ZONE.CI 全球网

CNVD发布上周关注度较高的产品安全漏洞周报，涵盖境外厂商如WordPress插件、ZoomRooms、GoogleChrome等产品的文件包含、任意文件删除、跨站脚本、权限提升及释放后重用等漏洞，以及境内厂商如映云科技Neuron、华为HarmonyOS和EMUI、Tenda路由器等产品的未授权访问、权限控制、缓冲区溢出及空指针解引用漏洞，建议相关用户关注官方公告并及时修复。

本文深入探讨内核级攻击技术，指出用户态免杀无法绕过EDR的内核信号源，如进程回调与ETW-TI。主流进入内核途径为BYOVD，利用已签名漏洞驱动获取内核读写原语，进而关闭EDR回调、操作内核数据结构。文章详述了漏洞驱动实例、原语构建、PatchGuard规避及完整免杀链，强调内核攻击的高收益与高风险，为红队实战提供深度技术参考。

长亭安全应急响应中心披露JimuReport存在未授权远程代码执行漏洞，影响JimuReport2.5.0及以下版本与JeecgBoot3.9.3及以下版本。攻击者无需认证即可利用自动导出功能注入恶意表达式执行任意系统命令，可能导致服务器控制与数据泄露。官方已发布修复版本，建议用户立即升级至JimuReport2.5.1或JeecgBoot3.9.5，并可在网关或WAF层对相关接口增加强制认证作为临时缓解措施。

本文系统梳理美国网络安全行业二十年整合历程，从数百家单点公司收敛为11家平台厂商，历经创业繁荣、平台萌芽与并购加速三阶段，总结激进收购、内生增长、自主研发、云厂商与私募股权五种整合模式，并指出客户需求、平台协同与规模效应是整合底层逻辑，最后提出中国网安行业将走向集中，平台型企业将成为头部，创业企业退出路径将更多元。

俄罗斯黑客利用CursorAI智能体攻击多家企业，加速AI辅助网络攻击普及。同时汇总了Carhartt数据泄露、WordPress劫持、AsyncRAT传播、机场勒索软件、Evilginx钓鱼、DarkCaracal恶意软件及ClaudeCode提示注入等安全事件，凸显AI与网络攻击结合的新趋势。

本文系统梳理登录入口的渗透测试思路，涵盖弱口令爆破、验证码绕过与轰炸、短信轰炸、XSS、SQL注入、RCE、SSRF、URL跳转、越权访问及支付漏洞等测试方法，提供具体payload与抓包重放技巧，并强调需在授权环境下测试，适用于SRC漏洞挖掘与攻防演练参考。

本文分析JFrogArtifactory路径穿越漏洞CVE-2026-66384，该漏洞已被CISA列入已知被利用目录，已认证用户可在特定远程仓库条件下越界写入Docker缓存路径。文章指出制品库因连接构建、镜像与发布链路而成为供应链风险点，建议升级修复后在隔离实例验证，核查远程仓库、存储挂载与凭据配置，实施最小权限、短期Token及独立管理网段等治理措施。

彼德研究院20260831大模型能力监测样刊称：开源第一梯队完成权重兑现，KimiK3、Qwen3.8Max、GLM-5.3、腾讯Hy4四强并立，GLM-5.3许可非MIT且Hy4独立分待互证；闭源由ClaudeOpus5以AA指数63领跑，OpenAI守编码Agent，xAI守性价比；建议8月31日前迁移Codex默认模型，企业通用场景优选Opus5，未证实传闻不写入能力结论。

cPanel高危漏洞CVE-2026-65643允许低权限普通用户通过API1Park接口的arg-4参数注入phpfpm\\_domain，利用内部路径穿越实现以root身份创建任意文件，最终可提权至root并接管宿主机，影响共享主机租户隔离。官方已发布修复版本，建议及时升级至11.138.0.2及以上版本，并限制普通用户的域名停放权限。

JeecgBoot积木报表组件auto/export接口存在未授权远程代码执行漏洞，由微步XGPT发现并报送官方。攻击者可远程执行任意命令完全控制系统，影响JeecgBootversion<=3.9.3及积木报表version<=2.5.0。官方已在v2.5.1修复，建议受影响用户尽快升级，并可通过防护设备拦截恶意请求特征作为临时缓解措施。

TOTOLINKA720R路由器MAC过滤功能存在CVE-2026-82539栈溢出漏洞，CVSS9.1严重级别。根因是strcpy无边界拷贝且未开启canary和PIE，可稳定劫持控制流远程开启Telnet。PoC已公开，官方补丁未发布，建议关闭WAN侧管理口并关注固件更新。

本文评测商用自动化渗透机器人ridgebot，其以ML模拟攻击者并持续学习，可多agent覆盖云与IoT，定位企业级规模化自动化。实测显示其对已知漏洞模式如SQLi效率高，测试时间降约70%，但对越权、逻辑类漏洞及社会工程学几乎无能为力，且商用setup成本高。作者建议大中企业将其作为常态化扫描已知面的放大器，真正高价值漏洞仍需红队人工钻点。

Composer曝出路径遍历漏洞CVE-2026-59944，恶意或被入侵的PHP包可借路径遍历或符号链接修改包目录外文件权限，在共享主机、多租户及CI环境导致敏感文件泄露并绕过旧防护。受影响1.0至2.10.2版本，已在2.10.3与2.2.30修复，建议尽快升级并避免复用不可信vendor目录。漏洞无RCE，涉及CWE-22、59、732。

CISA已将CVE-2019-1068（微软SQLServer远程代码执行漏洞）加入KEV目录，因其正被实际利用。该漏洞允许攻击者以服务账户权限执行代码，可能导致数据窃取、持久化与横向移动。CISA要求受影响机构于2026年8月29日前完成修复，并建议梳理SQLServer实例、安装更新、核查日志、检查异常账户并缩减暴露面。

该方案以网络安全法、数据安全法、个人信息保护法为合规基准，依托ISO/IEC27001框架构建企业信息安全管理体系，规划12个月分四阶段实施。方案涵盖组织架构搭建、资产梳理与风险管控、制度体系建设、人员培训、应急管理及审计合规六大任务，设定加密覆盖率100%、漏洞72小时修复率100%等量化指标，并配套预算保障与考核机制，具备较强可操作性。

JeecgBoot积木报表组件autoexport接口存在远程代码执行高危漏洞，影响积木报表<=2.5.0及JeecgBoot<=3.9.3，攻击者可利用恶意代码特征请求实施攻击。建议升级至JimuReportv2.5.1，并在防护设备添加拦截规则、收敛匿名放行配置以缓解风险。

本文为宁波市第九届网络安全大赛初赛WriteUp，覆盖Web、Pwn、Misc、Crypto、Reverse五大方向共11道题。核心考点包括bcrypt72字节截断SQL注入、Shiro正则绕过、HouseofApple2堆利用、VM逃逸、USB流量分析、Acropalypse漏洞、Franklin-Reiter攻击及Unity逆向等，每题附详细利用链与踩坑提示，对CTF学习具有较高参考价值。

奇安信CERT通告JeecgBoot积木报表autoexport接口存在未授权远程代码执行漏洞QVD-2026-56805，CVSS评分9.8高危，影响万级资产。漏洞源于参数值以等号开头时被表达式引擎按Excel公式解析，底层具备Groovy脚本能力且未过滤，攻击者可远程执行任意命令。建议升级JimuReport至2.5.1，并配置防护规则拦截恶意请求及收敛匿名放行。

文章指出AI与Agent将接管安全执行工作，传统按域划分的组织架构将失效，未来安全组织将收敛为三类核心角色：负责构建Agent能力的安全架构与工程、负责业务风险决策的BISO、以及负责体系对抗验证的AI红队。建议企业从人力调度转向四层责任系统，明确人机边界，重构岗位与考核体系。

Next.js存在CVE-2026-75604严重漏洞，CVSS评分9.9，影响Windows平台特定版本，可未授权远程命令执行。根因是缓存路径穿越未处理反斜杠，攻击者可读取ServerAction加密密钥并伪造请求执行任意命令。建议升级至15.5.24或16.3.3及以上版本，或停用增量静态缓存。

sd-webui-prompt-all-in-one扩展存在无需认证的路径穿越漏洞，可读取服务器任意文件，CVSS评分9.1。漏洞源于get\\_csv接口未过滤路径参数，作者已停止维护且无补丁。建议卸载扩展或通过反向代理拦截漏洞路径，并加强SDWebUI访问认证。

本文系统介绍了利用GitHub搜索语法挖掘企业敏感信息泄露的方法论，包括组合关键词、文件类型过滤、路径过滤及组织级搜索等基础语法，并推荐Gitleaks、TruffleHog、GitHound等自动化监控工具链。通过三个实战案例展示了从公开仓库中发现数据库密码、云服务密钥及内部APIToken的过程，分析了泄露泛滥原因，并为企业提供了强制私有仓库、CI/CD集成扫描、定期巡检等防御建议。

TendaHG10路由器存在CVE-2026-82542严重漏洞，CVSS评分10.0，无需认证即可远程代码执行，PoC已公开且暂无官方补丁。漏洞位于BoaWebServer的formIPv6Routing函数，可导致栈缓冲区溢出并获得Root权限。建议立即限制管理接口访问、禁用远程管理并监控攻击迹象，高风险环境考虑更换设备。

深圳智博通电子多款路由器固件被曝存在两套出厂后门speakingstone与darklantern，均可在无认证情况下远程获取root权限。darklantern监听UDP9992端口，公网扫描发现203台暴露设备；speakingstone主动外联C2并支持执行命令、窃取宽带凭证等。建议用户检查MAC前缀、更换设备，企业应监控相关流量并验证固件来源。

作者逆向分析头条创作后台12个接口，用curl\\_cffi伪装Chrome指纹绕过argus风控，发现接口层零签名全为GET请求。通过逆向JS定位参数，实测6篇图文全量入库，趋势数据有8个月窗口限制。文章强调参数应以抓包为准，并提供了完整的技术方案与降级策略。