ZONE.CI 全球网

本文深入分析WordPress核心CVE-2026-87902漏洞，该漏洞源于页面模板解析链路中双重编码的pagename参数绕过清洗，导致未认证本地PHP文件包含，特定条件下可升级为远程代码执行。文章详细拆解了漏洞触发前提、完整调用链、GobyPOC的非破坏性验证方法、官方补丁的双层防御机制，并给出升级版本及WAF规则等具体修复建议。

本期信息安全漏洞周报汇总了CNVD及CNNVD发布的最新安全漏洞信息，经团队分析筛查收录了风险漏洞，相关官方机构已发布补丁和修复方案，建议用户及时关注并采取安全措施，确保信息系统安全稳定。

GitLabCE/EE存在严重远程代码执行漏洞CVE-2026-97229，影响19.2至19.4多个版本。攻击者具备仓库写权限即可利用特制正则表达式触发堆越界写实现任意代码执行，威胁等级高危。官方已发布修复版本，建议升级至19.2.8、19.3.5或19.4.2及以上版本，并遵循最小权限原则加强防护。

本文介绍利用Workbuddy搭配Skill技能库自动化复现水平越权漏洞的实战方法。通过配置AI约束规则，自动抓取订单接口，使用同权限账号A的token传入账号B的orderId探测接口，成功读取他人订单数据，确认水平越权漏洞。文章详细分析了漏洞根因（后端缺少订单归属校验）并给出修复方案，最后生成SRC漏洞报告。文章末尾推广了作者的Skill技能库资料，带有一定软文性质。

本文分析IvantiConnectSecure严重未认证RCE漏洞CVE-2026-104935，该漏洞为认证绕过、RCE与提权组成的利用链，CVSS评分8.6，已遭在野利用。攻击者通过补丁比对获取细节，利用门槛极低，边界设备失陷风险高且IoC极少。建议升级至指定安全版本，升级前运行完整性检查工具确认设备未被篡改。墨云VackBot已支持该漏洞检测。

Citrix披露多个XenServer高危漏洞，其中三个可让虚拟机内高权限用户入侵或使宿主机崩溃，影响XenServer8.4和9，第四个漏洞影响范围较窄。管理员需检查版本并参考CTX697170及时应用安全更新，评估主机级风险与客户虚拟机崩溃影响差异。

ICSE2026研究分析649个真实车联网漏洞，发现59%集中在车机和T-Box，因其处于外部网络与CAN总线交界面。Pwn2Own2026上特斯拉车机被USB攻破获root权限。防守需从硬件信任根、通信保护、网关隔离、IDPS及OTA供应链五层架构着手，并建议优先自查T-Box与IVI固件更新等七项措施。

陌陌安全应急响应中心宣布自2026年10月16日起暂停接收新增漏洞，已提交漏洞仍正常审核处理，积分奖励不受影响。暂停期间禁止对陌陌业务进行未授权安全测试，恢复时间另行通知。建议关注官方渠道获取最新动态。

CNNVD发布关于微软多个安全漏洞的通报，此次更新共涉及18个漏洞补丁，其中高危漏洞15个，中危漏洞3个。建议相关用户及时关注官方公告并安装补丁以防范风险。

本文基于为7500多名用户提供Microsoft365安全管理的实践经验，揭示了企业常见安全盲区，包括MFA未全覆盖、旧版身份验证仍启用、全局管理员过多、许可证选择不当及商务电子邮件入侵风险等。文章提出四项优先检查措施：最小化管理权限并使用抗钓鱼MFA、阻止旧版身份验证、确保全员MFA保护并限制第三方应用批准、确保日志记录完整可用，以帮助企业筑牢云端安全防线。

京东安全应急响应中心发布通知，因AI工具违规漏洞测试影响业务稳定性，决定在双十一期间暂停外部授权测试及漏洞收录，暂停时间从2026年10月16日19:00至11月18日19:00，期间违规测试将被追究责任。

Linux内核曝出严重漏洞CVE-2026-99999，名为PwnEscape，可致虚拟机逃逸并获取宿主机控制权。根源在网络代码的延迟校验和机制，可致宿主机内存泄露，研究者在实验室实现宿主机代码执行。影响多个内核分支，上游已发布修复补丁，建议管理员更新内核。

该通告披露Windows健康与优化体验服务(whesvc)存在权限提升漏洞CVE-2026-85884，影响多个Windows11版本。该服务以LocalSystem权限运行，在处理ETW事件时未充分验证事件来源，低权限攻击者可伪造事件加载并执行任意Lua模块，将权限提升至SYSTEM。官方已发布补丁，建议用户尽快通过Windows更新或手动安装修复。

Nextcloud内置Collabora组件存在未认证命令注入漏洞CVE-2026-110447，位于proxy.php启动函数，攻击者利用Host头与URL经转义后拼入bash命令，通过$()替换实现注入，以www-data身份远程执行代码。影响26.4.303之前版本，2026年9月起已在野利用，建议用户立即升级修复。

陌陌安全应急响应中心宣布自2026年10月16日起暂停接收新增漏洞，已提交漏洞仍正常审核处理，积分奖励不受影响。暂停期间禁止对陌陌业务进行安全测试，恢复时间另行通知，可通过官方邮箱或公众号联系。

本文介绍《红队实战指南:AI驱动的渗透测试、红队评估和漏洞挖掘》一书，聚焦AI与安全测试的交叉创新，涵盖从AI辅助信息收集到漏洞利用开发的前沿技术，结合传统安全方法论与新兴技术，为读者构建现代安全测试知识图谱，适合安全入门者、红队评估人员及漏洞挖掘研究人员阅读。

Next.js于10月14日紧急修复两个严重RCE漏洞（CVSS9.5）及一个高危DoS漏洞，影响16.0.0至16.4.0及15.5.27及更早版本。漏洞分别位于ReactServerComponents的usecache功能、librsvg图像处理及ServerActions。修复版本为16.4.1和15.5.28，需升级并确保sharp升至0.35.5以上。

ChatGPT的GitHub集成存在严重漏洞，攻击者可通过隐藏指令劫持AIAgent，将仓库审查操作转化为密钥窃取攻击，CVSS评分9.3。漏洞属间接提示注入场景，攻击者可诱导AI修改私有仓库并触发GitHubActions窃取密钥。防护建议遵循最小权限原则，限制仓库访问范围，排查异常工作流并轮换可能泄露的密钥。

本文介绍漏洞挖掘中信息收集阶段的方法与工具，涵盖企业信息查询、ICP备案、子域名挖掘、IP反查、旁站C段探测、whois查询、端口扫描及目录扫描等，旨在扩大攻击面、发现目标弱点。建议使用FOFA、鹰图等平台进行资产收集，并注意常见端口与数据库服务识别。

文档强调学习渗透测试应优先打好基础，而非盲目跟风使用AI挖洞。AI能提升效率，但无法替代对漏洞原理、业务逻辑和系统架构的理解。真正有价值的漏洞常藏在业务流程中，需扎实的基础能力才能判断和验证AI结果。建议将AI作为副驾驶，先学渗透测试再借助AI提效。