ZONE.CI 全球网

绿盟科技CERT发布WordPress远程代码执行漏洞通告(CVE-2026-63030和CVE-2026-60137),CVSS评分9.8,漏洞细节与PoC已公开且存在在野利用。攻击者可绕过RESTAPI认证,通过SQL注入获取管理员密码哈希并植入WebShell实现远程代码执行。受影响版本包括WordPress7.0.0至7.0.2、6.9.0至6.9.5及6.8.0至6.8.6。建议用户立即升级至最新版本或采取安装DisableWPRESTAPI插件、拦截相关端点等临时缓解措施。

本文通过一份麦当劳外卖订单线索，结合FBI起诉书、泄露数据库与企业记录等多源数据，对俄黑客组织VoidBlizzard成员Obrezko进行深度开源情报溯源，揭示其与俄紧急情况部信息分析中心及Yutek-NN公司的关联，展示了数字时代生活痕迹对追踪国家背景网络行动者的独特价值。

DroidHunter是HexSecTeam开发的开源Android安全评估CLI框架，整合设备管理、APK静态分析、漏洞扫描与利用、Payload生成及报告输出等八大模块。内置30+已知CVE映射，支持ADB交互与远程控制，适合授权渗透测试。安装依赖Python3.8+及可选组件，提供交互式菜单与命令行操作。

2026年7月，安全厂商Dream发现一款名为BHAlert的安卓恶意应用，伪装成巴林民防警报软件。该应用通过钓鱼页面分发，利用用户对空袭的恐惧诱导安装。其恶意代码分四阶段释放，最终植入OctagonPanel远控木马，可窃取锁屏密码、短信验证码、通讯录、屏幕截图，并执行银行钓鱼和远程控制。攻击者疑似俄语系开发者。防御建议包括MDM策略、网络监控及对特定权限组合的异常检测。

文章记录了一次针对电商企业小程序的授权渗透测试。作者通过反编译小程序源码，发现云函数鉴权存在严重漏洞：管理员的openid被硬编码在前端代码中，且云函数直接信任前端传参的openid，未进行二次校验。利用此漏洞，攻击者可伪造管理员身份调用所有云函数，导致全量用户数据（手机号、地址、订单等）泄露。文章还提供了挖掘小程序云函数漏洞的实用技巧，如关键词搜索、硬编码openid利用、云函数命名规律猜测等。核心结论是云函数鉴权必须使用微信内部可信的wxContext.OPENID，而非前端传入参数。

Qualys披露Ubuntu高危提权漏洞CVE-2026-8933与CVE-2026-3888。两者源于Snap沙箱组件snap-confine的竞争与时序缺陷。攻击者借临时文件窗口挂载FUSE并篡改udev规则，或利用组件交互时序缺陷获取root权限。建议尽快安装snapd更新修复。

Qualys于2026年7月22日披露了Linux内核XFS文件系统提权漏洞CVE-2026-64600，影响超1640万台系统。该漏洞源于XFS写时复制路径中的竞态条件，攻击者可通过reflink克隆文件并利用directI/O写入竞争绕过检查，直接修改原始文件数据块，获得root权限。常规防护如SELinux无法拦截。受影响版本为4.11及以上内核且启用reflink的XFS系统。建议立即更新内核并重启，无可靠临时缓解措施。

近期网安事件：勒索软件攻击可口可乐子公司；韩国外交系统被黑泄露万人信息；Suno五千万用户数据外泄；德美捣毁Kratos钓鱼平台；FakeGit借GitHub库传播恶意软件；NuGet伪装库窃取博彩数据；ServiceNow高危漏洞在野利用。建议加强供应链安全与漏洞修补。

攻击者利用AI生成的PowerShell脚本枚举AD域账户并外泄数据，标志着Vibe编码恶意软件的兴起。该脚本虽能绕过传统静态签名检测，但保留了冗余逻辑等明显AI特征。研究表明AI无法掩盖底层系统调用，安全团队应摒弃静态签名，转向基于行为遥测的分析以应对此类定制化威胁。

折扣连锁超市Lidl确认其第三方IT服务商遭网络攻击，导致荷兰、比利时和德国部分在线商城顾客数据泄露，包括姓名、电话、邮箱、出生日期和客户编号。Lidl已发出安全警告，提醒用户防范定向钓鱼攻击，并上报数据保护机构，引入取证调查。用户应警惕可疑邮件，不点击不明链接。

苹果起诉OpenAI窃取商业机密，核心为前员工利用罕见身份验证零日漏洞绕过机制，非法下载数十份未发布硬件机密文件。该员工不仅未按协议上报漏洞，还挪用他人权限进行操作。苹果已修复漏洞并要求陪审团审判，此案凸显了企业离职权限管控与内部威胁防范的严峻挑战。

新公开的wp2shell漏洞利用两个WordPress核心漏洞CVE-2026-63030和CVE-2026-60137，可链式实现未授权远程代码执行，影响6.9.x和7.0.x版本。WordPress已发布7.0.2和6.9.5修复版本并启用强制自动更新。建议站点所有者立即更新，或临时配置WAF规则阻止对RESTAPI批处理端点的匿名访问。

CNVD漏洞周报2026年第27期显示，本周共收集整理428个信息安全漏洞，其中高危漏洞237个，中危145个，低危46个。漏洞主要集中在WEB应用（236个）、网络设备（77个）和应用程序（76个）。本周重要漏洞包括MicrosoftASP.NETCore资源管理错误漏洞、GoogleChrome资源管理错误漏洞等，攻击者可利用这些漏洞导致系统拒绝服务或执行任意代码。建议相关用户及时下载补丁更新，以避免安全事件的发生。

CVE-2026-42533是NGINX脚本引擎中一个存在15年的堆缓冲区溢出漏洞，允许远程未认证攻击者通过特制HTTP请求导致工作进程崩溃或可能实现远程代码执行。该漏洞影响nginx0.9.6至1.31.2版本，仅在使用特定正则表达式map配置时触发。F5已发布修复版本1.30.4和1.31.3，建议用户立即升级。临时缓解措施为将编号捕获替换为命名捕获，但并非完全有效。

ClaudeMythos是Anthropic开发的先进AI模型，专为网络安全优化，能自动化发现大量高危漏洞，包括存在27年的缺陷。其访问通过ProjectGlasswing受限开放，并引发出口管制。专家指出其能力被夸大，误报是问题，且更快发现漏洞不能解决所有安全问题。组织需转向持续漏洞运营和优先修复已利用漏洞的Mythos就绪方法。

WordPressCore存在严重预认证远程代码执行漏洞wp2shell，影响超5亿站点。漏洞源于RESTAPI批处理路由混淆导致SQL注入和RCE，无需认证即可利用。官方已发布补丁并通过自动更新强制推送，建议管理员立即更新或采取临时缓解措施如屏蔽相关端点。

安永律师事务所(EY)在2026年春季遭遇数据泄露，未经授权第三方通过其IT支持工单平台在3月28日至4月12日期间下载了包含客户税务数据的文件，4月23日发现异常。泄露文件含个人信息和财务信息，目前无证据表明数据被滥用。该事件与安永此前其他安全漏洞无关，但凸显了第三方IT服务平台的安全风险。

该文章披露了某知名路由器固件在Web管理服务器login()函数中存在隐藏后门，攻击者利用配置项sys.rzadmin.password中的隐藏密码，可在username字段填写任意字符串的情况下获取管理员权限。受影响固件包括多个型号版本，后门在管理界面不可见且无法通过修改密码消除。文章提供了关闭远程管理、修改默认IP等缓解措施，并给出了固件资产自动化核查的检测脚本。

本文介绍一款基于fscan改造的多级免杀工具netdiag，通过7层对抗措施（字符串清洗、身份重命名、编译器混淆、链接器剥离、代码签名、运行时编码、反沙箱）绕过WindowsDefender和火绒，保留全部功能。文章详细说明技术方案并展示验证结果，最终引导读者加入付费圈子获取工具，属于软文广告。

本文揭露摩洛哥情报机构在2019年加蓬政权危机期间利用飞马间谍软件监控加蓬前总统核心圈与反对派的内幕。尽管两国存在密切的情报培训与庇护关系，摩洛哥仍将加蓬政要列为目标以掌握权力斗争动态。该事件暴露了地缘政治中盟友间脆弱的信任及商业间谍软件在政治渗透中的滥用风险。

法国曾考虑以6000万至8000万欧元购买NSO集团的飞马间谍软件，但2020年底因声誉风险和国家主权被总统否决。同期摩洛哥利用该软件监听了七位法国部长的手机，包括前总理勒科尔尼。感染痕迹指向摩洛哥，法国情报机构确认其间谍活动损害法国利益。建议加强网络安全监管，警惕间谍软件滥用。

一份由摩洛哥国家安全局（DGST）前特工提供的证词，结合内部机密文件与技术分析，揭示了该国长期使用包括`飞马`间谍软件在内的大规模监控手段，以打压记者、社会批评者及外国政要。调查发现，国安局不仅通过预装恶意软件的手机、渗透网吧等方式进行监视，还利用`飞马`软件的`零点击`攻击能力，对包括多国元首在内的近1.3万个目标实施了入侵。这些行为加剧了对受害者的司法打压，并引发了跨国网络袭击指控，尽管摩洛哥方面一直对此予以否认。

调查揭露摩洛哥通过阿联酋中介FSSYS获取以色列NSO公司的飞马间谍软件，2017年在拉巴特别墅演示，代号摩根，用于监控记者和批评者。三方合作涉及最高权力层，摩洛哥否认但证据确凿，NSO与以色列政府关系密切，交易通过阿联酋政府控股的EDGE集团完成。

本文揭露摩洛哥情报机构利用飞马间谍软件及IMSI捕捉器等技术，对为其提供网络监控与移动设备间谍战术培训的西班牙国民警卫队实施反向监听。因西班牙特工未采取设备隔离等防范措施，摩洛哥成功读取其加密通讯，并将监控扩大至西班牙首相等核心内阁，以此获取地缘博弈筹码。该事件警示，跨国情报合作必须严格落实通信设备物理隔离等安全规范，输出敏感战术前须充分评估合作方无授权监听的体制风险，避免技术反噬。

本文解析智能体Wiki的编译式架构及四家团队的实现。该方法在摄取时一次性编译知识以避免RAG重复检索，但存在百个来源的规模瓶颈与准确性风险。核心要点是须区分文档知识与用户记忆，Wiki无法记录用户偏好。建议小文档集用Wiki，规模扩大后加检索，并用专门记忆层处理个性化数据。