ZONE.CI 全球网

本文为第九届强网拟态防御CTF的WEB与MISC方向Writeup，核心为利用MCP网关授权校验缺陷，通过请求头与JSON正文参数不一致绕过车辆范围限制，导出原始服务包并利用release\\_state=approved参数获取恢复令牌。解题步骤完整，思路清晰，对MCP协议安全测试具有参考价值。

OpenVSX上的ClaudeCode官方扩展遭投毒，恶意版本2.1.313在正常代码前插入66行加载器，运行即植入SSH后门，实现远程控制、持久化与数据收集，影响VSCodium、Cursor等编辑器用户。官方已下架恶意版本但未公开声明。建议用户按文中6处自查，若中招需断网、保留证据、封禁C2IP并轮换凭证，重装系统更可靠。

美国CISA发布全球首个国家级漏洞优先级强制指令BOD26-04，将漏洞修复时限分为五档（3天至升级时修复），基于公网暴露、已知被利用、可自动化、技术影响四个风险变量动态调整。该指令标志漏洞管理从全量修复转向风险驱动模式，要求运营者具备持续资产发现能力。文档分析了传统漏洞管理困境及BOD26-04的战略价值，并介绍了摄星平台的优先级技术解决方案。

本文通过实验验证了系统比模型更重要的观点。作者使用AISLE流水线配合本地开源模型（如Gemma和GPT-OSS）复现FreeBSD中的CVE-2026-4747漏洞。实验发现单次运行易出错，但多次运行后漏洞总能被发现，主要问题是假阳性过多。通过添加reachability过滤环节，假阳性从30个减少到5个，同时保留了真正的漏洞。结论是改进系统而非更换模型能更有效提升漏洞发现能力。

该文档详细分析了一个公开的匿名WebDAV载荷服务器，该服务器被用于分发针对Windows系统的窃密远控木马工具链。攻击者自2026年6月下旬至7月上旬持续迭代恶意组件，构建了从钓鱼投递、环境适配、反调试免杀、多重持久化到内存执行和定向窃密的完整攻击闭环。该工具链技术成熟，具备高隐蔽性和对抗性，对政企内网和数字货币资产构成严重威胁。

CNCERT与安天联合预警FakeSvc挖矿组织通过SSH弱口令暴力破解入侵Linux服务器，植入IRC僵尸网络和门罗币矿机，形成蠕虫式自传播闭环。2026年6月15日至7月22日累计感染16054台设备，日最高感染2511台。建议强化SSH安全、清理计划任务、封禁恶意IoC并常态化巡检。

CNCERT监测发现FakeSvc挖矿组织近期活动频繁，通过SSH弱口令暴力破解入侵Linux服务器，植入IRC僵尸网络客户端和XMRig矿机，形成蠕虫式自传播闭环。2026年6月15日至7月22日期间累计感染16054台设备。建议强化SSH安全加固、清理持久化任务、部署边界防护并常态化安全巡检。

CNCERT监测发现FakeSvc挖矿组织近期活动频繁，通过SSH弱口令暴力破解入侵Linux服务器，植入IRC僵尸网络客户端和门罗币矿机，形成蠕虫式自传播闭环。2026年6月15日至7月22日期间，累计16054台设备被感染，日上线肉鸡数最高达2511台。建议强化SSH安全加固、清理持久化任务、部署边界防护并常态化安全巡检。

奇安信CERT发布Windows健康与优化体验服务权限提升漏洞CVE-2026-85884通告，该漏洞影响Windows11多个版本，攻击者可通过伪造诊断工作流事件加载恶意Lua模块，将权限提升至SYSTEM，CVSS评分7.8，POC与EXP已公开，影响量级达百万级。建议用户尽快通过官方更新或奇安信天擎修复。

该通告披露Windows健康与优化体验服务(whesvc)存在权限提升漏洞CVE-2026-85884，影响多个Windows11版本。该服务以LocalSystem权限运行，在处理ETW事件时未充分验证事件来源，低权限攻击者可伪造事件加载并执行任意Lua模块，将权限提升至SYSTEM。官方已发布补丁，建议用户尽快通过Windows更新或手动安装修复。

本文分析Windowswhesvc服务CVE-2026-85884漏洞，该漏洞因ETW事件生产者无认证机制，低权限代码可伪造事件诱导SYSTEM权限服务加载恶意Lua模块实现提权，影响Windows11多个构建，评分7.8。2026年10月安全更新已修复，无官方替代方案。建议立即安装补丁，监控Lua模块加载与异常ETW写入，排查利用痕迹并审计诊断组件执行面。

本文通过实验验证了系统比模型更重要的观点。作者使用AISLE流水线配合本地开源模型（如Gemma和GPT-OSS）复现FreeBSD中的CVE-2026-4747漏洞。实验发现单次运行易出错，但多次运行后漏洞总能被发现，主要问题是假阳性过多。通过添加reachability过滤环节，假阳性从30个减少到5个，同时保留了真正的漏洞。结论是改进系统而非更换模型能更有效提升漏洞发现能力。

该文档详细分析了一个公开的匿名WebDAV载荷服务器，该服务器被用于分发针对Windows系统的窃密远控木马工具链。攻击者自2026年6月下旬至7月上旬持续迭代恶意组件，构建了从钓鱼投递、环境适配、反调试免杀、多重持久化到内存执行和定向窃密的完整攻击闭环。该工具链技术成熟，具备高隐蔽性和对抗性，对政企内网和数字货币资产构成严重威胁。

CNCERT与安天联合预警FakeSvc挖矿组织通过SSH弱口令暴力破解入侵Linux服务器，植入IRC僵尸网络和门罗币矿机，形成蠕虫式自传播闭环。2026年6月15日至7月22日累计感染16054台设备，日最高感染2511台。建议强化SSH安全、清理计划任务、封禁恶意IoC并常态化巡检。

CNCERT监测发现FakeSvc挖矿组织近期活动频繁，通过SSH弱口令暴力破解入侵Linux服务器，植入IRC僵尸网络客户端和XMRig矿机，形成蠕虫式自传播闭环。2026年6月15日至7月22日期间累计感染16054台设备。建议强化SSH安全加固、清理持久化任务、部署边界防护并常态化安全巡检。

CNCERT监测发现FakeSvc挖矿组织近期活动频繁，通过SSH弱口令暴力破解入侵Linux服务器，植入IRC僵尸网络客户端和门罗币矿机，形成蠕虫式自传播闭环。2026年6月15日至7月22日期间，累计16054台设备被感染，日上线肉鸡数最高达2511台。建议强化SSH安全加固、清理持久化任务、部署边界防护并常态化安全巡检。

本文深入解析了PsExec.exe的工作原理，包括其通过SVCCTLRPC服务创建远程服务、利用命名管道进行通信的机制。作者开发了PsExeSVC.py工具，通过模拟合法PsExec客户端并利用其数字签名白名单特性，有效规避EDR检测。文章强调，尽管PsExec是合法管理工具，但其明文传输凭据的方式存在安全风险，凸显了零信任安全模型在防范此类横向移动攻击中的核心必要性。

奇安信CERT发布Windows健康与优化体验服务权限提升漏洞CVE-2026-85884通告，该漏洞影响Windows11多个版本，攻击者可通过伪造诊断工作流事件加载恶意Lua模块，将权限提升至SYSTEM，CVSS评分7.8，POC与EXP已公开，影响量级达百万级。建议用户尽快通过官方更新或奇安信天擎修复。

美国CISA发布全球首个国家级漏洞优先级强制指令BOD26-04，将漏洞修复时限分为五档（3天至升级时修复），基于公网暴露、已知被利用、可自动化、技术影响四个风险变量动态调整。该指令标志漏洞管理从全量修复转向风险驱动模式，要求运营者具备持续资产发现能力。文档分析了传统漏洞管理困境及BOD26-04的战略价值，并介绍了摄星平台的优先级技术解决方案。

本文通过实验验证了系统比模型更重要的观点。作者使用AISLE流水线配合本地开源模型（如Gemma和GPT-OSS）复现FreeBSD中的CVE-2026-4747漏洞。实验发现单次运行易出错，但多次运行后漏洞总能被发现，主要问题是假阳性过多。通过添加reachability过滤环节，假阳性从30个减少到5个，同时保留了真正的漏洞。结论是改进系统而非更换模型能更有效提升漏洞发现能力。

该文档详细分析了一个公开的匿名WebDAV载荷服务器，该服务器被用于分发针对Windows系统的窃密远控木马工具链。攻击者自2026年6月下旬至7月上旬持续迭代恶意组件，构建了从钓鱼投递、环境适配、反调试免杀、多重持久化到内存执行和定向窃密的完整攻击闭环。该工具链技术成熟，具备高隐蔽性和对抗性，对政企内网和数字货币资产构成严重威胁。

CNCERT与安天联合预警FakeSvc挖矿组织通过SSH弱口令暴力破解入侵Linux服务器，植入IRC僵尸网络和门罗币矿机，形成蠕虫式自传播闭环。2026年6月15日至7月22日累计感染16054台设备，日最高感染2511台。建议强化SSH安全、清理计划任务、封禁恶意IoC并常态化巡检。

CNCERT监测发现FakeSvc挖矿组织近期活动频繁，通过SSH弱口令暴力破解入侵Linux服务器，植入IRC僵尸网络客户端和XMRig矿机，形成蠕虫式自传播闭环。2026年6月15日至7月22日期间累计感染16054台设备。建议强化SSH安全加固、清理持久化任务、部署边界防护并常态化安全巡检。

CNCERT监测发现FakeSvc挖矿组织近期活动频繁，通过SSH弱口令暴力破解入侵Linux服务器，植入IRC僵尸网络客户端和门罗币矿机，形成蠕虫式自传播闭环。2026年6月15日至7月22日期间，累计16054台设备被感染，日上线肉鸡数最高达2511台。建议强化SSH安全加固、清理持久化任务、部署边界防护并常态化安全巡检。

本文深入解析了PsExec.exe的工作原理，包括其通过SVCCTLRPC服务创建远程服务、利用命名管道进行通信的机制。作者开发了PsExeSVC.py工具，通过模拟合法PsExec客户端并利用其数字签名白名单特性，有效规避EDR检测。文章强调，尽管PsExec是合法管理工具，但其明文传输凭据的方式存在安全风险，凸显了零信任安全模型在防范此类横向移动攻击中的核心必要性。