文档详细记录了作者在护网行动中发现的一个组合拳漏洞，涉及OAuth2.0客户端凭证泄露和权限绕过问题。通过分析前端JS文件获取被注释的client_id和client_secret，结合注册接口的ownerId参数可创建管理员账号获取高权限Token。作者还对比了四种AI自动化渗透方案的效果，其中DeepSeekv4pro表现最佳但多层逻辑漏洞识别仍有不足。

Zimperium安全团队发现新型安卓银行木马Rokarolla，该木马针对217款银行和加密货币应用，通过伪装知名应用的恶意网站传播。攻击者利用137条指令可完全控制受感染手机：窃取PIN码、短信、剪贴板内容，并关闭PlayProtect防护。木马采用覆盖攻击技术伪造登录页面窃取凭证，通过无障碍功能截屏监控用户操作。防御建议包括仅从官方应用商店安装应用、保持安全功能开启、警惕无障碍权限请求。

Linux内核net/schedact_pedit模块存在本地提权漏洞CVE-2026-46331，影响v5.18至v7.1-rc7内核版本，涉及RHEL、Debian、Ubuntu等主流发行版。漏洞源于tcf_pedit\\_act函数COW页缓存污染，低权限攻击者可利用tc规则篡改协议头偏移获取root权限。360漏洞研究院已复现漏洞并发布修复方案，建议用户立即升级内核或应用官方补丁。

本文探讨AI-Infra环境下服务器固件安全实践，指出服务器具有高业务价值、部件复杂和资源复用风险三大特点。提出整机威胁建模需覆盖BMC、BIOS、GPU等全生命周期安全基线，火山引擎通过签名管理、安全启动链和可信度量体系构建服务器安全架构，并建立从需求到部署的全生命周期管理流程。文章以CVE-2023-34335漏洞修复为例，展示大规模固件漏洞治理的挑战与解决方案。