ZONE.CI 全球网

畅捷通T+POSSyncService接口存在未授权SQL注入漏洞，攻击者可未授权读取数据库敏感信息，部分接口可实现远程代码执行，风险较高。影响T+13.0及专属云2026特定版本，官方已发布补丁，建议受影响用户尽快修复，也可通过防护设备拦截相关路径请求临时缓解。

CNNVD发布2026年第35期信息安全漏洞周报，本周新增安全漏洞2265个，较上周有所下降。谷歌公司漏洞最多达333个，授权问题类漏洞占比最大达15.41%。超危漏洞225个，高危漏洞808个，整体修复率为78.41%。建议用户关注厂商补丁更新，及时修复漏洞以防攻击。

该通报汇总2026年9月3日六大安全风险：Langflow漏洞CVE-2026-0768遭利用、JFrogArtifactory认证绕过漏洞被攻击、AI评测机构METR密钥被盗致60万美元损失、勒索团伙招募内部人员、免费LLM接口陷阱及Guildma木马邮件传播。建议优先排查相关资产版本与公网暴露面，轮换密钥凭据，收敛管理接口并加强终端与邮件防护。

本文预警Linux内核io_uring组件高危提权漏洞CVE-2026-52933，评分7.8，源于有符号比较致取消标记失效引发重复释放，影响6.1至7.0等多版本主线及长期支持分支，公开利用链可本地提权至root。建议升级至修复版本或临时禁用io_uring缓解。

Dropbox与联想ID集成存在信任缺陷，攻击者可仅凭受害者邮箱地址注册联想账户并利用SSO机制劫持Dropbox账户，无需密码。Dropbox已撤销受影响会话并要求密码验证，部分账户文件遭查看或下载。事件凸显第三方SSO信任边界验证缺失风险。

文章指出AI工具正推动漏洞挖掘从手工作坊走向工业化生产，挖掘周期从数月压缩至数小时。黑客经验可被蒸馏进大模型批量复制，智能体本身成为新攻击面。防守方需将漏洞情报响应流程自动化、对内部AIAgent做权限收敛和审计、用AI辅助漏洞挖掘和代码审计，以应对攻击方自动化产能。

文档汇总2026年10月网络安全要闻：CNNVD新增漏洞1.3万余个，授权问题占比最高；Anthropic预警小型AI模型或实现自复制，催生物联网AI蠕虫风险；微软修复1411个漏洞含3个零日；英国发布AI安全举措；AI发现漏洞利用率低但风险更高；IDC报告称中国AI安全市场将达340亿元，智能体安全成核心战场。

GitLabCE/EE存在高危整数溢出漏洞CVE-2026-97229，攻击者可通过特制正则表达式在CI/CD配置中触发RCE，以git用户身份执行任意命令。影响19.2至19.4部分版本，官方已发布修复版本，建议用户立即升级并采取限制公共项目访问等临时缓解措施。

F5发布安全公告修复三个NGINX漏洞，包括内存损坏和远程代码执行风险，影响NGINXOpenSource和NGINXPlus，提供升级和配置变通方案。

本文分析ARTEX项目v0.3.14及以下版本存在的严重漏洞，攻击者无需凭据即可通过打满数据库连接池触发认证绕过，覆盖管理员密码并签发JWT，进而通过MCPstdio配置执行系统命令，实现从公网到RCE的完整攻击链。根因是代码错误处理不当，将数据库查询失败误判为未初始化。建议立即升级至v0.3.15，并排查MCP列表与审计日志。

文档汇总2026年10月17日全球安全威胁动态，重点包括Magento存在可执行任意PHP代码的严重漏洞(CVE-2026-103849)，BeyondTrust远程支持零日漏洞已被利用，ClaudeAgentSDK存在命令注入漏洞，以及NTTSolmare电子书店和BurgerKingJapan遭入侵导致数据泄露。建议优先修复已知漏洞并关注AI相关安全风险。

本文记录一次从404页面入手挖掘SSRF漏洞的实战过程。作者通过分析响应头识别小众网关产品，利用开源代码及fork版本获取接口，结合AI辅助fuzz发现未授权监控路径，最终通过代理接口获取云元数据。文章反思资产筛选规则，建议将404等看似无用的资产纳入测试范围，以挖掘更多隐藏资产。

博通Wi-FiWPS实现存在两个内存安全漏洞，影响数百万台路由器及网关，攻击者可在无需密码情况下远程触发代码执行。漏洞源于EAP分片重组缺陷，涉及eCos及Linux平台多款芯片。研究人员已在比利时多家运营商设备验证利用，可窃取无线密钥。建议用户确认设备型号、关闭WPS、安装固件更新，企业应开展资产盘点并加强监测。

安全公司Calif发现OpenBSD共享内存整数溢出漏洞，该漏洞已存在37年，可组合利用另一内核漏洞在OpenBSD7.9上获取root权限，绕过KARL、SMAP和SMEP保护。OpenBSD已于9月通过syspatch修复，建议用户及时更新。Calif还提出内核链表安全解除链接等加固措施。

本文介绍一款名为ai\\_bobao的轻量AI漏洞情报播报系统，可多源并发抓取Seebug、先知、Exploit-DB等漏洞社区RSS资讯，10分钟轮询采集，支持自助接入新增漏洞源。系统依托大模型将漏洞信息结构化整理，自动补全漏洞原理、影响范围并生成PythonPoC，英文情报自动中文化。内置双向Nuclei通道，可导出漏洞情报为Nucleiv3模板，也能增量同步官方模板库。文件式存储无需数据库，搭配Web控制台与完整API，7×24小时持续监测全网漏洞披露。文章同时包含大量内部VIP知识星球推广及付

该文档披露畅捷通T+GLSyncService.asmx接口存在任意文件读取漏洞，影响范围较广。文章提供了FOFA查询语句、漏洞复现过程及POC，并给出关注厂商主页更新的整改建议。同时推广了知识星球及批量扫描工具，内容兼具技术参考与商业推广性质。

本文披露了2026年10月微软补丁修复的WindowsShell0day命令注入漏洞CVE-2026-96951，攻击者可利用特制XML文件绕过MOTW机制执行任意命令，该漏洞已在野被利用。文章提供了技术原理、复现步骤及处置建议，强调立即更新系统至10月版本，并加强安全意识培训以防钓鱼攻击。

PlexMediaServer曝未授权访问的远程命令执行漏洞，CVSS评分9.8，建议用户升级至最新版本并避免公网暴露端口。

PHP官方将发布更新修复两个CVSS评分9.2的高危远程代码执行漏洞，补丁计划于2026年10月21日14:00UTC发布。watchTowr披露漏洞编号CVE-2026-109618和CVE-2026-109619，但信息未经核实，需以官方公告为准。建议企业梳理PHP部署，准备升级流程，关注官方渠道，补丁发布后立即安装。

本文分析CVE-2026-99999漏洞，该漏洞影响Linux内核IPv4校验和处理，源于skb_checksum_help()对checksum\\_start验证不足，可致网络头部被破坏。攻击类型为本地，CVSS9.3严重。受影响版本广泛，多个稳定分支已修复。建议优先安装发行版安全更新，并验证运行内核版本。