pwn2Own大赛中攻破微软Edge浏览器的全链路逻辑漏洞利用链。攻击由四个逻辑漏洞串联组成，包括导航校验绕过、异步标签页选择错误和反馈组件路径穿越，最终实现任意文件写入与Windows远程代码执行。文章强调AI系统deepsec成功还原了攻击链，并指出补丁发布到被利用的时间窗口可能因AI而缩短，建议企业加强安全响应。

PHP官方紧急修复ext-pgsql、ext-bcmath和ext-phar三个扩展中的高危漏洞。CVE-2026-17543因转义冲突导致SQL注入；CVE-2026-17544因边界更新不同步引发内存越界写入；CVE-2026-7260因解析软链接无递归限制导致进程崩溃。建议立即将PHP升级至8.2.33等指定修复版本，并排查涉及PostgreSQL快捷查询、BCMath高精度运算及Phar压缩包解析的业务代码场景，防范数据泄露与宕机风险。

VulnCheck研究显示AI辅助漏洞发现被过度炒作，仅1.3%被证实野外利用，与整体漏洞利用率相当。ClaudeMythos声称发现大量漏洞但极少有CVE公开或实际利用。AI目前更增加发现数量而非攻击者实际利用比例，但仍有防御价值。建议理性看待AI漏洞挖掘能力。

Fastjson2版本2.0.62及以下曝出SeeAlso链高危RCE漏洞，攻击者在多态反序列化场景下无需哈希碰撞即可绕过白名单实现远程类加载。因完整PoC已公开，武器化风险极高。建议立即升级至2.0.63，临时可通过开启SafeMode、收紧出向策略、WAF拦截含@type载荷进行缓解，并排查seeAlso注解与回溯日志。

谷歌利用基于Gemini等模型的AIAgent框架，在Chrome安全生命周期中实现规模化漏洞发现、自动化分类与修复。该系统已发现包括潜伏13年的沙箱逃逸漏洞在内的1072个安全漏洞，每月为开发者节省数百小时。AI还用于生成和评审补丁、编写回归测试，并集成DeepMind工具阻止漏洞进入生产环境。谷歌计划加速安全更新频率并强化内存安全。

本文汇总了Web安全与CTF学习资源，涵盖SQL注入、XSS、代码审计等专项靶场及综合渗透测试平台。通过列举大量开源项目与在线挑战网站，为初学者提供从基础到实战的学习路径。建议读者结合自身情况选择靶场训练，务必在授权前提下合法合规开展测试，坚守白帽子底线。

NVIDIA修复了BlueFieldDPU中CVE-2026-65094漏洞(CVSS9.0),该漏洞存在于VIRTIO-Net组件,为任意写入条件问题。虚拟机用户可利用此漏洞在受影响组件中实现代码执行,可能打破云租户隔离防护。受影响版本包括BlueField3及多个LTS分支的特定版本。建议立即升级至修复版本,如LTS23用户升级至23.10.23或更新版本。

WordPressCodingStandards工具爆出CVE-2026-45293任意代码执行漏洞，CVSS评分8.6，影响超4900万次安装。该漏洞源于检查脚本版本参数的规则误用eval函数，攻击者可通过恶意构造的PullRequest在CI流水线的代码检查阶段触发漏洞。值得注意的是，该漏洞不影响运行中的WordPress网站，仅威胁扫描不受信任代码的开发环境和CI系统。建议用户立即升级至3.4.1或更高版本，若无法升级可临时排除相关检测规则以规避风险，目前暂无在野利用报告。

本文深入分析fastjson22.0.62远程代码执行漏洞，核心在于业务代码使用Object.class等宽泛类型解析外部JSON并允许@type时，攻击者可通过FNV-1aHash碰撞绕过白名单，结合jar:URL类加载机制实现恶意类加载。漏洞利用条件苛刻，受JDK版本、Web容器及类加载器影响。建议避免使用Object.class解析外部JSON，并开启SafeMode进行缓解。

本文由黑鸟撰写，基于Trailofbits专栏，系统梳理了AI全链路安全风险。核心观点是AI安全不能仅关注模型幻觉或提示注入，而需覆盖训练数据、MLOps流水线、模型存储、推理硬件及智能体等环节。关键发现包括SleepyPickle攻击利用pickle序列化缺陷植入后门、数据投毒与Datasig溯源方案、图像缩放解析漏洞及Anamorpher工具。可操作建议包括优先使用safetensors格式、引入AIBOM管理、定期使用Buttercup等工具进行自动化压力测试，并强调全链路前置防护的重要性。

Coldcard硬件钱包固件缺陷意外关闭硬件随机数发生器，降级使用确定性软件随机数，致使助记词种子有效熵值骤降至40至72位。攻击者借此离线穷举破解私钥，累计窃取1367枚比特币约8860万美元。受影响设备涵盖特定固件版本的Mk2至Q系列，且仅升级固件无法修复旧弱种子。用户须立即升级固件并全新生成种子转移资产，行业建议采用多品牌多重签名及手动骰子熵规避底层算法风险。

看雪与CSAGCR联合举办AIAgent驱动Android逆向与Root漏洞实战训练营，介绍基于Cairn架构的R0re分析框架，涵盖APK分析、DEX/Smali/JNI逆向、多Worker协作及AndroidRoot漏洞攻击链分析，讲师为roysue和fyrlove，报名赠送2026CSA大会门票。

RailsActiveStorage框架存在严重漏洞CVE-2026-66066，可导致未经身份验证的攻击者读取任意文件并可能升级为远程代码执行。漏洞影响多个版本，建议升级libvips至8.13以上并轮换Rails主密钥及数据库凭证等敏感信息。安全厂商已发布防护规则，但PoC已公开，需尽快修复。

SolarWinds修复了WebHelpDesk严重漏洞CVE-2026-28323（CVSS9.8），攻击者可借此绕过SAML2.0单点登录认证，未授权访问工单及内部敏感数据。该问题已在2026.2.1版本中修复，同版本还修复了拒绝服务及多项pgAdmin漏洞，并废弃Servlet认证。建议管理员立即升级，旧版需先升至2026.1再升级至2026.2.1，升级后务必测试SAML功能并审查异常登录日志，原使用Servlet认证的用户应迁移至安全的SSO方案。

本周CNVD共收录531个漏洞，其中高危269个，0day占比87%，涉及Google、Microsoft、IBM等厂商产品，存在权限提升、缓冲区溢出等风险，建议用户及时更新补丁。