ZONE.CI 全球网

文档披露NinjaFormsFileUploads插件≤3.3.26版本存在无限制文件上传漏洞(CVE-2026-0740)，攻击者通过构造目标文件名可绕过后缀检查上传Webshell，导致未认证远程代码执行。CVSS评分9.8，影响5-6万站点，已有公开PoC和在野攻击。建议用户立即升级至3.3.27版本并监控可疑上传行为。

Microsoft披露Windows协作翻译框架(ctfmon)中的CVE-2026-45586零日漏洞，该漏洞因符号链接解析不当导致权限提升，CVSS评分7.8。攻击者可利用此漏洞在低权限本地访问且无需用户交互的情况下执行任意代码，建议立即应用安全更新并监控ctfmon.exe异常行为。

SplunkEnterprise披露多个高危漏洞需紧急修补，最严重为CVE-2026-20253（CVSS9.8）允许未授权攻击者通过PostgreSQL端点任意创建截断文件。CVE-2026-20251（CVSS8.8）可通过jsonpickle反序列化实现远程代码执行。另存在存储型XSS（CVE-2026-20258）和SSRF（CVE-2026-20252）风险。建议立即升级至10.4.0/10.2.4/10.0.7/9.4.12/9.3.13版本，或临时关闭SplunkWeb及SecureGate

SplunkEnterprise披露多个高危漏洞，其中CVE-2026-20253（CVSS9.8）允许未授权文件操作，CVE-2026-20251（CVSS8.8）可通过反序列化实现远程代码执行。另存在XSS和SSRF攻击向量。建议立即升级至10.4.0等指定版本或临时禁用SplunkWeb缓解风险。

本期工业网络安全周报涵盖了政策法规、漏洞预警和近期安全事件等多个方面。政策上，美国白宫发布了NSPM-12备忘录以加强国家安全系统的网络安全治理。漏洞方面，披露了RockwellAutomation、Cisco、PaloAltoNetworks等多个厂商产品的高危漏洞，其中一些已被积极利用。安全事件方面，意大利亚得里亚港务局、俄罗斯Astral公司、澳大利亚MackaySugar等多个关键基础设施运营商遭遇了勒索软件攻击或网络袭击，导致业务中断。此外，医疗和零售行业也接连发生数据泄露和网络攻击事件。

微软确认Defender存在零日漏洞RoguePlanet(CVE-2026-50656)，利用竞争条件可提权至SYSTEM。该漏洞影响Win10和11且已有公开PoC。微软正开发补丁，建议关注官方更新并加强端点监控。

Webmin2.641版本修复了三个安全漏洞，最严重的CVE-2026-56020（CVSS9.2）允许攻击者通过伪造HTTP头部绕过身份验证并冒充任意用户。另两个漏洞CVE-2026-56022和CVE-2026-56021（均CVSS6.9）可绕过多因素认证并泄露配置文件。影响所有2.641之前版本，建议立即升级并限制网络访问。

Gogs0.14.3版本修复了三个严重的远程代码执行漏洞（CVSS评分9.4-10），包括路径遍历导致的RCE、rebase参数注入和符号链接文件写入漏洞。这些漏洞允许攻击者以git用户身份执行任意命令，影响所有0.14.3之前的版本。建议立即升级至0.14.3版本，临时可禁用开放注册并限制仓库创建权限。

HoppscotchAPI开发平台存在CVSS10分批量赋值漏洞CVE-2026-50160，允许未授权攻击者通过初始化配置端点覆盖安全密钥，伪造管理员令牌实现服务器完全控制。影响2026.4.1及更早版本的自托管实例，攻击者可窃取工作区数据、注入恶意密钥。建议立即升级至2026.5.0版本并完成初始化设置以禁用漏洞端点。

2026年6月披露多起重大AI安全事件：开源AI网关LiteLLM存在CVSS9.9分漏洞链，可导致授权绕过、权限提升及命令注入；JetBrains插件市场发现持续9个月的恶意软件，窃取开发者API密钥并转售；Dify平台漏洞使超百万AI应用面临数据泄露；12款AI红队工具中11款存在密钥泄露风险；AnthropicClaudeCode漏洞可窃取API密钥。根因在于API密钥管理粗放，建议采用零信任架构、加密存储及用量监控进行防护。

CheckPointVPN现CVSS9.3严重逻辑漏洞，攻击者利用IKEv1缺陷可无密码绕过认证建立会话，已在野被利用并关联Qilin勒索团伙。另披露一中间人漏洞。建议升级补丁、弃用IKEv1、强制机器证书并排查日志。

本周安全事件凸显信任链成为主战场：Klue因遗留凭据泄露导致HackerOne等十余家安全公司OAuth令牌被盗；CheckPointVPNIKEv1协议零日（CVSS9.3）被勒索软件利用；DirtyCloneLinux内核漏洞实现无痕提权。关键发现包括第三方集成、废弃协议和安全软件本身成为攻击捷径。可操作建议包括立即撤销废弃OAuth授权、打补丁、清理遗留凭据。

GeminiCLI存在严重漏洞CVE-2026-12537（CVSS10分），允许通过恶意环境文件在CI流水线中进行操作系统命令注入，攻击者可获得主机级代码执行权限。影响0.39.1前的GeminiCLI和0.1.22前的run-gemini-cliGitHubAction版本。建议立即更新至修复版本并配置工作区信任设置。

本期预警通报五个严重漏洞：SimpleHelpRMM满分认证绕过已被CISA列入KEV且在野投递恶意软件；Giteaact\\_runner容器逃逸PoC公开危及CI/CD供应链；OracleEBS与AdobeColdFusion均存未认证远程接管漏洞且遭利用；StoneFlySQL注入致密钥窃取。建议立即升级相关组件，禁用非必要OIDC，轮换RMM与CI/CD凭证，启用工作流审批并限制公网暴露。

SplunkEnterprise10.x版本存在高危漏洞CVE-2026-20253(CVSS9.8),根因是PostgreSQLSidecar服务缺乏认证。攻击者可通过空凭证访问backup和restore端点,利用路径遍历和数据库注入实现远程代码执行。CISA已将其列入KEV清单,受影响版本为10.0.0至10.0.6与10.2.0至10.2.3,建议立即升级至10.0.7、10.2.4或10.4.0修复版本。

JetBrains修复了影响Hub、YouTrack和GoLand的三个安全漏洞，其中最严重的是CVSS10分的身份验证绕过漏洞CVE-2026-50242，攻击者可通过数据库访问获取管理员权限。另外两个漏洞分别允许权限提升和远程代码执行。建议自行托管用户立即更新至已修复版本，云服务用户已自动修补。

JetBrains修复了三个安全漏洞，包括一个CVSS满分的认证绕过漏洞CVE-2026-50242，影响Hub、YouTrack和GoLand。该漏洞可被拥有直接数据库访问权限的攻击者利用获得管理员控制，影响超过1500万开发人员。自托管实例面临风险，Cloud客户已受保护。建议用户立即升级到已修复版本。

Adobe于2026年7月3日修复了ColdFusion和CampaignClassic中的七个CVSS满分漏洞，这些漏洞可被低复杂度攻击利用，无需用户交互，风险较高。Adobe建议管理员在72小时内安装更新，目前未发现这些漏洞遭在野利用。此外，Adobe将改为每月两次发布安全通告以加快部署速度。

AutoCVE是一个开源自动化漏洞挖掘平台，通过Multi-Agent架构实现从项目选择到CVE报告生成的全流程自动化。测试中一周内发现30个CVE，覆盖14个开源项目，最高CVSS9.9。它提供增强扫描、智能审计和综合审计三种模式，支持多种AI模型，部署简单。适合安全研究员、甲方工程师和开源维护者提升漏洞挖掘效率。

runzero披露FatFS七处漏洞，影响物联网与嵌入式设备。漏洞可被物理接触利用，部分影响OTA升级。建议厂商审计代码、打补丁，运维方管控物理接口。AI辅助检测效率提升。核心问题：底层组件修复困难，维护者失联。

本文指出CVSS评分不能直接等同于漏洞修复优先级，因为攻击者更关注攻击路径而非分数。文章分析了CVSS的局限性，强调需结合资产暴露面、利用情报（如KEV、EPSS）和业务上下文评估真实风险。提出了基于攻击路径的四类优先级排序方法，并建议安全运营与WAF、蜜罐等工具联动。核心观点是漏洞管理应从看分数转向看路径，在攻击者之前切断最可能被打通的攻击链。

7月8日高危漏洞速报涵盖5个严重威胁：BeyondTrustRemoteSupport双认证绕过漏洞(CVSS9.2)可未授权接管设备；Linux内核0-dayBadEpoll(CVE-2026-46242)允许无特权用户提权至root；FortiBleed凭证窃取行动(CVE-2026-35616)已收割超1.1亿条FortiGate凭证；OperaGX浏览器零点击Mod静默安装漏洞影响2500万玩家；UniFiProtectSSRF漏洞(CVSS9.9)可低权限提权。建议立即升级相关软件、轮换凭证并限

2026年7月6日高危漏洞速报：AdobeColdFusion一次性修复7个CVSS10.0满分漏洞，CVE-2026-48282已遭野外利用；curl超级Cookie注入漏洞CVE-2026-8924CVSS9.1影响数十亿嵌入设备；CursorIDE零点击RCE漏洞DuneSlideCVSS9.8可完全接管开发者主机；CitrixBleedCVE-2026-8451补丁发布24小时即被利用；WinRAR堆溢出漏洞CVE-2026-14191CVSS7.8影响数十亿用户。建议立即升级相关软件并采取防护措

本文预警7月首周十大高危漏洞，涵盖AdobeColdFusion满分未授权RCE、两个遭勒索利用的Defender0day提权、Gitea容器逃逸及Rancher接管K8s等。多数漏洞已在野利用或公开PoC。建议立即排查并更新ColdFusion、SharePoint、EBS、Rancher等核心组件补丁，关注Chromium浏览器更新，并排查第三方运维供应链安全。

本文深入分析了BeyondTrust远程接入平台近期披露的四个高危漏洞，其中两个为严重级别的认证绕过漏洞（CVE-2026-40138和CVE-2026-40139），可让攻击者绕过认证直接控制设备。文章还结合了该产品过往的两次被利用事件，还原了完整的攻击链，并从补丁修复、配置审查、日志审计等方面给出了防御建议。