ZONE.CI 全球网

谷歌修复了今年第八个已遭利用的0day漏洞，该漏洞为XML组件中的释放后使用漏洞，可能使攻击者实现数据损坏、程序崩溃或任意代码执行。建议用户更新Chrome浏览器至最新版本以获得最佳保护。

ZoomWorkplace修复了两个严重漏洞，其中一个可能导致未认证远程提权，建议用户更新至最新版本以缓解潜在威胁。

ForgeRockRCE漏洞被用于通过默认凭据远程解锁联网汽车，两辆汽车制造商在发现后迅速修复了该问题并更换了凭据。研究人员通过追踪电子邮件验证请求发现漏洞，并证实了远程代码执行发生在生产身份认证进程内。

Chainalysis披露遭攻击性智能体技术入侵，部分客户信息被访问，包括姓名、邮箱、用户ID等，未发现敏感调查数据或凭证泄露。公司正与外部专家合作调查，建议客户启用双因素认证并警惕诈骗。事件与币安盗窃案无关，反映AI智能体在攻击中的新应用趋势。

phpBB论坛软件修复了一个存在10年的认证绕过漏洞，攻击者可利用单个HTTP请求以任意用户（包括管理员）身份登录，影响3.3.16及以下版本和4.0.0-a2版本。该漏洞由Aikido公司通过HackerOne披露，phpBB已于6月6日发布3.3.17版本修复。漏洞可能导致私密信息泄露、内容篡改和账号滥用，建议用户立即升级至安全版本。

思科已发布安全更新，修复了其CatalystSD-WANManager（前身为SD-WANvManage）中的一个高危漏洞（CVE-2026-20262）。该漏洞因文件上传功能对用户输入验证不足，可能被攻击者利用以获取root权限。思科强烈建议受影响的客户尽快升级至指定的修复版本，并检查相关日志以应对潜在威胁。

CISA要求联邦机构在本周五前修复JoomlaWidgetFactory插件中的严重漏洞CVE-2026-48907，该CVSS满分漏洞正遭活跃利用，允许未认证攻击者执行代码。JCE团队已发布2.9.99.6版本修复，建议用户立即更新并清理被入侵站点，包括删除恶意配置文件、更改所有密码和运行恶意软件扫描。

Fortra披露CorePrivilegedAccessManager(BoKS)存在严重命令注入漏洞CVE-2026-9862（CVSS9.8），攻击者可通过boks\\_autoregisterd服务在端口6507上无需认证执行任意命令。建议立即限制网络访问、关闭服务或应用补丁，防止系统完全被控。

Libssh2库存在严重整数溢出转缓冲区溢出漏洞CVE-2026-55200（CVSS9.2），影响1.11.1及更早版本。攻击者可通过构造恶意SSH数据包触发远程代码执行，无需认证即可完全控制受影响系统。漏洞源于ssh2_transport_read()函数未验证packet\\_length字段导致堆越界写入。建议立即升级至修复版本，监控异常网络流量并实施网络层控制措施。

谷歌紧急修复2026年第五个遭在野利用的Chrome0day漏洞CVE-2026-11645，该高危漏洞存在于V8JavaScript引擎中，涉及越界读写问题，可被恶意HTML页面利用在浏览器沙箱中执行任意代码或绕过ASLR等防护机制。文章建议用户立即更新至修复版本149.0.7827.102/103，并提及今年已修复共5个0day漏洞及去年修复8个同类漏洞的历史数据。

研究人员在三星KNOX内核中发现存在8年的高危漏洞CVE-2026-20971，影响从GalaxyS9到S25等多代设备。该漏洞源于PROCA与FIVE子系统间的竞争条件，可导致内核内存损坏，可能被本地攻击者利用获取系统权限。三星已在2026年1月更新中修复，建议用户及时更新补丁。

IBM披露LangflowOSS存在两个严重漏洞：CVE-2026-10561为未认证远程代码执行漏洞（CVSS10分），源于Python解释器未重置builtins导致可执行系统命令；CVE-2026-7664为授权绕过漏洞，默认配置允许未认证访问受保护资源。影响版本1.0.0至1.9.3，需立即升级至1.9.4并禁用AUTO\\_LOGIN、部署网络隔离。

cURL本周修复了18个CVE漏洞（4个中危和14个低危），其中包括一个存在25年的严重mTLS身份验证绕过漏洞CVE-2026-8932，该漏洞影响使用libcurl的应用程序且可能被攻击者复用连接绕过证书验证。目前全球超过300亿台设备使用cURL，建议用户及时更新版本以修复安全隐患。

CISA警告LantronixEDS5000系列设备存在严重代码注入漏洞CVE-2026-67038（CVSS9.8），攻击者可利用该漏洞以root权限执行任意命令且已遭活跃利用。该漏洞源于用户名参数未经清理直接拼接至shell命令，是BRIDGE:BREAK漏洞组的一部分。CISA要求联邦机构在6月26日前修复，同时确认UbiquitiUniFiOS三个满分漏洞也被利用。

AmazonQAI编程助手的VSCode扩展存在高危漏洞CVE-2026-12957和CVE-2026-12958，攻击者通过恶意配置文件可自动执行任意代码并窃取AWS凭据等敏感信息。漏洞源于未经用户同意自动加载MCP服务器配置且衍生进程继承完整环境变量。[亚马逊](http

文档分析朝鲜黑客团队利用GoogleSites服务伪造Google日历钓鱼页面，诱导用户下载恶意签名插件并运行PowerSSH命令实施攻击。攻击者通过虚假系统设置提示窃取用户密码，关联文件包括Gapi.dmg和多个恶意样本。文章提供相关IOC指标（IP、域名、SHA256）并警示此类Google服务钓鱼手法近年常见，建议用户警惕异常权限请求。

EVokeSystems充电站管理系统所有版本存在四个严重漏洞，攻击者可劫持会话、扰乱充电运营并窃取数据。漏洞包括WebSocket端点身份验证缺失、API速率限制缺陷、会话ID可预测及认证标识符暴露。建议升级至OCPP安全配置2/3并实施会话限制等措施。

日产员工数据泄露源于ShinyHunters利用OraclePeopleSoft零日漏洞CVE-2026-35273的大规模攻击，该漏洞已被Mandiant证实遭在野利用，波及数百家机构。建议相关企业立即应用官方缓解措施，并借鉴日产做法，将薪资变更限制为内网或安全VPN访问，处理敏感请求时增加额外身份验证以防数据窃取。

CatoAILabs在CursorIDE中发现两个严重RCE漏洞(CVE-2026-50548和CVE-2026-50549,统称DuneSlide,CVSS9.8)。漏洞通过提示词注入触发,无需用户交互即可完全攻破沙箱,危害本地计算机及SaaS工作空间。攻击者可利用工作目录操纵或符号链接绕过覆盖关键系统文件实现远程代码执行。建议用户关注官方更新并加强输入验证。

JetBrains修复了三个安全漏洞，包括一个CVSS满分的认证绕过漏洞CVE-2026-50242，影响Hub、YouTrack和GoLand。该漏洞可被拥有直接数据库访问权限的攻击者利用获得管理员控制，影响超过1500万开发人员。自托管实例面临风险，Cloud客户已受保护。建议用户立即升级到已修复版本。

Adobe于2026年7月3日修复了ColdFusion和CampaignClassic中的七个CVSS满分漏洞，这些漏洞可被低复杂度攻击利用，无需用户交互，风险较高。Adobe建议管理员在72小时内安装更新，目前未发现这些漏洞遭在野利用。此外，Adobe将改为每月两次发布安全通告以加快部署速度。

Linux内核发现隐藏超19年的漏洞CVE-2026-43456，位于net/bonding子系统，为类型混淆漏洞。本地攻击者拥有CAP_NET_ADMIN权限即可利用，稳定性极高，成功率超99%，可在1秒内完成提权。影响Linux2.6.24至6.12.77版本。官方已在2026年3月修复，建议用户更新至最新版本或禁用非特权用户命名空间及Bonding模块进行缓解。

优倍快修复了UniFiOS中七个严重漏洞，其中CVE-2026-50746为CVSS满分命令注入漏洞，影响UniFiConnectApplication3.4.16及更早版本。攻击者可利用访问控制不当在主机设备上执行命令。建议用户将应用更新至3.4.20或更高版本。Censys追踪到超10万个在线暴露实例，多数位于美国。过去黑客组织常利用优倍快产品构建僵尸网络。

微软已修复Defender漏洞RoguePlanet(CVE-2026-50656,CVSS7.8),该漏洞位于恶意软件保护引擎mpengine.dll中,是一个权限提升问题,攻击者可获得SYSTEM权限。微软在引擎版本1.1.26060.3008中修复,并发布深度防御更新。用户无需手动操作,软件会自动更新。

PaloAltoNetworks披露PAN-OS高危缓冲区溢出漏洞CVE-2026-0288，CVSS评分7.2。该漏洞位于User-ID终端服务器代理中，未认证攻击者可远程利用导致防火墙崩溃或执行任意代码。受影响版本包括PAN-OS10.2至12.1的特定版本。建议用户立即更新至修复版本如12.1.8，并临时限制TSA连接为受信任IP地址以降低风险。