ZONE.CI 全球网

CNVD周报显示本周共收录826个漏洞，其中高危469个，0day占比91%，涉及D-Link、OnlineCourse等漏洞。重点告警包括GoogleChrome、Zoom及华为产品存在高危漏洞，建议用户及时更新补丁。

CNVD发布上周关注度较高的产品安全漏洞周报，涵盖境外厂商如WordPress插件、ZoomRooms、GoogleChrome等产品的文件包含、任意文件删除、跨站脚本、权限提升及释放后重用等漏洞，以及境内厂商如映云科技Neuron、华为HarmonyOS和EMUI、Tenda路由器等产品的未授权访问、权限控制、缓冲区溢出及空指针解引用漏洞，建议相关用户关注官方公告并及时修复。

本文深入探讨内核级攻击技术，指出用户态免杀无法绕过EDR的内核信号源，如进程回调与ETW-TI。主流进入内核途径为BYOVD，利用已签名漏洞驱动获取内核读写原语，进而关闭EDR回调、操作内核数据结构。文章详述了漏洞驱动实例、原语构建、PatchGuard规避及完整免杀链，强调内核攻击的高收益与高风险，为红队实战提供深度技术参考。

本文系统阐述电信行业数据泄露应急响应全流程，涵盖事件定级、定量分析、报告时限、应急预案、六阶段处置、取证溯源及事后总结等核心环节，提供可落地的操作规范与量化指标，强调合规上报与闭环优化，为运营商数据安全事件处置提供实战参考。

本文系统梳理美国网络安全行业二十年整合历程，从数百家单点公司收敛为11家平台厂商，历经创业繁荣、平台萌芽与并购加速三阶段，总结激进收购、内生增长、自主研发、云厂商与私募股权五种整合模式，并指出客户需求、平台协同与规模效应是整合底层逻辑，最后提出中国网安行业将走向集中，平台型企业将成为头部，创业企业退出路径将更多元。

俄罗斯黑客利用CursorAI智能体攻击多家企业，加速AI辅助网络攻击普及。同时汇总了Carhartt数据泄露、WordPress劫持、AsyncRAT传播、机场勒索软件、Evilginx钓鱼、DarkCaracal恶意软件及ClaudeCode提示注入等安全事件，凸显AI与网络攻击结合的新趋势。

彼德研究院20260831大模型能力监测样刊称：开源第一梯队完成权重兑现，KimiK3、Qwen3.8Max、GLM-5.3、腾讯Hy4四强并立，GLM-5.3许可非MIT且Hy4独立分待互证；闭源由ClaudeOpus5以AA指数63领跑，OpenAI守编码Agent，xAI守性价比；建议8月31日前迁移Codex默认模型，企业通用场景优选Opus5，未证实传闻不写入能力结论。

本文分析JFrogArtifactory路径穿越漏洞CVE-2026-66384，该漏洞已被CISA列入已知被利用目录，已认证用户可在特定远程仓库条件下越界写入Docker缓存路径。文章指出制品库因连接构建、镜像与发布链路而成为供应链风险点，建议升级修复后在隔离实例验证，核查远程仓库、存储挂载与凭据配置，实施最小权限、短期Token及独立管理网段等治理措施。

本文系统梳理登录入口的渗透测试思路，涵盖弱口令爆破、验证码绕过与轰炸、短信轰炸、XSS、SQL注入、RCE、SSRF、URL跳转、越权访问及支付漏洞等测试方法，提供具体payload与抓包重放技巧，并强调需在授权环境下测试，适用于SRC漏洞挖掘与攻防演练参考。

JeecgBoot积木报表组件auto/export接口存在未授权远程代码执行漏洞，由微步XGPT发现并报送官方。攻击者可远程执行任意命令完全控制系统，影响JeecgBootversion<=3.9.3及积木报表version<=2.5.0。官方已在v2.5.1修复，建议受影响用户尽快升级，并可通过防护设备拦截恶意请求特征作为临时缓解措施。

TOTOLINKA720R路由器MAC过滤功能存在CVE-2026-82539栈溢出漏洞，CVSS9.1严重级别。根因是strcpy无边界拷贝且未开启canary和PIE，可稳定劫持控制流远程开启Telnet。PoC已公开，官方补丁未发布，建议关闭WAN侧管理口并关注固件更新。

CISA已将CVE-2019-1068（微软SQLServer远程代码执行漏洞）加入KEV目录，因其正被实际利用。该漏洞允许攻击者以服务账户权限执行代码，可能导致数据窃取、持久化与横向移动。CISA要求受影响机构于2026年8月29日前完成修复，并建议梳理SQLServer实例、安装更新、核查日志、检查异常账户并缩减暴露面。

Composer曝出路径遍历漏洞CVE-2026-59944，恶意或被入侵的PHP包可借路径遍历或符号链接修改包目录外文件权限，在共享主机、多租户及CI环境导致敏感文件泄露并绕过旧防护。受影响1.0至2.10.2版本，已在2.10.3与2.2.30修复，建议尽快升级并避免复用不可信vendor目录。漏洞无RCE，涉及CWE-22、59、732。

该方案以网络安全法、数据安全法、个人信息保护法为合规基准，依托ISO/IEC27001框架构建企业信息安全管理体系，规划12个月分四阶段实施。方案涵盖组织架构搭建、资产梳理与风险管控、制度体系建设、人员培训、应急管理及审计合规六大任务，设定加密覆盖率100%、漏洞72小时修复率100%等量化指标，并配套预算保障与考核机制，具备较强可操作性。

本文为宁波市第九届网络安全大赛初赛WriteUp，覆盖Web、Pwn、Misc、Crypto、Reverse五大方向共11道题。核心考点包括bcrypt72字节截断SQL注入、Shiro正则绕过、HouseofApple2堆利用、VM逃逸、USB流量分析、Acropalypse漏洞、Franklin-Reiter攻击及Unity逆向等，每题附详细利用链与踩坑提示，对CTF学习具有较高参考价值。

JeecgBoot积木报表组件autoexport接口存在远程代码执行高危漏洞，影响积木报表<=2.5.0及JeecgBoot<=3.9.3，攻击者可利用恶意代码特征请求实施攻击。建议升级至JimuReportv2.5.1，并在防护设备添加拦截规则、收敛匿名放行配置以缓解风险。

奇安信CERT通告JeecgBoot积木报表autoexport接口存在未授权远程代码执行漏洞QVD-2026-56805，CVSS评分9.8高危，影响万级资产。漏洞源于参数值以等号开头时被表达式引擎按Excel公式解析，底层具备Groovy脚本能力且未过滤，攻击者可远程执行任意命令。建议升级JimuReport至2.5.1，并配置防护规则拦截恶意请求及收敛匿名放行。

Next.js存在CVE-2026-75604严重漏洞，CVSS评分9.9，影响Windows平台特定版本，可未授权远程命令执行。根因是缓存路径穿越未处理反斜杠，攻击者可读取ServerAction加密密钥并伪造请求执行任意命令。建议升级至15.5.24或16.3.3及以上版本，或停用增量静态缓存。

sd-webui-prompt-all-in-one扩展存在无需认证的路径穿越漏洞，可读取服务器任意文件，CVSS评分9.1。漏洞源于get\\_csv接口未过滤路径参数，作者已停止维护且无补丁。建议卸载扩展或通过反向代理拦截漏洞路径，并加强SDWebUI访问认证。

TendaHG10路由器存在CVE-2026-82542严重漏洞，CVSS评分10.0，无需认证即可远程代码执行，PoC已公开且暂无官方补丁。漏洞位于BoaWebServer的formIPv6Routing函数，可导致栈缓冲区溢出并获得Root权限。建议立即限制管理接口访问、禁用远程管理并监控攻击迹象，高风险环境考虑更换设备。

深圳智博通电子多款路由器固件被曝存在两套出厂后门speakingstone与darklantern，均可在无认证情况下远程获取root权限。darklantern监听UDP9992端口，公网扫描发现203台暴露设备；speakingstone主动外联C2并支持执行命令、窃取宽带凭证等。建议用户检查MAC前缀、更换设备，企业应监控相关流量并验证固件来源。

作者逆向分析头条创作后台12个接口，用curl\\_cffi伪装Chrome指纹绕过argus风控，发现接口层零签名全为GET请求。通过逆向JS定位参数，实测6篇图文全量入库，趋势数据有8个月窗口限制。文章强调参数应以抓包为准，并提供了完整的技术方案与降级策略。

本文为暗网动态汇总：墨西哥科利马州检察长办公室12847份公职人员财产申报PDF泄露，含身份与资产隐私；保加利亚保险公司4.47万名老年客户约220万条信息外泄；乌克兰放射源采购合同文件流出。另报道曼彻斯特机场集团旅客数据被窃及PaperCutNG/MF漏洞遭零日利用，建议相关机构及时修补漏洞并强化数据防护。

本文通过作者亲身经历，揭示国密标准GM/T0018中SDF\\_Encrypt函数不做数据填充的特性。该函数是纯分组运算引擎，要求明文长度必须为16字节整数倍，填充责任在调用者。作者详细演示了PKCS#7填充实现方法，强调填充值等于补位个数，即使数据长度恰好为16的整数倍也需补一整块16字节，解密后需按约定去除填充。文章提醒开发者勿默认其行为与OpenSSL等库一致，具有很强实践指导价值。

调查揭露德国AfD政客AndreasMaul通过塞尔维亚空壳公司SmartDigitalIdeas，协助被制裁的俄罗斯防弹主机商AezaGroup规避制裁转移IP资源，底层IP来自伊朗科技部控制机构，形成横跨多国的隐蔽利益链。报道展示了防弹主机行业通过多层空壳公司、跨国IP转移规避追踪的典型手法，凸显了开源情报在追踪网络犯罪基础设施中的价值。