ZONE.CI 全球网

红帽披露HPLIP漏洞CVE-2026-14544，CVSS评分9.8，可导致远程任意代码执行。漏洞源于hpcups组件整数溢出，影响RedHatEnterpriseLinux6至10等版本。建议及时安装HPLIP更新，或限制打印服务访问权限，必要时卸载hplip软件包。

英伟达联合微软、思科和IBM等巨头成立开放安全人工智能联盟，旨在共享开源工具与模型以保护AI系统及代理。各成员贡献了代理审计、零信任身份验证及多模型漏洞扫描等技术。联盟强调开源AI是网络防御资产，呼吁监管机构避免过度限制，建议防御者结合开放与封闭模型，利用透明度与适应性来测试并强化系统安全。

英伟达联合微软、思科、HuggingFace等数十家科技巨头宣布成立开放安全人工智能联盟，旨在基于Linux基金会开发共享开源工具与模型以保护AI系统和代理。各企业分别贡献了代理行为审计工具、零信任身份框架、供应链安全及漏洞扫描框架等核心项目。联盟强调开源模型应被视为关键防御资产，警告政策制定者不应过度限制开放前沿AI，并引用HuggingFace利用开源模型成功取证的事件，呼吁将开放性与安全评估及滥用防范相结合以提升集体网络防御能力。

本文通报两项高危漏洞。Keycloak凭据重置缺陷CVE-2026-18963允许攻击者绕过邮件验证强制重置密码接管账户，评分为9.1。MicrosoftEntraID反序列化漏洞CVE-2026-69836可致未授权远程代码执行，满分10.0且已有在野利用。建议受影响用户立即查阅官方指南进行升级修补。

本文分析Linux内核高危漏洞CVE-2026-99999，CVSS评分9.3，属虚拟机逃逸漏洞，源于IPv4网络栈校验和元数据校验缺失导致越界写。漏洞影响多个稳定分支，存续约20年，由Vercel挑战赛发现。文章详述编号来历、影响范围、利用条件及发行版修复进度，建议相关方尽快评估并应用补丁。

RedHat旗下@redhat-cloud-services命名空间的32个npm包遭供应链攻击，攻击者通过入侵员工GitHub账户植入Miasma恶意软件，该软件可窃取云凭证、SSH密钥等敏感信息。每周下载量达11.7万次，RedHat已下架受影响包并确认客户环境未受损。建议开发者立即检查依赖、轮换凭证并审计CI/CD流水线。

RedHat官方npm仓库中超过30个包被植入Miasma恶意软件，攻击者通过入侵员工GitHub账户篡改代码，利用GitHubActions自动化窃取云凭证、SSH密钥等敏感信息。该供应链攻击每周影响11.7万次下载，RedHat已下架恶意包并紧急呼吁开发者立即轮换所有凭据。

慢雾安全团队披露RedHatCloudServices组织下32个npm包遭供应链投毒事件，攻击者通过preinstall脚本植入多层混淆恶意载荷。分析显示恶意软件具备GitHubActionsRunner内存读取、多云凭据采集、自传播及持久化等能力，属于Shai-Hulud变体，影响开发者主机与CI/CD环境。建议用户检查安装日志并审计依赖包版本。

红帽披露HPLIP漏洞CVE-2026-14544，CVSS评分9.8，可导致远程任意代码执行。漏洞源于hpcups组件整数溢出，影响RedHatEnterpriseLinux6至10等版本。建议及时安装HPLIP更新，或限制打印服务访问权限，必要时卸载hplip软件包。

英伟达联合微软、思科和IBM等巨头成立开放安全人工智能联盟，旨在共享开源工具与模型以保护AI系统及代理。各成员贡献了代理审计、零信任身份验证及多模型漏洞扫描等技术。联盟强调开源AI是网络防御资产，呼吁监管机构避免过度限制，建议防御者结合开放与封闭模型，利用透明度与适应性来测试并强化系统安全。

英伟达联合微软、思科、HuggingFace等数十家科技巨头宣布成立开放安全人工智能联盟，旨在基于Linux基金会开发共享开源工具与模型以保护AI系统和代理。各企业分别贡献了代理行为审计工具、零信任身份框架、供应链安全及漏洞扫描框架等核心项目。联盟强调开源模型应被视为关键防御资产，警告政策制定者不应过度限制开放前沿AI，并引用HuggingFace利用开源模型成功取证的事件，呼吁将开放性与安全评估及滥用防范相结合以提升集体网络防御能力。

RedHat修复了AdvancedClusterManagement中的五个严重漏洞，包括两个CVSS9.9的远程代码执行漏洞。攻击者可利用这些漏洞窃取令牌、劫持GitOps部署或提升权限，威胁多租户Kubernetes集群舰队。受影响版本包括ACM和MulticlusterEngine。建议立即打补丁或采取临时措施如限制ClusterCurator权限和最小化RBAC角色。

本文通报两项高危漏洞。Keycloak凭据重置缺陷CVE-2026-18963允许攻击者绕过邮件验证强制重置密码接管账户，评分为9.1。MicrosoftEntraID反序列化漏洞CVE-2026-69836可致未授权远程代码执行，满分10.0且已有在野利用。建议受影响用户立即查阅官方指南进行升级修补。

本文分析Linux内核高危漏洞CVE-2026-99999，CVSS评分9.3，属虚拟机逃逸漏洞，源于IPv4网络栈校验和元数据校验缺失导致越界写。漏洞影响多个稳定分支，存续约20年，由Vercel挑战赛发现。文章详述编号来历、影响范围、利用条件及发行版修复进度，建议相关方尽快评估并应用补丁。

2026年6月1日RedHat官方npm账户遭入侵，攻击者在72秒内自动化发布32个恶意包版本，通过GitHub账户劫持和OIDC令牌滥用实现供应链攻击。恶意软件利用preinstall钩子执行三层混淆载荷，窃取开发环境凭据并通过AnthropicAPI伪装外传，具备蠕虫式传播和令牌撤销后数据销毁能力。事件凸显官方发布通道攻陷和AI工具成为新攻击面的趋势，建议立即审计依赖、轮换密钥并启用SLSA框架加强供应链安全。

RedHat旗下@redhat-cloud-services命名空间的32个npm包遭供应链攻击，攻击者通过入侵员工GitHub账户植入Miasma恶意软件，该软件可窃取云凭证、SSH密钥等敏感信息。每周下载量达11.7万次，RedHat已下架受影响包并确认客户环境未受损。建议开发者立即检查依赖、轮换凭证并审计CI/CD流水线。

RedHat官方npm仓库中超过30个包被植入Miasma恶意软件，攻击者通过入侵员工GitHub账户篡改代码，利用GitHubActions自动化窃取云凭证、SSH密钥等敏感信息。该供应链攻击每周影响11.7万次下载，RedHat已下架恶意包并紧急呼吁开发者立即轮换所有凭据。

慢雾安全团队披露RedHatCloudServices组织下32个npm包遭供应链投毒事件，攻击者通过preinstall脚本植入多层混淆恶意载荷。分析显示恶意软件具备GitHubActionsRunner内存读取、多云凭据采集、自传播及持久化等能力，属于Shai-Hulud变体，影响开发者主机与CI/CD环境。建议用户检查安装日志并审计依赖包版本。

2026年6月1日，红帽官方@redhat-cloud-services命名空间下的32个npm包被植入名为miasma的凭据窃取蠕虫，波及96个版本，周下载量约11.7万次。攻击者盗用员工账户，通过GitHubActionsOIDC机制利用可信发布通道推送后门版本，安装即触发preinstall脚本扫描并外传GitHub、AWS、GCP、Azure、Vault、Kubernetes等全套云凭据与本地密钥。建议立即轮换凭据、排查CI/CD环境、锁定依赖版本并启用恶意包检测。

红帽披露HPLIP漏洞CVE-2026-14544，CVSS评分9.8，可导致远程任意代码执行。漏洞源于hpcups组件整数溢出，影响RedHatEnterpriseLinux6至10等版本。建议及时安装HPLIP更新，或限制打印服务访问权限，必要时卸载hplip软件包。

英伟达联合微软、思科和IBM等巨头成立开放安全人工智能联盟，旨在共享开源工具与模型以保护AI系统及代理。各成员贡献了代理审计、零信任身份验证及多模型漏洞扫描等技术。联盟强调开源AI是网络防御资产，呼吁监管机构避免过度限制，建议防御者结合开放与封闭模型，利用透明度与适应性来测试并强化系统安全。

英伟达联合微软、思科、HuggingFace等数十家科技巨头宣布成立开放安全人工智能联盟，旨在基于Linux基金会开发共享开源工具与模型以保护AI系统和代理。各企业分别贡献了代理行为审计工具、零信任身份框架、供应链安全及漏洞扫描框架等核心项目。联盟强调开源模型应被视为关键防御资产，警告政策制定者不应过度限制开放前沿AI，并引用HuggingFace利用开源模型成功取证的事件，呼吁将开放性与安全评估及滥用防范相结合以提升集体网络防御能力。

RedHat修复了AdvancedClusterManagement中的五个严重漏洞，包括两个CVSS9.9的远程代码执行漏洞。攻击者可利用这些漏洞窃取令牌、劫持GitOps部署或提升权限，威胁多租户Kubernetes集群舰队。受影响版本包括ACM和MulticlusterEngine。建议立即打补丁或采取临时措施如限制ClusterCurator权限和最小化RBAC角色。

本文通报两项高危漏洞。Keycloak凭据重置缺陷CVE-2026-18963允许攻击者绕过邮件验证强制重置密码接管账户，评分为9.1。MicrosoftEntraID反序列化漏洞CVE-2026-69836可致未授权远程代码执行，满分10.0且已有在野利用。建议受影响用户立即查阅官方指南进行升级修补。

RedHat旗下@redhat-cloud-services命名空间的32个npm包遭供应链攻击，攻击者通过入侵员工GitHub账户植入Miasma恶意软件，该软件可窃取云凭证、SSH密钥等敏感信息。每周下载量达11.7万次，RedHat已下架受影响包并确认客户环境未受损。建议开发者立即检查依赖、轮换凭证并审计CI/CD流水线。