ZONE.CI 全球网

文档披露phpMyFAQ系统存在权限管理漏洞CVE-2026-56396，已登录用户可能越权修改其他用户权限。核心风险在于后台权限边界被突破，建议立即升级版本、限制后台访问网络、实施最小权限原则并审计权限变更日志，同时将知识库系统纳入常态化安全管理。

SimpleHelp远程运维工具存在CVE-2026-48558认证绕过漏洞，影响5.5.15及之前版本和6.0预发布版，CISA已将其列入KEV。攻击者利用该漏洞获取技术员会话后，通过RMM平台投递TaskWeaver与DjinnStealer等恶意程序，窃取云平台、代码仓库、SSH私钥等凭据。企业应确认是否使用SimpleHelp、升级版本、审计会话、限制远程入口并轮换可能外溢的凭据。

CERT/CC披露CVE-2026-11405，Tenda多款固件存在未记录认证后门，可导致未授权管理员级访问。该漏洞于2026年7月6日发布，目前无可用补丁。建议用户关闭远程Web管理、修改默认配置、关注厂商补丁或替换设备，以降低被攻击风险。家庭和小微企业应重视路由器安全管理，避免网络入口被控制。

工业和信息化部网络安全威胁和漏洞信息共享平台监测发现AI编程工具ClaudeCode存在安全后门隐患，影响版本为2.1.91至2.1.196。该工具内置监控机制，未经用户同意向远程服务器回传地域、身份标识等敏感信息。建议相关单位立即卸载或升级至安全版本，并加强开发工具外联权限管控与流量监测。

工业和信息化部NVDB监测发现AI编程工具ClaudeCode存在安全后门隐患，影响2.1.91至2.1.196版本。该工具内置监控机制，未经用户同意回传地域、身份标识等敏感信息。建议相关单位立即排查，卸载或升级至安全版本，并加强开发工具外联管控与流量监测，防止数据违规外传。

工信部NVDB发布风险提示，指出AI编程工具ClaudeCode2.1.91至2.1.196版本存在安全后门，可未经授权回传用户敏感信息。事件源于开发者逆向分析发现隐蔽检测机制，Anthropic回应称已移除。阿里巴巴已宣布全员禁用Claude全系列产品。建议用户立即卸载或升级受影响版本，并加强开发环境外联管控与流量审计。

本文为安全新闻速览：工信部NVDB预警ClaudeCode内置后门回传敏感数据，建议立即排查卸载；超3000个恶意AI技能被发现可窃取数据执行代码；CISA引入Mythos模型扫描政府代码库漏洞；HalluSquatting利用AI幻觉组建僵尸网络；埃森哲与AssuranceAmerica遭数据泄露；Android17验证浏览器到内核完整提权攻击链；伊利诺伊州出台AI安全监管法案。

工信部NVDB发布风险提示，指出美国Anthropic公司AI编程工具ClaudeCode在特定版本中存在隐蔽监控机制，可绕过授权向境外服务器回传用户地域、设备标识及研发代码等敏感数据。该事件暴露了AI工具超级权限带来的供应链安全风险，以及地缘政治因素加剧的数据安全隐患。文章建议立即排查清理受影响版本，遵循最小权限与数据隔离原则，加速国产AI工具替代，并强化日常安全审计与法律意识。

CNNVD发布PAV标准以替代NVDCPE，解决后者命名不一致、国产覆盖差及NVD停摆导致的富化率断崖下跌问题。PAV通过引入不受影响表达、四值语义与中文优先命名等创新重构漏洞发现底座。建议企业关注该主权数据标准，探索非扫描式数据关联匹配，降低对境外源的依赖，提升资产管理效率。

工信部平台提示ClaudeCode存在隐蔽监控后门，可绕过授权向境外回传用户敏感数据，暴露出AI工具超级权限失控与地缘政治风险。建议立即排查卸载受影响版本并拦截异常外联，坚持最小权限与数据隔离原则在沙箱运行，加速国产工具替代，构建全链条防护体系。

vuln-monitor是一款面向安全研究员的个人订阅器，用于聚合多源0day/1dayRCE情报，支持Telegram、企业微信、钉钉、飞书等多通道实时推送，并提供Web仪表盘。工具具备多源采集、增量去重、LLM研判等核心特性，可帮助安全人员快速获取并处理漏洞情报。用户可通过GitHub获取并部署。

奇安信获评工信部NVDB五大安全漏洞专业库年度技术支撑单位，涵盖通用网络、工控、信创政务、车联网及AI领域，其中通用网络库获最高四星级。该成绩依托补天平台及多个实验室的漏洞挖掘能力。本文为企业宣传稿，展示其多领域漏洞治理实力，无直接可操作技术细节。

四叶草安全再次获评工信部NVDB通用网络产品安全漏洞专业库二星级技术支撑单位，体现了其在漏洞信息报送、分析研判等领域的持续技术实力。公司长期参与国家级漏洞平台工作，落实以攻促防理念，深耕漏洞挖掘与渗透测试，为网络安全生态发展贡献力量。

奇安信获评工信部NVDB平台2026年度五大安全漏洞专业库技术支撑单位，包括通用网络产品、工控、信创政务、车联网、人工智能产品，其中通用网络产品获四星级最高等级，人工智能产品获二星级当期最高。依托补天平台、巽丰工控实验室、代码安全实验室等团队，持续漏洞挖掘与报送，夯实国家漏洞治理体系。

华云安凭借漏洞研究、攻防对抗及多场景安全治理实力，入选工信部NVDB信创政务产品安全漏洞专业库(CITIVD)二星级和车联网产品安全漏洞专业库(CAVD)技术支撑单位。其以AI驱动的情报中心和知识图谱风险库为核心，构建覆盖信创与车联网领域的攻击面管理解决方案，提升漏洞发现与响应能力。此次认证标志着其技术实力获国家级平台权威认可。

360入选工信部NVDB六大漏洞专业库技术支撑单位，覆盖通用网络产品、工控、信创、移动APP、车联网与AI方向并实现全覆盖，在CAPPVD中获唯一五星级评价；其AI攻防系统图龙锋累计挖洞超万个，212个获权威核验，含OpenAICodex、ClaudeCode等产品漏洞。全文偏宣传推广，文末引导预约试用，技术细节有限。

360集团入选工信部NVDB六大安全漏洞专业库技术支撑单位，实现全覆盖，其中在移动互联网APP产品安全漏洞专业库获评唯一五星级。其漏洞研究院汇聚十余万白帽人才，累计报送百万级漏洞。AI安全攻防系统图龙锋已挖掘超10000个漏洞，服务覆盖政府、金融、汽车等重点领域，推动漏洞发现迈向机器速度。

Plex2Shell是将4个中低危CVE组合成未授权RCE链的武器化攻击，影响PlexMediaServer1.43.3.10861以下版本，CVSS评分9.8。攻击链从SSRF绕过鉴权窃取管理员token，经任意文件写入最终通过无签名.so加载实现代码执行。已在野利用并进入CISAKEV，建议立即升级至修复版本并排查异常转码活动。

文档通报PHP存在两个远程代码执行超危漏洞，影响8.1至8.5多个版本系列，攻击者可远程执行任意代码导致服务器受控等危害。PHP安全团队已修复并发布公告，建议用户立即排查升级至最新安全版本，或采取临时下线、网络隔离等防护措施，加强监测与凭证管理。

斗象科技入选工信部人工智能产品安全漏洞专业库首批技术支撑单位，并获评最高星级，同时支撑NVDB与CNNVD两大国家级AI漏洞库。公司依托自研网络安全大模型与白帽生态，推动AI与漏洞治理融合，提升网络AI安全能力。

本文记录研究者Numb3rs对WhatsAppCVE-2026-23866漏洞的完整逆向分析过程。该漏洞源于AI富响应消息对InstagramReelsURL校验不完整，攻击者可构造恶意消息，用户点击一次Reels卡片即触发Safari打开攻击者指定地址，导致IP与请求头泄漏。作者通过静态逆向、grep搜索及交叉引用分析，利用whatsmeow第三方库构造恶意消息，成功验证1-click路径，但未复现CVE描述的0-click路径。文章还探讨了动态调试与二进制diff两道技术障碍，并发现unifiedDa

CERT/CC披露CVE-2026-11405，Tenda多款固件存在未记录认证后门，可导致未授权管理员级访问。该漏洞于2026年7月6日发布，目前无可用补丁。建议用户关闭远程Web管理、修改默认配置、关注厂商补丁或替换设备，以降低被攻击风险。家庭和小微企业应重视路由器安全管理，避免网络入口被控制。

工业和信息化部网络安全威胁和漏洞信息共享平台监测发现AI编程工具ClaudeCode存在安全后门隐患，影响版本为2.1.91至2.1.196。该工具内置监控机制，未经用户同意向远程服务器回传地域、身份标识等敏感信息。建议相关单位立即卸载或升级至安全版本，并加强开发工具外联权限管控与流量监测。

工业和信息化部NVDB监测发现AI编程工具ClaudeCode存在安全后门隐患，影响2.1.91至2.1.196版本。该工具内置监控机制，未经用户同意回传地域、身份标识等敏感信息。建议相关单位立即排查，卸载或升级至安全版本，并加强开发工具外联管控与流量监测，防止数据违规外传。

工信部NVDB发布风险提示，指出AI编程工具ClaudeCode2.1.91至2.1.196版本存在安全后门，可未经授权回传用户敏感信息。事件源于开发者逆向分析发现隐蔽检测机制，Anthropic回应称已移除。阿里巴巴已宣布全员禁用Claude全系列产品。建议用户立即卸载或升级受影响版本，并加强开发环境外联管控与流量审计。