ZONE.CI 全球网

CNVD漏洞周报2026年第27期显示，本周共收集整理428个信息安全漏洞，其中高危漏洞237个，中危145个，低危46个。漏洞主要集中在WEB应用（236个）、网络设备（77个）和应用程序（76个）。本周重要漏洞包括MicrosoftASP.NETCore资源管理错误漏洞、GoogleChrome资源管理错误漏洞等，攻击者可利用这些漏洞导致系统拒绝服务或执行任意代码。建议相关用户及时下载补丁更新，以避免安全事件的发生。

新公开的wp2shell漏洞利用两个WordPress核心漏洞CVE-2026-63030和CVE-2026-60137，可链式实现未授权远程代码执行，影响6.9.x和7.0.x版本。WordPress已发布7.0.2和6.9.5修复版本并启用强制自动更新。建议站点所有者立即更新，或临时配置WAF规则阻止对RESTAPI批处理端点的匿名访问。

ClaudeMythos是Anthropic开发的先进AI模型，专为网络安全优化，能自动化发现大量高危漏洞，包括存在27年的缺陷。其访问通过ProjectGlasswing受限开放，并引发出口管制。专家指出其能力被夸大，误报是问题，且更快发现漏洞不能解决所有安全问题。组织需转向持续漏洞运营和优先修复已利用漏洞的Mythos就绪方法。

CVE-2026-42533是NGINX脚本引擎中一个存在15年的堆缓冲区溢出漏洞，允许远程未认证攻击者通过特制HTTP请求导致工作进程崩溃或可能实现远程代码执行。该漏洞影响nginx0.9.6至1.31.2版本，仅在使用特定正则表达式map配置时触发。F5已发布修复版本1.30.4和1.31.3，建议用户立即升级。临时缓解措施为将编号捕获替换为命名捕获，但并非完全有效。

WordPressCore存在严重预认证远程代码执行漏洞wp2shell，影响超5亿站点。漏洞源于RESTAPI批处理路由混淆导致SQL注入和RCE，无需认证即可利用。官方已发布补丁并通过自动更新强制推送，建议管理员立即更新或采取临时缓解措施如屏蔽相关端点。

该文章披露了某知名路由器固件在Web管理服务器login()函数中存在隐藏后门，攻击者利用配置项sys.rzadmin.password中的隐藏密码，可在username字段填写任意字符串的情况下获取管理员权限。受影响固件包括多个型号版本，后门在管理界面不可见且无法通过修改密码消除。文章提供了关闭远程管理、修改默认IP等缓解措施，并给出了固件资产自动化核查的检测脚本。

安永律师事务所(EY)在2026年春季遭遇数据泄露，未经授权第三方通过其IT支持工单平台在3月28日至4月12日期间下载了包含客户税务数据的文件，4月23日发现异常。泄露文件含个人信息和财务信息，目前无证据表明数据被滥用。该事件与安永此前其他安全漏洞无关，但凸显了第三方IT服务平台的安全风险。

本文介绍一款基于fscan改造的多级免杀工具netdiag，通过7层对抗措施（字符串清洗、身份重命名、编译器混淆、链接器剥离、代码签名、运行时编码、反沙箱）绕过WindowsDefender和火绒，保留全部功能。文章详细说明技术方案并展示验证结果，最终引导读者加入付费圈子获取工具，属于软文广告。

本文揭露摩洛哥情报机构在2019年加蓬政权危机期间利用飞马间谍软件监控加蓬前总统核心圈与反对派的内幕。尽管两国存在密切的情报培训与庇护关系，摩洛哥仍将加蓬政要列为目标以掌握权力斗争动态。该事件暴露了地缘政治中盟友间脆弱的信任及商业间谍软件在政治渗透中的滥用风险。

法国曾考虑以6000万至8000万欧元购买NSO集团的飞马间谍软件，但2020年底因声誉风险和国家主权被总统否决。同期摩洛哥利用该软件监听了七位法国部长的手机，包括前总理勒科尔尼。感染痕迹指向摩洛哥，法国情报机构确认其间谍活动损害法国利益。建议加强网络安全监管，警惕间谍软件滥用。

一份由摩洛哥国家安全局（DGST）前特工提供的证词，结合内部机密文件与技术分析，揭示了该国长期使用包括`飞马`间谍软件在内的大规模监控手段，以打压记者、社会批评者及外国政要。调查发现，国安局不仅通过预装恶意软件的手机、渗透网吧等方式进行监视，还利用`飞马`软件的`零点击`攻击能力，对包括多国元首在内的近1.3万个目标实施了入侵。这些行为加剧了对受害者的司法打压，并引发了跨国网络袭击指控，尽管摩洛哥方面一直对此予以否认。

本文揭露摩洛哥情报机构利用飞马间谍软件及IMSI捕捉器等技术，对为其提供网络监控与移动设备间谍战术培训的西班牙国民警卫队实施反向监听。因西班牙特工未采取设备隔离等防范措施，摩洛哥成功读取其加密通讯，并将监控扩大至西班牙首相等核心内阁，以此获取地缘博弈筹码。该事件警示，跨国情报合作必须严格落实通信设备物理隔离等安全规范，输出敏感战术前须充分评估合作方无授权监听的体制风险，避免技术反噬。

调查揭露摩洛哥通过阿联酋中介FSSYS获取以色列NSO公司的飞马间谍软件，2017年在拉巴特别墅演示，代号摩根，用于监控记者和批评者。三方合作涉及最高权力层，摩洛哥否认但证据确凿，NSO与以色列政府关系密切，交易通过阿联酋政府控股的EDGE集团完成。

本文解析智能体Wiki的编译式架构及四家团队的实现。该方法在摄取时一次性编译知识以避免RAG重复检索，但存在百个来源的规模瓶颈与准确性风险。核心要点是须区分文档知识与用户记忆，Wiki无法记录用户偏好。建议小文档集用Wiki，规模扩大后加检索，并用专门记忆层处理个性化数据。

本文基于RTX409024GB显存实测，对比vLLM、llama.cpp和Ollama三款大模型部署工具。核心结论是：vLLM适合小模型高吞吐线上服务，llama.cpp通过分层卸载支持超大模型但速度慢，Ollama易用但调试能力弱。建议小模型用vLLM，大模型用llama.cpp，Ollama仅用于快速测试。企业落地需先评估是否必须本地部署，并按模型参数量匹配框架。

本文介绍了一道CTFpwn挑战，涉及利用格式化字符串泄露libc地址和canary值，绕过自定义canary校验实现栈溢出。关键步骤包括通过gdb调试确定偏移，泄露v2、v9和系统canary，最终构造ROP链执行system(sh)获取flag。文章提供了完整exp，适合入门者学习canary绕过技巧。

该文宣传2026年DataConAI安全夏令营，由南开大学密码与网络空间安全学院主办，8月10-16日在津南校区举行。汇聚复旦、北理工等高校学者及腾讯、阿里等企业专家，课程涵盖大模型安全、数据隐私等。报名费5000元，截止7月31日，限额50人，提供食宿。

默安AI智能网关旨在解决企业AI应用中的业务失序风险，包括业务中断、财务超支和安全合规问题。其核心能力包括负载均衡与模型故障转移、Token消耗管理与智能路由、以及安全审计与阻断。通过统一接入和管控，该网关帮助企业实现降本增效、合规保障和运维简化，已在能源和金融行业成功部署。

Redisstream消费组NACK双重释放远程代码执行漏洞(CVE-2026-25243补丁绕过)被披露，影响Redis6.2.22、7.4.9、8.6.4等版本。攻击者需认证，利用复杂度低，POC已公开。根因是rdbLoadObject加载PEL时缺少重复归属校验，导致双重释放。建议立即升级至8.8.0或应用补丁，并加强访问控制与运行时降权。

本文剖析新型模块化恶意软件GigaWiper，其融合三种成熟破坏工具代码，兼具长期潜伏监控与一键毁灭能力。该后门通过定时任务持久化，借用RabbitMQ和Redis搭建隐蔽C2通道，支持截屏、远控及全盘物理覆写、伪勒索等毁灭性操作。建议政企单位加强非标协议流量监测，排查异常计划任务，并完善数据备份机制以防范此类复合攻击。

当前出海营销AI成熟度低，市面多为缺乏调度与行业经验的伪多Agent。针对企业跨文化执行与冷启动痛点，飞书深诺发布Marvy2.0出海营销AgentOS，依托真实数据通过Skill沉淀、双层Agent仲裁与自进化机制实现全链路闭环。AI将成出海过滤网，企业需构建体系化Agent系统以建立竞争壁垒。

美图启动1亿元产品挑战赛，面向已上线且有种子用户的AI影像创业团队，提供最高500万投资和12周孵化计划，涵盖产品、技术、增长、商业化等支持。赛事强调团队对场景的深度理解，旨在帮助产品从0到1走向规模化，是美图开放生态、扩大能力半径的尝试。

本文前半部分为购物返利机器人的推广软文，详细介绍了如何通过扫码添加机器人、发送商品链接查询隐藏优惠券及确认收货后提现返利的操作步骤，覆盖淘宝京东等多个平台。后半部分则突兀地转换为四川成都旅游攻略，介绍了大熊猫基地、都江堰等必去景点与美食住宿交通指南。整体属于典型的营销引流与拼凑内容，缺乏实质性技术价值。

MetaCRM6的/customizemt/xkq/rpc.jsp接口存在SQL注入漏洞(CVE-2026-15514),未经验证的攻击者可利用该漏洞执行任意SQL语句获取数据库敏感信息,影响版本为MTCRM66.4.0Beta06,目前POC已公开,建议用户立即升级至官方安全版本。

该文档针对医疗行业勒索病毒攻击态势持续升级的现状，阐述了攻击对患者生命安全、医疗运营、经济损失及隐私泄露的严重危害。核心内容提出了一套完整的防护解决方案，包括网络异常实时监测与溯源、终端安全防勒索加固以及数据备份与恢复策略，旨在帮助医疗机构构建主动防御体系，保障业务连续性与数据安全。