本文分析ZenCart2.2.2零权限RCE漏洞的两次实战，核心是zcConfigureFileWriter的注释注入链。攻击者无需任何凭据，通过installer_method参数注入PHP代码覆盖configure.php实现命令执行，CVSS9.8。文章重点剖析了同一漏洞需适配不同环境编写payload的坑：PHP8不认裸常量导致Fatalerror，以及addslashes转义引号破坏payload。作者给出两种绕过方案：用current(\\_GET)兼容PHP8，用整数键_GET1绕开引号

微步情报局披露WindowsShell安全功能绕过漏洞CVE-2026-96951，已遭在野利用。漏洞源于MOTW标记未识别.SettingContent-ms文件为危险类型，用户打开特制文件时无安全警告即可执行任意命令。影响多个Windows版本，已有POC，处置优先级为高风险。建议尽快安装官方补丁，并按扩展名拦截相关附件。

2026奇安信大湾区AI安全论坛聚焦金融行业AI安全治理，指出AI在提升业务效率的同时也带来模型漏洞、数据泄露等新型风险，监管要求趋严。论坛发布AISOC2.0安全运营体系，以AI对抗AI，实现告警全量研判与分钟级响应。落地需盘清AI资产、合规六步走、守住数据红线、统一安全网关，并针对银行、保险、证券给出差异化建议，强调可验证可度量的安全体系是AI规模化进入业务的前提。

OpenCode遭遇API密钥泄露事件，约1.4%用户受影响，攻击者通过一套准备下线的遗留系统窃取第三方API密钥，导致用户账户被清空并产生高额费用。事件暴露密钥托管单点风险、退役系统安全漏洞及AI时代损失形态变化。建议用户立即吊销密钥、实施密钥隔离与定期轮换，平台方需将退役流程纳入安全基线并加强LLM网关评估。