本文分析gzip多成员解码分歧导致的请求体走私攻击，利用不同解码器对多成员gzip流解码结果不同，使恶意payload绕过WAF过滤直达后端。文章详述了构造方法、CRC校验机制及FLG位利用技巧，并给出代码示例，对渗透测试与WAF绕过具有实操参考价值。

PentestAgent是3.2k星的开源渗透测试AI智能体框架，基于Python运行时，采用THP3攻击手册驱动侦察、Web与内网三阶段测试，支持MCP生态与Docker容器执行。源码级拆解显示其具备工具并发控制、workspace隔离与token追踪等工程细节。文章从防御视角指出AI渗透工具降低攻击门槛，企业需更新防御假设并加强供应链与凭据治理，建议仅在授权环境使用。

本周网络安全三大防线遭多重冲击，黑客滥用Cloudflare域名实施电话诈骗，AI代理协助劫持Linuxsudo窃取凭证，37年内核漏洞致OpenBSD提权，新型YuanKong木马窃取银行信息，iOS27完美越狱演示成功，AI代理入侵全球PaperCut服务器，谷歌自动绑定手机号引发隐私担忧，印度CERT-In警告AI加速攻击，MITRE新增9项AI相关攻击技术。

黑客利用NextcloudCollaboraOnline内置CODEServer应用中的CVE-2026-110447严重命令执行漏洞，自9月中旬起发起攻击，植入PHPwebshell以搜索密码数据库及加密货币钱包。该漏洞影响26.4.303之前版本，无需认证即可利用。建议管理员立即升级至26.4.303或更高版本，若不需要应移除该应用。文章还揭示了安全修复与CVE发布之间的时间差问题，以及AI辅助漏洞发现对CVE处理流程带来的压力。