ZONE.CI 全球网

WindowsAdminCenter(WAC)的多个漏洞（CVE-2025-64669等）允许攻击者从低权限AzureVM提升至SYSTEM，利用token绑定缺失、证书验证缺陷和XSS，最终横向移动至本地AD。关键发现是混合管理工具打破了云与本地边界，建议及时更新WAC并监控异常管理会话。

美国金融科技公司Upbound集团披露一起网络安全事件，攻击者窃取内部客户数据并利用这些信息在旗下Acima先租后买平台伪造租赁合同，从而白嫖商品造成约1300万美元（约8805万元人民币）损失。公司已采取加强身份认证、欺诈检测和监控等补救措施并通知执法机构，目前调查仍在进行中。

CVE-2026-26119是WindowsAdminCenter的认证缺陷漏洞，允许已认证的低权限用户通过网络提升权限，影响WinREST的PowerShellinvokeCommand接口。该漏洞CVSS评分8.8，PoC已公开，补丁于2026年2月发布。建议立即升级版本并收紧低权限账号对管理入口的访问。

快手安全应急响应中心联合成都信息工程大学、百度安全应急响应中心，于9月7日在成都信息工程大学航空港校区举办首届青锋计划高校安全人才沙龙，定向邀请高校师生及白帽参与，活动包含技术分享、定制礼物及转发抽奖，报名需扫码入群。

该通报汇总2026年10月17日六大安全风险，包括协作平台任意文件读取漏洞遭在野利用、制冷装置控制器遭入侵、AI平台命令注入、虚拟化认证绕过、零售集团遭入侵及云数据库反序列化漏洞。建议优先修复互联网可访问系统、收敛管理面暴露、升级至修复版本并实施最小权限管理。

摄星科技关键漏洞目录新增3个漏洞：Atlassian多款产品存在任意文件读取漏洞（CVE-2026-21589，超危，CVSS9.3），可未认证远程利用，甚至接管系统；Fortinet多款产品存在路径遍历漏洞（CVE-2025-61624，中危）；BeyondTrustRemoteSupport存在身份验证绕过漏洞（CVE-2026-102764，超危，CVSS9.3）。建议用户及时关注厂商补丁并升级修复。

美国金融科技公司Upbound集团披露一起网络安全事件，攻击者窃取内部客户数据并利用这些信息在旗下Acima先租后买平台伪造租赁合同，从而白嫖商品造成约1300万美元（约8805万元人民币）损失。公司已采取加强身份认证、欺诈检测和监控等补救措施并通知执法机构，目前调查仍在进行中。

CVE-2026-26119是WindowsAdminCenter的认证缺陷漏洞，允许已认证的低权限用户通过网络提升权限，影响WinREST的PowerShellinvokeCommand接口。该漏洞CVSS评分8.8，PoC已公开，补丁于2026年2月发布。建议立即升级版本并收紧低权限账号对管理入口的访问。

快手安全应急响应中心联合成都信息工程大学、百度安全应急响应中心，于9月7日在成都信息工程大学航空港校区举办首届青锋计划高校安全人才沙龙，定向邀请高校师生及白帽参与，活动包含技术分享、定制礼物及转发抽奖，报名需扫码入群。

WindowsAdminCenter(WAC)的多个漏洞（CVE-2025-64669等）允许攻击者从低权限AzureVM提升至SYSTEM，利用token绑定缺失、证书验证缺陷和XSS，最终横向移动至本地AD。关键发现是混合管理工具打破了云与本地边界，建议及时更新WAC并监控异常管理会话。

美国金融科技公司Upbound集团披露一起网络安全事件，攻击者窃取内部客户数据并利用这些信息在旗下Acima先租后买平台伪造租赁合同，从而白嫖商品造成约1300万美元（约8805万元人民币）损失。公司已采取加强身份认证、欺诈检测和监控等补救措施并通知执法机构，目前调查仍在进行中。

CVE-2026-26119是WindowsAdminCenter的认证缺陷漏洞，允许已认证的低权限用户通过网络提升权限，影响WinREST的PowerShellinvokeCommand接口。该漏洞CVSS评分8.8，PoC已公开，补丁于2026年2月发布。建议立即升级版本并收紧低权限账号对管理入口的访问。

快手安全应急响应中心联合成都信息工程大学、百度安全应急响应中心，于9月7日在成都信息工程大学航空港校区举办首届青锋计划高校安全人才沙龙，定向邀请高校师生及白帽参与，活动包含技术分享、定制礼物及转发抽奖，报名需扫码入群。

WindowsAdminCenter(WAC)的多个漏洞（CVE-2025-64669等）允许攻击者从低权限AzureVM提升至SYSTEM，利用token绑定缺失、证书验证缺陷和XSS，最终横向移动至本地AD。关键发现是混合管理工具打破了云与本地边界，建议及时更新WAC并监控异常管理会话。

美国金融科技公司Upbound集团披露一起网络安全事件，攻击者窃取内部客户数据并利用这些信息在旗下Acima先租后买平台伪造租赁合同，从而白嫖商品造成约1300万美元（约8805万元人民币）损失。公司已采取加强身份认证、欺诈检测和监控等补救措施并通知执法机构，目前调查仍在进行中。

快手安全应急响应中心联合成都信息工程大学、百度安全应急响应中心，于9月7日在成都信息工程大学航空港校区举办首届青锋计划高校安全人才沙龙，定向邀请高校师生及白帽参与，活动包含技术分享、定制礼物及转发抽奖，报名需扫码入群。

快手安全应急响应中心联合成都信息工程大学、百度安全应急响应中心，于9月7日在成都信息工程大学航空港校区举办首届青锋计划高校安全人才沙龙，定向邀请高校师生及白帽参与，活动包含技术分享、定制礼物及转发抽奖，报名需扫码入群。

WindowsAdminCenter(WAC)的多个漏洞（CVE-2025-64669等）允许攻击者从低权限AzureVM提升至SYSTEM，利用token绑定缺失、证书验证缺陷和XSS，最终横向移动至本地AD。关键发现是混合管理工具打破了云与本地边界，建议及时更新WAC并监控异常管理会话。

美国金融科技公司Upbound集团披露一起网络安全事件，攻击者窃取内部客户数据并利用这些信息在旗下Acima先租后买平台伪造租赁合同，从而白嫖商品造成约1300万美元（约8805万元人民币）损失。公司已采取加强身份认证、欺诈检测和监控等补救措施并通知执法机构，目前调查仍在进行中。

CVE-2026-26119是WindowsAdminCenter的认证缺陷漏洞，允许已认证的低权限用户通过网络提升权限，影响WinREST的PowerShellinvokeCommand接口。该漏洞CVSS评分8.8，PoC已公开，补丁于2026年2月发布。建议立即升级版本并收紧低权限账号对管理入口的访问。

快手安全应急响应中心联合成都信息工程大学、百度安全应急响应中心，于9月7日在成都信息工程大学航空港校区举办首届青锋计划高校安全人才沙龙，定向邀请高校师生及白帽参与，活动包含技术分享、定制礼物及转发抽奖，报名需扫码入群。

美国金融科技公司Upbound集团披露一起网络安全事件，攻击者窃取内部客户数据并利用这些信息在旗下Acima先租后买平台伪造租赁合同，从而白嫖商品造成约1300万美元（约8805万元人民币）损失。公司已采取加强身份认证、欺诈检测和监控等补救措施并通知执法机构，目前调查仍在进行中。

CVE-2026-26119是WindowsAdminCenter的认证缺陷漏洞，允许已认证的低权限用户通过网络提升权限，影响WinREST的PowerShellinvokeCommand接口。该漏洞CVSS评分8.8，PoC已公开，补丁于2026年2月发布。建议立即升级版本并收紧低权限账号对管理入口的访问。

快手安全应急响应中心联合成都信息工程大学、百度安全应急响应中心，于9月7日在成都信息工程大学航空港校区举办首届青锋计划高校安全人才沙龙，定向邀请高校师生及白帽参与，活动包含技术分享、定制礼物及转发抽奖，报名需扫码入群。

快手安全应急响应中心联合成都信息工程大学、百度安全应急响应中心，于9月7日在成都信息工程大学航空港校区举办首届青锋计划高校安全人才沙龙，定向邀请高校师生及白帽参与，活动包含技术分享、定制礼物及转发抽奖，报名需扫码入群。