ZONE.CI 全球网

本周CNNVD统计新增安全漏洞1699个，微软公司漏洞数量最多，跨站脚本类漏洞占比最高达10.95%。通报GoogleChrome远程代码执行重大漏洞（CNNVD-202606-1877），同时列举AdobeCampaignClassic、ApacheAnswer等关键漏洞实例，建议用户及时更新补丁修复漏洞。

文档详细解析了Exchange服务器零日漏洞CVE-2026-42897，该漏洞属于XSS/欺骗类型，CVSS评分8.1，攻击者通过恶意邮件在OWA中触发漏洞可窃取会话Cookie实现横向移动。微软已于2026年6月9日发布补丁，建议企业立即部署累积更新。文章同时推荐了网际思安邮件安全网关与沙箱方案，通过深度内容解析和行为检测实现前置防护。

MicrosoftExchangeServer曝出两处高危SSRF漏洞CVE-2026-45502和CVE-2026-45504，低权限攻击者可通过EWS接口诱导服务端发起任意HTTP请求进行内网探测。影响版本包括Exchange2016/2019等多个累积更新版本，建议用户立即通过WindowsUpdate或手动下载补丁修复。360漏洞研究院已成功复现漏洞并提供检测支持。

CVE-2026-45504是微软ExchangeServer的高危SSRF漏洞，CVSS评分8.8，允许低权限认证用户通过伪造请求提升权限，从而控制内网资源。漏洞影响Exchange2016/2019/SE版本，建议立即安装6月补丁并加强访问控制。

该文档通报了MicrosoftExchangeServer服务器端请求伪造漏洞CVE-2026-45504的详细信息，该漏洞允许低权限用户通过特制HTTP请求读取服务器任意文件，可能导致完全控制邮件服务器。影响ExchangeServer2016/2019等多个版本，CVSS评分8.8高危。提供了Windows自动更新、手动安装补丁及奇安信天擎解决方案等防护措施。

CVE-2026-45504是微软ExchangeServer2019的高危SSRF漏洞（CVSS8.8），允许低权限认证用户通过构造恶意WOPI端点返回file://协议URL，结合#字符绕过参数拼接，实现服务器本地任意文件读取。漏洞利用链涉及TryTwice函数未验证URL协议、GetWacUrl解析WebApplicationUrl时的设计缺陷。公开PoC显示可窃取系统配置、凭证等敏感文件。建议立即安装微软2026年6月补丁，临时缓解需限制服务器出站连接并监控异常EWS活动。

MicrosoftExchangeServer存在服务器端请求伪造漏洞CVE-2026-45504，经身份验证的低权限用户可通过构造WOPI请求读取服务器任意本地文件。漏洞源于GetWacUrl函数未校验返回地址的协议类型，攻击者利用file://协议和#字符绕过参数拼接机制实现文件读取。影响所有启用OneDrivePro/WOPI功能的Exchange2019环境，CVSS评分8.8。建议及时更新补丁并禁用相关功能缓解风险。

本周安全热点周报披露多个高危漏洞在野利用情况，重点包括CiscoUnifiedCM漏洞(CVE-2026-20230)补丁发布数周后遭攻击者用于文件写入侦察，SplunkEnterprise未授权文件操作漏洞(CVE-2026-20253)被CISA确认积极利用。同时通报Gogs、Exchange、Squid等5个漏洞风险及伊朗银行瘫痪、塔塔电子数据泄露等安全事件，并提供漏洞修复和系统防护建议。

公开的CVE-2026-45504漏洞PoC利用代码针对微软ExchangeServer的SSRF漏洞，攻击者可通过控制WOPI端点返回file://方案URL实现任意文件读取和权限提升。该漏洞影响Exchange2016/2019版本，CVSS评分8.8，微软已于2026年6月9日发布安全更新。建议管理员立即安装补丁，并加强访问控制与异常流量监控。

微软ExchangeOnline中存在名为Ghost-Sender的配置漏洞，允许攻击者绕过SPF、DKIM和DMARC验证，伪造任意发件人向目标租户内收件人发送邮件。该漏洞利用混合模式下外部MX记录导致的内置过滤绕过，微软将其定性为`已知架构限制`而非产品漏洞。建议通过部署特定连接器或创建邮件流规则进行缓解，目前修复责任由管理员承担。

Strikeshark攻击活动利用新型sharkloader恶意软件，通过利用MicrosoftExchange、Openfire等公开漏洞及伪装合法软件进行部署，最终在内存中加载CobaltStrike信标，目标涉及多国政府与软件公司。建议优先修补面向互联网的服务、监控异常计划任务及启用LSASS保护。

HawkTrace披露Exchange高危SSRF漏洞CVE-2026-45504，CVSS评分8.8。漏洞因组件对WOPI端点URL缺乏协议验证，低权限用户可借恶意附件利用片段符绕过限制，将SSRF转化为任意文件读取。建议企业尽快应用微软补丁，限制服务器出站请求并严格校验URL协议，防范数据泄露。

本文详细分析了CVE-2026-42897，一个影响ExchangeServerOWA的反射型XSS漏洞，CVSS评分8.1。攻击者通过发送特制邮件，在受害者打开邮件时即可实现同源会话劫持，无需用户交互。攻击链包括资产发现、版本识别、邮件投送、会话内操作、创建转发规则持久化及横向移动。文章提供了检测方法如排查异常转发规则，并指出微软EEMS缓解措施存在盲区，如不保护IE兼容模式用户。建议立即检查EEMS部署、审计转发规则并准备6月补丁。

本文解析了国密TLCP协议握手层的十种消息类型及枚举值，并给出Wireshark精准过滤命令。文章指出可利用tls.handshake.type字段匹配消息，同时提供通过检测密码套件是否包含SM3或SM4来快速识别国密流量的实战技巧，对流量排查与协议分析具有直接指导价值。

本文剖析CVE-2025-55241，揭示AzureADGraph因缺失跨租户校验，导致攻击者利用ActorToken可跨租户模拟任意用户（含全局管理员），彻底绕过MFA与条件访问。核心问题是未绑定服务Token来源租户与模拟目标租户，且B2B映射易泄露关键netId。攻击链早期日志极度缺失，仅最后写操作留痕。建议国内云上防守视角从用户登录转向机器与服务身份，重点排查RAM、CAM及IAM等角色的跨账号信任边界、S2S委派关系及对象一致性，结合特定KQL查询狩猎异常操作。

网传支付宝8.2亿数据泄露引发关注，但分析认为大概率是早年老数据重打包或利用验证姓名功能批量枚举手机号拼凑而成，并非系统被攻破直接窃取，严重性被夸大。建议用户保持警惕但不必过度恐慌，同时关注文中列出的多个高危漏洞预警，及时排查修复。

近2.2万台暴露在互联网上的微软Exchange服务器未修复高危身份验证绕过漏洞CVE-2026-62911，攻击者可劫持所有用户邮箱。影响ExchangeServer2016、2019及订阅版，利用代码已公开。建议尽快安装微软更新，限制服务器仅内部访问，并关注CISA等机构的安全指引。

本文为ExchangeProxyShell攻击链的实战复现记录，涵盖CVE-2021-34473、CVE-2021-34523、CVE-2021-31207三个漏洞的原理分析、利用脚本使用及失败排查过程。作者分享了通过审计源码获取Token、绕过CVE-2018-8581补丁影响等关键技巧，并提供了手动复现思路与自动化脚本方案，对红队实战具有较高参考价值。

本周CNNVD统计新增安全漏洞1699个，微软公司漏洞数量最多，跨站脚本类漏洞占比最高达10.95%。通报GoogleChrome远程代码执行重大漏洞（CNNVD-202606-1877），同时列举AdobeCampaignClassic、ApacheAnswer等关键漏洞实例，建议用户及时更新补丁修复漏洞。

文档详细解析了Exchange服务器零日漏洞CVE-2026-42897，该漏洞属于XSS/欺骗类型，CVSS评分8.1，攻击者通过恶意邮件在OWA中触发漏洞可窃取会话Cookie实现横向移动。微软已于2026年6月9日发布补丁，建议企业立即部署累积更新。文章同时推荐了网际思安邮件安全网关与沙箱方案，通过深度内容解析和行为检测实现前置防护。

MicrosoftExchangeServer曝出两处高危SSRF漏洞CVE-2026-45502和CVE-2026-45504，低权限攻击者可通过EWS接口诱导服务端发起任意HTTP请求进行内网探测。影响版本包括Exchange2016/2019等多个累积更新版本，建议用户立即通过WindowsUpdate或手动下载补丁修复。360漏洞研究院已成功复现漏洞并提供检测支持。

该文档通报了MicrosoftExchangeServer服务器端请求伪造漏洞CVE-2026-45504的详细信息，该漏洞允许低权限用户通过特制HTTP请求读取服务器任意文件，可能导致完全控制邮件服务器。影响ExchangeServer2016/2019等多个版本，CVSS评分8.8高危。提供了Windows自动更新、手动安装补丁及奇安信天擎解决方案等防护措施。

CVE-2026-45504是微软ExchangeServer2019的高危SSRF漏洞（CVSS8.8），允许低权限认证用户通过构造恶意WOPI端点返回file://协议URL，结合#字符绕过参数拼接，实现服务器本地任意文件读取。漏洞利用链涉及TryTwice函数未验证URL协议、GetWacUrl解析WebApplicationUrl时的设计缺陷。公开PoC显示可窃取系统配置、凭证等敏感文件。建议立即安装微软2026年6月补丁，临时缓解需限制服务器出站连接并监控异常EWS活动。

MicrosoftExchangeServer存在服务器端请求伪造漏洞CVE-2026-45504，经身份验证的低权限用户可通过构造WOPI请求读取服务器任意本地文件。漏洞源于GetWacUrl函数未校验返回地址的协议类型，攻击者利用file://协议和#字符绕过参数拼接机制实现文件读取。影响所有启用OneDrivePro/WOPI功能的Exchange2019环境，CVSS评分8.8。建议及时更新补丁并禁用相关功能缓解风险。

本周安全热点周报披露多个高危漏洞在野利用情况，重点包括CiscoUnifiedCM漏洞(CVE-2026-20230)补丁发布数周后遭攻击者用于文件写入侦察，SplunkEnterprise未授权文件操作漏洞(CVE-2026-20253)被CISA确认积极利用。同时通报Gogs、Exchange、Squid等5个漏洞风险及伊朗银行瘫痪、塔塔电子数据泄露等安全事件，并提供漏洞修复和系统防护建议。