ZONE.CI 全球网

墨云安全对49个AI相关开源项目进行AI自动化渗透测试，发现42个项目存在174条漏洞，包括超危、高危、中危、低危和信息的等级分布。报告分析了漏洞类型和CWE维度，并提供了针对开发者的修复清单。

Medusa是一个自动化漏洞扫描框架，提供命令行和Web后台，支持多种漏洞检测和利用，适用于授权测试场景中的批量目标排查工作。

本文探讨了传统漏洞治理模式存在的问题，提出了五步闭环2.0长效漏洞治理方案，旨在帮助组织建立自主抵御风险的安全体系。方案包括全域资产排查、风险处置优先级划分、差异化整改、标准化复测和全流程档案留存等环节，强调常态化风控和标准化流程的重要性。

AI漏洞研究流水线中，对因果验证和补丁闭环的重要性进行了探讨，强调验证每条利用是否真正使用指定漏洞，以及如何确保补丁的正确性和安全性。

KnowSafe推出按资产计费的新漏洞托管模式，为企业提供从产品立项到事后的安全评估与应急响应服务，同时提供安全人才输出和培训，以解决中小企业安全人才短缺问题。

AI工具发现PHP和Linux内核漏洞，企业面临AI攻击和内部AI风险，青藤无相AI安全建设通过轻量智能体提供全链路闭环的漏洞管理和合规治理。

APT29利用第三方脚本劫持网站，针对iOS和Android用户进行漏洞攻击，窃取敏感信息，攻击者根据设备环境投放不同漏洞利用程序，复用商业监控工具漏洞利用框架。企业应加强第三方脚本管理，及时修复漏洞，监测异常行为，保护会话凭证。

OpenSSH官方发布10.6p2版本修复sshd密码认证绕过漏洞，影响7.3p1至10.6p1的PortableOpenSSH版本，需升级至10.6p2版本。漏洞仅在特定Linux系统底层使用musllibc且未启用PAM支持时才受影响，建议受影响用户尽快升级。

日本计划与美国AI企业合作获取未公开软件漏洞信息，同时多起网络攻击事件和漏洞被发现，包括Google日历钓鱼攻击、数据泄露、云端AI账单欺诈、银行网络盗窃、Android高危漏洞和APT漏洞等。

AI攻防重塑安全格局，多起重大漏洞与数据泄露事件集中爆发，政策监管持续加码，基础组件漏洞集中披露，第三方供应链问题突出，AI攻击防御成为新趋势。

GPUStack2.2.0之前版本存在认证绕过漏洞，攻击者可通过伪造HTTP头获取管理员权限，已确认在野利用。建议升级至v2.2.2及以上版本或采取临时缓解措施。

本文介绍了EDUSRC漏洞挖掘的常见思路，包括支付逻辑漏洞、水平越权漏洞、云安全OSS存储桶漏洞和敏感信息泄露等，并提供了相应的案例和解决方法。文章还介绍了相关的培训课程信息。

网络安全公司Barracuda警告称存在两个严重漏洞，可能被利用以root权限运行命令，建议客户更新至最新固件版本并应用安全补丁。

EIP-7702非漏洞，账户委托机制被武器化导致币安热钱包被盗，攻击者利用签名服务控制权，通过大量授权精准攻击，暴露热钱包签名服务单点风险和委托机制问题。建议实施严格权限、审计、熔断，限制委托，实时监控并加固签名基础设施。

AI正在改写工控攻击的成本和时间结构，通过自动化侦察和利用代码编写，缩短攻击准备时间，同时AI驱动的网络攻击被视为比勒索软件更大的运营完整性风险。工控安全防御需要从挡住攻击转向快速检测与限损能力。

ARTEX-FULL衍生加强版是一个基于ARTEX的AI自主渗透测试项目，增加了MCP工具链、多Worker协同探索和漏洞复测自动化闭环等功能，提供多种部署方案，遵循AGPL-3.0协议，仅限安全研究学习。

Zyxel发布安全公告修复GS1900系列网络交换机零日漏洞，全球近1000台设备遭入侵，建议管理员安装最新固件更新。

OpenSSHmusl密码认证绕过漏洞（CVE-2026-123158）已修复，影响版本为2016年以来至10.6p2之前运行于musllibc且未启用PAM的OpenSSHsshd。通过发送特定长度的超长密码，可以绕过密码认证获取root权限。修复方法为升级至OpenSSH10.6p2并重启sshd。

OpenSSH/musl密码认证绕过漏洞：musl的crypt()遇超长口令返回\\`*\\`，与shadow里的\\`*\\`相等；首次借盐失败一次后即可通过。

OpenSSH/musl密码认证绕过漏洞已修复，该漏洞允许攻击者在特定条件下绕过密码认证登录目标账户，影响范围包括OpenSSH7.3p1至10.6p1版本，修复建议为升级至OpenSSHPortable10.6p2。