ZONE.CI 全球网

微步情报局披露Rust基础包arrayref等遭供应链攻击，攻击者控制维护者账号在crates.io投毒恶意版本，通过build.rs下载执行二阶段载荷，导致构建主机失陷。影响[email protected]等版本，暴露窗口约2小时。建议立即排查Cargo.lock、缓存及网络连接，隔离受影响主机并回滚至安全版本。

Zimbra协作套件存在一个已遭利用的未认证RCE漏洞CVE-2026-73570，CVSS评分8.9。该漏洞影响10.1.20之前版本，当安装zimbra-snmp包并启用SNMP通知时，未认证攻击者可通过构造SMTP请求执行任意命令。建议立即升级至10.1.20版本，并检查/var/log/zimbra.log及webapps和/tmp目录中最近30天的异常文件。

本文从代码审计视角深入剖析CVE-2026-40369漏洞，一个允许从浏览器沙箱逃逸至SYSTEM权限的12字节内核写入原语。核心缺陷在于NtQuerySystemInformation系统调用中，当信息类为253且用户传入长度为0时，ProbeForWrite检查形同虚设，导致底层函数ExpGetProcessInformation直接对用户可控指针进行硬编码的12字节写入。攻击者可利用此原语破除KASLR并调用NtCreateToken创建特权令牌，实现完全接管。

本文详细介绍了ApacheShiro550反序列化漏洞(CVE-2016-4437)的原理与复现方法。漏洞源于Shiro框架的RememberMe功能使用固定AES密钥kPH+bIxk5D2deZiIxcaaaA==对用户身份信息进行加密，攻击者可利用此密钥构造恶意序列化数据触发远程代码执行。影响版本为Shiro≤1.2.24。文章提供了使用Vulhub搭建靶场及shiro\\_attack工具进行漏洞验证的步骤。

ApplemacOS存在高危身份验证绕过漏洞(CVE-2026-65400),攻击者可在同一网络下绕过屏幕共享身份认证获取未授权访问。影响macOSSonoma14.8.9以下、Sequoia15.7.9以下及Tahoe26.6.1以下版本。建议立即升级至安全版本,或临时禁用屏幕共享功能并限制5900端口访问。企业环境应通过MDM强制推送更新。

DeepSeek上线V4-Flash-Vision-Exp多模态模型，在纯文本能力持平基础上大幅提升视觉理解，接近Opus-4.8。支持API调用，提供FilesAPI，计费与V4-Flash一致。可应用于PPT生成、网站重构等Agent场景。

作者开发了hxbai自主攻防Agent，在百度安全应急响应中心比赛获第14名后，通过优化会话边界、错误提交、内网横向和预算分配等问题，在TsecbenchV1榜单取得综合得分92.57第一的成绩。核心设计包括薄编排、三门校验、声明式提交、长会话和跨题学习，实战覆盖Web、二进制、多阶段渗透等多个能力域。项目已开源，计划在XBOW和CyBench等基准上进一步验证。

本文解析嵌入式通信数据校验技术，指出和校验无法抵御突发错误，引入CRC多项式取余原理。文章揭示CRC对接三大陷阱：六项关键参数须与协议完全对齐；帧尾字节序错误极易导致联调失败；硬件CRC外设无法直接替代特定协议的CRC-16。建议确保CRC计算覆盖完整帧字段，防止篡改引发错误响应。

本文介绍在JADX中安装jadx-ai-mcp插件并配置MCP服务，使AI能直接分析反编译代码。核心步骤包括下载JADX-GUI、安装插件、下载MCP服务脚本、配置MCP（推荐stdio模式），最后启动服务后AI即可调用。该教程为安全分析人员提供了将AI集成到逆向工作流的实用方法。

微软披露MicrosoftEntraID严重远程代码执行漏洞CVE-2026-69836，CVSS评分10.0。该漏洞属于CWE-502不可信数据反序列化缺陷，未授权攻击者可远程利用且无需用户交互。微软已修复受影响的服务端基础设施，客户无需操作。尽管尚无公开利用代码，但身份基础设施的高危漏洞风险极高，需警惕。

本文是Web渗透测试信息收集的实战指南，聚焦站点指纹识别、目录扫描与接口信息收集。核心结论是信息收集决定渗透效率，需先摸清目标技术栈。关键发现包括指纹识别可获取CMS、中间件等特征，目录扫描能发现敏感路径，接口收集可挖掘隐藏API。可操作建议是结合工具（如Wappalyzer、WhatWeb、Dirsearch）与手动分析，交叉验证结果，并强调所有操作需在授权环境下进行。

本文详细介绍了在HyperledgerFabricJavaSDK中发现并利用反序列化漏洞的过程。通过搜索readObject定位反序列化点，分析ClassCastException原因，最终找到Channel.serviceDiscoveryProperties作为注入点。文章展示了如何构造合法Channel对象并绕过多个限制（如cryptoSuite、NPE），成功实现远程代码执行。核心结论是：开发者应避免在反序列化中使用非transient的Object/容器类型字段，并严格校验输入。

智谱GLM-5.3模型通过后训练提升，一个月内在269个开源项目中挖出2436个真实漏洞，涵盖严重和高危漏洞，影响广泛。其能力来自任务环境和Agent自造环境的改进。官方计划开源但先进行安全评估，强调防御价值。

用友U8-Cloud的/service/FileManageServlet接口存在任意文件读取漏洞(CNVD-2025-07265),因路径验证不足,攻击者可未授权读取系统配置文件等敏感信息。影响该产品,建议立即打补丁修复。

本文总结了PWN中ret2系列利用方式，包括ret2text、ret2shellcode、ret2libc和ret2syscall，核心原理是通过栈溢出劫持ret指令跳转到getshell函数。文章详细介绍了每种利用的条件和流程，并提供了信息收集、逆向分析、利用决策和编写exp的步骤。最后部分包含一个付费漏洞库的推广广告。

CISA将四个关键漏洞加入已知被利用漏洞目录，包括macOS不当认证漏洞(CVE-2026-65400)、SharePoint弱认证漏洞(CVE-2026-55040)、VMwarevCenter路径穿越漏洞(CVE-2026-59310)和MicrosoftIKE双重释放漏洞(CVE-2026-33824)。这些漏洞已被用于加密货币挖矿、APT攻击和勒索软件部署，影响全球数百个目标。建议联邦机构在8月21日前完成补丁更新。

作者笔记本电脑黑屏，售后检测为后加内存条损坏。因内存条为套装，售后要求同时寄回好的内存条，且当前内存价格上涨，导致维修和更换成本高。建议用户购买内存条时注意兼容性和售后政策。

本文简述针对Windows系统WebAuthn与FIDO2认证的Pass-the-Passkey系列攻击工具集，该工具曾在2026年黑帽大会展示。但文章主体实质为红队付费圈子的推广软文，大量篇幅列举免杀、钓鱼及后渗透工具作为卖点。建议读者仅关注其开源GitHub项目的技术价值，对付费圈子推广保持警惕并遵守合规底线。

本文披露东南亚某国核研究所遭定向窃密事件。攻击者利用OwnCloud预签名URL未引入保密密钥的逻辑缺陷，通过伪造OC-Signature冒充账户，结合随机延迟的低速策略，成功窃取核材料账目、反应堆数据及加密密钥等高敏信息。文章建议相关机构立即审查并加固预签名URL机制，实施网络隔离与DLP防泄漏，并禁用不必要的XML-RPC接口，强调逻辑缺陷同样可引发灾难性泄露。

俄APT组织TA488利用OWA高危漏洞实施半点击攻击，仅阅读邮件即触发XSS并植入OWAReaper后门。木马通过篡改服务器权限与缓存实现极难清除的持久化，可静默窃取全量邮件及凭证。建议自建Exchange企业立即打补丁、回收异常权限、清理缓存并限制OWA外网访问。

360漏洞研究院披露用友U9Cloud数据迁移功能存在BinaryFormatter反序列化远程代码执行漏洞(CVSS7.2)。攻击者需具备管理员会话权限，上传恶意构造的.bin文件即可在IIS应用池权限下执行任意命令。影响U9C企业版、标准版及U9V6.6系列。官方已发布补丁，建议用户立即升级。

本文剖析Dante-7B模型基于RLVR机制实现自动免杀的底层逻辑。模型通过编译与逃逸评分闭环，生成动态API解析、合法回调触发及堆栈欺骗等技术规避EDR。建议防御方摒弃特征匹配，转向基于ETW与内核回调的深度遥测，结合调用栈校验与行为基线建模构建主动防御体系。

该文档揭示了AzureAutomation服务中三个设计缺陷的串联攻击链，包括默认配置、路由Bug和正则表达式Bug，导致跨租户ManagedIdentity接管。攻击者可通过构造特殊请求绕过认证，获取目标租户资源访问权限。建议云安全工程师立即检查AutomationAccount配置并应用微软补丁。

本文记录服务器被入侵后通过软件指纹在fofa测绘引擎上搜索到1090台同团伙黑产机器的实战过程。核心发现是黑产团伙采用标准化集群运营，使用自研Golang服务返回固定404响应作为指纹。作者提出应急响应不应止于清除，应识别软件指纹进行全网狩猎，并按机房批量举报而非单点打击。文章提供了可复现的四步指纹狩猎法，强调软件指纹比IP更稳定，是追踪黑产基础设施的有效手段。

某政法机关干部赵某在撰写论文时擅自引用涉密文件，未报领导审批，导师杨某不知情下提议投稿并通过互联网邮箱发送，导致文章被网站刊登泄密。赵某被党内严重警告、行政撤职，杨某被通报批评。事件警示需加强涉密信息管理和保密意识。