ZONE.CI 全球网

美国CISA将影响AdobeCommerce和Magento的CVE-2026-48356文件上传漏洞及GoogleBrotli的CVE-2026-111497解码器漏洞列入KEV目录，确认正被积极利用。攻击者利用PolyShell入侵数百家商店，Brotli漏洞影响广泛，多家供应商已发布补丁，建议相关机构在11月10日前完成修复。

AdobeMagentoOpenSource和AdobeCommerce存在模板注入漏洞，攻击者可执行任意代码，影响版本2.4.6至2.4.9，已发布修复版本，建议升级。

2026年10月29日网络安全动态显示多起安全事件：日本云桌面服务遭入侵致26739台服务器被植入恶意软件并索要80亿日元赎金；恶意Firefox扩展冒充加密钱包窃取密钥；TeamViewer修复三个高危漏洞；Adobe修复8个严重漏洞；某公司数据泄露致258.5万条客户记录曝光。建议及时更新软件并加强安全监测。

摄星科技发布关键漏洞目录，新增GoogleBrotlidecode.c缓冲区溢出漏洞和AdobeCommerce任意文件上传漏洞，均存在高危风险，需及时更新修复。

本周CNNVD统计新增安全漏洞1699个，微软公司漏洞数量最多，跨站脚本类漏洞占比最高达10.95%。通报GoogleChrome远程代码执行重大漏洞（CNNVD-202606-1877），同时列举AdobeCampaignClassic、ApacheAnswer等关键漏洞实例，建议用户及时更新补丁修复漏洞。

全国网安标委发布国内首个AI智能体部署安全指引，覆盖评估至停用全生命周期；同时披露多个安全漏洞与威胁，包括LiteLLMProxy预认证SQL注入漏洞、AdobeColdfusion严重RCE漏洞、macOS窃密木马伪装ClaudeCode广告、AzureCLI遭8100万次密码喷洒攻击、苹果隐藏邮箱功能漏洞、nginxrewrite模块潜伏18年堆溢出漏洞、Fluentd日志引擎RCE漏洞、Remcos恶意软件新变种内存加载技术、NAIC遭攻击致3.1TB数据泄露等，并给出相应修复建议。

Adobe发布安全补丁修复ColdFusion与CampaignClassic产品中7个高危漏洞，包括5个CVSS满分10.0级漏洞，涉及文件无限制上传、输入校验不当、路径遍历等缺陷，可导致远程代码执行、权限提升及任意文件读取。Adobe宣布自2026年7月14日起将安全公告频次提升至每月两次，以应对AI加速漏洞挖掘带来的威胁。

Adobe于2026年7月发布安全更新，修复ColdFusion与CampaignClassic等产品中的严重漏洞。企业补丁治理常忽视业务中间件，导致风险暴露。建议立即确认资产、升级修复版本、收缩互联网暴露面并复查日志。应将业务应用纳入补丁SLA，避免补丁盲区。

Adobe已为ColdFusion和CampaignClassic发布安全更新，修复了多个严重漏洞，其中包括七个CVSS评分为10.0的最高严重性漏洞。这些漏洞可能允许攻击者执行任意代码、提升权限、读取敏感文件或绕过安全防护。Adobe强烈建议客户尽快应用更新以降低风险，目前尚未发现这些漏洞被积极利用的证据。

360漏洞研究院披露AdobeColdFusion多个漏洞，核心为CVE-2026-48282路径穿越漏洞(CVSS10.0)，无需认证即可在启用RDS且未认证的服务器上实现远程代码执行。影响AdobeColdFusion2025<=Update9及2023<=Update20版本。建议用户立即升级至Update10或Update21。360产品已支持检测。

AdobeColdFusion路径穿越漏洞CVE-2026-48282CVSS评分达10.0，源于RDS服务未正确限制路径访问。攻击者可通过特定端点实现任意文件读写及远程代码执行，影响2025版Update9及2023版Update20以下版本。POC与EXP均已公开，利用需RDS启用且认证被禁。建议尽快升级至最新补丁版本，或禁用RDS、启用强认证并限制访问IP以降低风险。

Adobe于2026年7月3日修复了ColdFusion和CampaignClassic中的七个CVSS满分漏洞，这些漏洞可被低复杂度攻击利用，无需用户交互，风险较高。Adobe建议管理员在72小时内安装更新，目前未发现这些漏洞遭在野利用。此外，Adobe将改为每月两次发布安全通告以加快部署速度。

AdobeColdFusion存在高危路径穿越漏洞(CVE-2026-48282),CVSS评分10.0。攻击者可通过特制RDS请求实现任意文件读写及远程代码执行。影响2025<=Update9和2023<=Update20版本。官方已发布补丁,建议立即升级至2025Update10或2023Update21,并禁用RDS服务作为临时缓解措施。

本文汇总近期网安态势：全国关基行动推进，聚焦老旧中间件等风险；威胁层面，政务目录扫描泄露、Adobe图片载荷、AI换脸诈骗、开源投毒及RDP爆破频发；漏洞预警涉及Web代理与远程运维工具。建议企业全面资产巡检、及时升级补丁、强化多因素认证与身份双重核验以提升防护。

AdobeColdFusion存在高危路径穿越漏洞CVE-2026-48282，无需身份验证即可远程代码执行，影响2025.9、2023.20及更早版本。漏洞细节公开后两小时内即被野外利用，攻击源IP来自印度。建议受影响企业立即安装补丁防范攻击。

AdobeColdFusion高危漏洞CVE-2026-48282（CVSS10.0）已被攻击者利用，影响ColdFusion2025Update9及之前版本和2023Update20及之前版本。Adobe已于2026年6月30日发布安全更新APSB26-68。企业应尽快拉取资产清单、升级至建议版本，并加强日志审查与网络隔离，避免老系统成为攻击跳板。

攻击者冒充Adobe、Netflix等30多个知名品牌，利用PeopleForce平台和嵌套重定向技术，通过虚假面试流程窃取求职者Google账户凭证。该活动已持续至少五个月，使用真实招聘人员信息提高可信度。建议求职者通过官方渠道核实面试邀请，避免在第三方页面输入账户密码。

2026年7月7日安全简讯显示多个威胁:PamStealer恶意软件伪装Mac组件窃取密码;AdaptHealth因社交工程攻击导致患者数据泄露;冒名招聘钓鱼活动窃取Google账户;AdobeColdFusion高危漏洞CVE-2026-48282遭快速利用;APT组织ArmoredLikho攻击政府与电力机构;攻击者冒充IT支持通过Teams电话传播EtherRAT。建议加强邮件防护、员工安全意识培训及及时更新补丁。

2026年7月6日高危漏洞速报：AdobeColdFusion一次性修复7个CVSS10.0满分漏洞，CVE-2026-48282已遭野外利用；curl超级Cookie注入漏洞CVE-2026-8924CVSS9.1影响数十亿嵌入设备；CursorIDE零点击RCE漏洞DuneSlideCVSS9.8可完全接管开发者主机；CitrixBleedCVE-2026-8451补丁发布24小时即被利用；WinRAR堆溢出漏洞CVE-2026-14191CVSS7.8影响数十亿用户。建议立即升级相关软件并采取防护措

本文预警7月首周十大高危漏洞，涵盖AdobeColdFusion满分未授权RCE、两个遭勒索利用的Defender0day提权、Gitea容器逃逸及Rancher接管K8s等。多数漏洞已在野利用或公开PoC。建议立即排查并更新ColdFusion、SharePoint、EBS、Rancher等核心组件补丁，关注Chromium浏览器更新，并排查第三方运维供应链安全。

2026年7月10日CISAKEV新增4个在野利用漏洞，包括AdobeColdFusionCVE-2026-48282（CVSS10.0）、Joomla插件SPPageBuilderCVE-2026-48908（CVSS10.0）、LangflowCVE-2026-55255（CVSS9.9）及CoreWCFCVE-2026-54782（CVSS10.0），另有ApacheGravitinoCVE-2026-41042（CVSS9.1）。这些漏洞均被积极利用，需立即升级软件、审计日志并限制网络访问。

CVE-2026-48282是一个CVSS评分10分的严重ColdFusion任意代码执行漏洞，正遭实际利用。该漏洞为路径遍历缺陷，攻击者可远程完全控制服务器，无需用户交互。影响ColdFusion2025Update9及更早版本、2023Update20及更早版本。Adobe已发布紧急补丁，管理员必须立即安装ColdFusion2025Update10或2023Update21，并建议进行网络分段以限制损害。

Mozilla修复了Firefox中两个关键漏洞(CVE-2026-15718和CVE-2026-15719),其中漏洞利用代码已公开,建议更新至152.0.6版本。Google修复了Chrome的15个漏洞,包括Ozone中的两个关键缺陷。Adobe发布了88个安全更新,涵盖ColdFusion、Commerce和ExperienceManager中的多个严重漏洞。VMware修复了Avi负载均衡器中的一个关键认证绕过漏洞(CVE-2026-47865)。组织应尽快安装最新更新以防止潜在攻击。

该漏洞为AdobeColdFusionRDS服务未授权路径遍历漏洞(CVE-2026-48282)，CVSS评分10.0，可导致远程代码执行。影响ColdFusion2023及2025版本，已大规模在野利用并被勒索团伙武器化。攻击者无需认证即可通过路径穿越实现任意文件读写并植入Webshell。建议立即升级至Update21或10，或临时关闭RDS服务。

该文档为能信安发布的2026年8月28日安全漏洞通报，通报了三个高危漏洞：银河麒麟桌面操作系统存在任意文件写入漏洞可导致提权、ASUSRouter存在命令注入漏洞、AdobeBridge存在权限许可和访问控制问题漏洞可导致任意代码执行。文档建议用户及时关注厂商更新并修复漏洞。