文章总结： 本文汇总了2026年6月2日的重要安全漏洞与威胁情报，涵盖OpenBMC组件未修复的OOM漏洞、Perl核心库的代码执行风险、WindowsNetlogon0点击RCE漏洞的活跃利用、针对ClaudeCode用户的无文件信息窃取攻击、Vim编辑器越界读取漏洞、GPACMP4Box空指针解引用问题、ChatGPT提示注入钓鱼技术、EDKII信任根漏洞以及Cargo包管理器凭据泄露风险。关键发现包括多个高危漏洞尚未修复或已被野外利用，建议用户及时应用补丁并加强威胁检测。 综合评分： 85 文章分类： 漏洞预警,威胁情报,漏洞分析,恶意软件,应用安全

每日安全动态推送(26/6/2)

原创

admin admin

腾讯玄武实验室

2026年6月2日 18:36 中国香港

在小说阅读器读本章

去阅读

•  OpenBMC bmcweb 四大漏洞披露：两个未修复的 OOM 与 mTLS 缺陷及补丁覆盖盲区 https://seclists.org/fulldisclosure/2026/May/24

本文揭示了广泛部署于企业服务器 BMC 固件中的 OpenBMC 组件存在四个严重漏洞，其中两个导致未授权拒绝服务且目前尚未修复。文章特别指出了上游修复流程中 CVE 编号缺失与公告不一致的治理漏洞，警示厂商固件分发滞后带来的现实风险。

•  Perl 核心库严重安全漏洞爆发 https://sectoday.tencent.com/event/RJ8ZdJ4B0VHppVqocRep

一系列严重安全漏洞被发现在 Perl 生态系统的核心库中，包括 IO::Uncompress::Unzip、Sereal::Decoder、IO::Compress、Time::Local 以及 HTTP::Daemon。这些漏洞涵盖了从 CPU 耗尽、堆越界读取、Eval 注入导致的任意代码执行、未捕获异常到操作系统命令注入等多种攻击向量。攻击者利用恶意构造的 Zip 文件、序列化数据或 HTTP 请求，能够耗尽目标系统资源、泄露敏感内存数据、在进程权限下执行任意代码或控制服务器行为。受影响组件的广泛性表明，大量依赖 Perl 的应用程序面临迫在眉睫的风险，官方已紧急发布补丁版本（如 2.220 和 5.005）以修复这些缺陷。

•  Windows Netlogon CVE-2026-41089 遭活跃利用：高危 0-Click RCE 威胁预警 https://cybersecuritynews.com/windows-netlogon-0-click-rce/

本文揭示了正在被野外利用的Windows Netlogon 0点击远程代码执行漏洞（CVE-2026-41089），攻击者无需认证即可获取SYSTEM权限并完全接管域环境。鉴于该漏洞对全球企业Active Directory架构构成的迫在眉睫的毁灭性威胁，立即发布此文以指导紧急修补与检测至关重要。

•  针对 Claude Code 用户的无文件 Infostealer 攻击：利用伪造 Anthropic 站点与 ClickFix 诱饵 https://hackread.com/fake-anthropic-sites-fileless-infostealer-claude-code-users/

该文章揭示了针对新兴AI工具Claude Code用户的首次大规模凭证窃取活动，其核心亮点在于攻击者巧妙利用MP3/HTA多态文件、32位PowerShell环境及AMSİ绕过技术，构建了完全无文件且能规避现代EDR检测的复杂攻击链。

•  Vim 终端屏幕快照中的越界读取漏洞：分析与修复方案 https://seclists.org/oss-sec/2026/q2/735

本文揭示了 Vim 编辑器在处理终端屏幕快照时，因缺乏对组合字符数组的边界检查而导致的越界读取漏洞。该漏洞允许攻击者仅通过输出特定字节序列即可触发编辑器崩溃，为广泛使用的开发工具提供了关键的即时修复指引。

•  CVE-2025-70116：GPAC MP4Box 中 gf_media_map_esd 处理截断输入时的 NULL 指针解引用漏洞 https://seclists.org/oss-sec/2026/q2/733

本文深入剖析了GPAC/MP4Box中一个因处理截断MP4文件导致的关键空指针解引用漏洞（CVE-2025-70116），揭示了在gf\_media\_map\_esd函数中缺乏空值检查而直接调用strlen()的致命缺陷。该文章通过提供可复现的PoC和详细的ASAN日志，为多媒体处理库的开发者提供了极具价值的防御性编程参考，是今日必须关注的安全警示。

•  ChatGPhish：基于浏览器的提示注入将网页转化为钓鱼载荷 https://cybersecuritynews.com/chatgpt-vulnerability-chatgphish-attack/

本文揭示了名为 ChatGPhish 的新型浏览器端提示注入攻击，该技术利用 ChatGPT 的页面摘要功能，将任何网页转化为钓鱼攻击载体，在受信任的 AI 界面内直接渲染恶意链接、伪造安全警报及 QR 码。其核心亮点在于证明了攻击者无需认证即可通过注入少量指令，绕过传统同源策略，利用用户对 AI 助手的信任实现从桌面到移动端的攻击跳板及被动数据窃取。

•  CVE-2024-13745：EDK II 中 GPT 分区表测量的逻辑缺陷破坏 PCR[5] 完整性 https://seclists.org/oss-sec/2026/q2/727

本文揭示了EDK II中一个关键的信任根漏洞（CVE-2024-13745），指出TPM对GPT分区表的测量（PCR[5]）与操作系统实际解析的分区布局存在不一致，导致攻击者可在不触发完整性警报的情况下篡改分区元数据。该发现直接威胁依赖TPM进行全磁盘加密（FDE）的系统安全，强调了固件测量逻辑中数据一致性的致命缺陷。

•  Cargo 两大漏洞深度解析：Sparse Index 凭证泄露与 Symlink 缓存覆盖攻击 https://seclists.org/oss-sec/2026/q2/720

本文揭示了 Rust 包管理器 Cargo 中两个关键漏洞：CVE-2026-5222 允许攻击者通过 URL 归一化缺陷窃取跨注册表的凭据，而 CVE-2026-5223 则利用恶意符号链接覆盖第三方注册表中其他包的缓存源码。这些发现突显了现代包管理系统在处理复杂协议和文件提取时的深层风险，对依赖 Rust 生态的开发者具有极高的即时警示价值。

* 查看或搜索历史推送内容请访问： https://sectoday.tencent.com/ * 新浪微博账号： 腾讯玄武实验室 https://weibo.com/xuanwulab * 微信公众号： 腾讯玄武实验室

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：腾讯玄武实验室 admin admin《每日安全动态推送(26/6/2)》