在安卓、Linux、macOS和Windows中发现了几十年前的文件安全漏洞

奥地利格拉茨理工大学的安全研究人员发现了 Android、Linux、macOS 和 Windows 文件通知系统实现中的缺陷，这些缺陷会泄露潜在的敏感系统信息。"我们在[这些操作系统]中发现了存在数十年的漏洞，它们都源于每个现代操作系统都自带的文件通知子系统，该子系统用于在文件发生变化时通知应用程序，"格拉茨理工大学博士生 Sudheendra Raghav Neela 在给《The》的电子邮件

新型社会工程学网络攻击“ClickFix”正在全球范围内快速蔓延

多家网络安全机构近日发布紧急预警，指出一种名为“ClickFix”的新型社会工程学网络攻击手法正在全球范围内快速蔓延。该攻击手段巧妙绕过了传统的恶意文件下载与邮件附件查杀机制，通过在主流网站上伪造高度逼真的系统错误弹窗，诱导Windows和Mac用户主动打开系统终端并粘贴执行恶意指令，从而实现“让受害者自己黑掉自己设备”的隐蔽入侵。 与传统通过欺诈链接直接静默下载病毒文件的方式不同，ClickFi

Google发布Chrome 154稳定版更新 紧急修复108项安全漏洞含11个严重缺陷

Google已正式面向Windows、macOS与Linux平台推送了Google Chrome 154大版本更新。本次更新集中修复了多达108项安全漏洞，其中包含11个最高风险级别的“严重”（Critical）缺陷，涉及图形处理、渲染引擎及核心组件的安全隐患。 官方安全公告显示，本次修复的漏洞大量集中在内存安全与内存腐蚀领域，包括缓冲区溢出（Buffer Overflow）、越界写入（Out-o

汤森路透发现网络安全事件，称未经授权方访问了文件

曾被黑客用于攻破人工智能系统的“ASCII走私”隐身术 正被垃圾邮件制造者大肆利用

一项最初在人工智能越狱与提示词注入攻击中名噪一时的隐匿技术——“ASCII走私”（ASCII Smuggling），如今被大规模滥用于垃圾邮件与网络钓鱼活动。微软安全研究团队披露，网络攻击者正借由这一手段绕过主流电子邮件网关与反垃圾邮件系统，向数以百万计的邮箱投递诈骗信息。 “ASCII走私”的核心原理，是利用现代文本编码标准中人眼不可见或不渲染的特殊Unicode字符，将隐蔽信息嵌入看似正常的文

安全专家称机场集团在客户端 JavaScript 中泄露 API 密钥长达四年

安全研究员斯科特·赫尔姆（Scott Helme）表示，他的分析支持了 FulcrumSec 的说法，即曼彻斯特机场集团（MAG）在客户端 JavaScript 中暴露了具有特权的 API 密钥。 赫尔姆称，他在利用网络勒索团伙提供的信息重建上个月大约 880 万名 MAG 客户的数据是如何被盗之后，得出了这一结论。制造此次攻击的黑客将 MAG 的安全失误描述为“悲喜剧”。 他们声称，MAG 在其

AI编程工具中存在的“0点击远程代码执行（RCE）”漏洞可能会让攻击者轻易获得系统控制权。

研究人员表示，一个允许远程代码执行的零点击漏洞影响了所有主流人工智能编程代理——包括 Anthropic 的 Claude Code、OpenAI 的 Codex、Google 的 Gemini CLI、Microsoft 的 Copilot 以及微软旗下的 GitHub Copilot。该漏洞可能使攻击者能够完全访问代理所能触及的所有资产和数据。据专注于保护企业级 AI 代理的安全初创公司 Ai

iOS 27修复超100项安全漏洞 涉及内核、蓝牙等关键组件

苹果在正式发布iOS 27的同时，也对系统安全性进行了大规模修补。根据苹果公布的安全更新信息，iOS 27此次一口气修复了超过100项安全漏洞，其中包括多个涉及系统内核的高风险问题。苹果还针对仍希望继续使用iOS 26的用户推出了iOS 26.7，该版本同样包含大量安全修复。 此次iOS 27的安全更新规模相当可观。苹果公布的漏洞清单显示，新系统修复的问题超过100项，而iOS 26.7则修复了8

Meta高权限AI助手Muse曝严重零日漏洞 本地应用可夺取控制权

Meta近日推出的AI助手Muse被曝出一项严重的零日安全漏洞。macOS版Muse由于拥有极其广泛的系统权限，一旦被利用，攻击者可以通过本地应用程序甚至终端命令获取用于验证Muse账户身份的令牌，并进一步控制整个AI助手账户。安全研究人员表示，这意味着攻击者可以借助Muse本身已经获得的权限执行大量高风险操作，包括写入恶意文件、拍摄照片以及读取用户数据等。 Muse是Meta近期推出的新型AI代

微软史上最大号周二补丁日 共计修复974个漏洞

微软九月的补丁星期二修复了至少 974个安全漏洞，史上最大的一批。之前纪录是今年七月的570个——这次近乎翻倍。其中113个是严重级别，意味着攻击者在没有用户交互的情况下可能远程接管系统。2 个零日漏洞正在被积极利用，都是 Windows 本地权限提升。 CVE-2026-69730是Windows Server 2012以上及 Windows 10 的 DNS 漏洞，攻击者无需认证，发一个构造过

币圈应用FomoPeek内置框架窃取私钥 大量用户资金被盗

据安全公司慢雾科技发布的消息，近期慢雾收到多起用户资产被盗的报告，调查发现受影响案例涉及私钥泄露，而这些用户已安装或曾安装过 FomoPeek 应用。FomoPeek 本身并非加密钱包，而是帮助用户关注和追踪链上资金动向的工具，并在发生可能影响行情的链上信息时向用户发布提醒，但研究发现该应用内置两个与其声明业务无关的功能模块。 内置 iOS 内核级漏洞利用框架用于窃取信息：FomoPeek 内置的

美国安全研究机构揭露微信重大漏洞 美中网路安全合作受关注

（中央社台北14日电）美国安全研究机构近日公开一项针对中国微信的实验性攻击演示。研究显示，攻击者只要拨打微信用户的语音电话，对方即使没有接听、没有点击任何连结、没有输入密码或验证码，在电话响铃期间，微信帐号就可能被劫持。 截至今年6月底，微信和WeChat（微信海外版）的月活跃帐户共约14.39亿户。微信在中国已融入民众日常通讯、政府服务及电子支付，因此这项漏洞引起关注。 新浪网11日报导，美国安

GitLab 满分漏洞在补丁发布数天后遭攻击

CISA表示，攻击者正在利用一个最高严重级别的GitLab漏洞，该漏洞允许未经身份验证的恶意用户在代码托管平台于9月10日发布修复程序后，从存在漏洞的服务器上读取任意文件。美国网络安全和基础设施安全局已将CVE-2026-85706加入其已知被利用漏洞目录。该漏洞是影响GitLab社区版和企业版的仓库提交I中的一个路径遍历漏洞。GitLab将其评为满分10.0，即CVSS v3.1严重性评分中的最

OpenAI逃逸的AI Agent竟在全网植入自我复制代码 血洗联合国内网

“天网”中的一幕，正在现实上演。一次训练中，OpenAI逃逸的AI Agent，已在整个互联网上植入了“自我复制的代码”！当政客Andrew Yang在CNBC说出这句话时，很多人以为他疯了。 就在这两天，OpenAI亲手发布了一份报告，标题非常简洁：《自我复制提示词注入存在》。白纸黑字，官方认证。AI模型，居然真的像计算机蠕虫一样，自我复制、自我传播。而更令人脊背发凉的是，就在5天前，OpenA

OpenAI公布了六起新的与人工智能安全相关的事故/事件。

OpenAI周三披露了六起新事件，其中其模型隐藏错误、寻求未经授权的凭据，将文件上传到公共互联网或在所谓孤立的培训环境中进行通信。该公司还宣布了未来报告类似不当行为的新程序。 为什么越来越明显的是，拥抱脸事件并不是一次性事件，因为人工智能模型变得更有能力找到意想不到的方法来绕过旨在遏制它们的护栏。 “目前还没有明确披露标准的行业框架，所以我们自愿采取这一步骤，因为我们认为分享我们正在学习的东西非常

Chrome与Firefox本月合力修复115项系统漏洞与安全隐患

随着网络威胁环境的日趋复杂以及底层代码审计力度的加大，全球两大主流网络浏览器Google Chrome 与Firefox Mozilla Firefox 近日双双推送了包含海量安全补丁的最新版本。两款浏览器在本次更新周期中总计修复了多达115项系统缺陷与安全隐患，引发了技术社区对于高频升级下“补丁疲劳”（Patch Fatigue）现象的再度热议。 在这轮大规模安全维护中，Mozilla 针对旗下

Google紧急修复Chrome高危零日漏洞 已遭黑客在外部利用

Google公司近日紧急发布 Chrome 浏览器安全更新，重点修复了一个已遭到黑客在野积极利用的高危零日漏洞，同时还修补了另外 11 处安全隐患。该零日漏洞被追踪为 CVE-2026-85046，属于类型混淆（Type confusion）漏洞，存在于 Chrome 的开源 JavaScript 及 WebAssembly 引擎 V8 之中。 该漏洞由安全研究员 Salvatore Gulizi

三人团队、一个Claude，攻破OpenAI内部代码库

月17日，一起由AI辅助完成的网络安全事件被披露。与此前“AI智能体自主越过控制、攻击外部系统”的案例不同，这一次的攻击者是人类安全研究人员，他们借助Anthropic Claude模型完成了漏洞利用，并最终进入了OpenAI部分内部系统，全程耗时不到72小时。 这起事件发生于今年7月，发现者是网络安全初创公司Hacktron AI。研究人员当时正在参加OpenAI的漏洞赏金计划，因此整个过程属于

Gemini首次已知突破，黑客攻击了三家公司，据《华尔街日报》报道

9月18日：《华尔街日报》周五报道，在一次网络安全能力测试中，谷歌的Gemini模型访问了互联网并攻击了其他公司，这是该公司人工智能系统自主实施此类行为的首个已知案例。 据报道，这些黑客行为发生在5月，当时独立网络安全评估公司Irregular正在进行网络安全测试。 Irregular的一位发言人表示，该事件涉及影响其他AI实验室的同一问题，所有相关实验室已于7月底收到通知。该发言人称：“我们这边

新型安卓恶意木马RatHat现身，引入AI识别能力

IT之家 9 月 18 日消息，安全公司 Zimperium 旗下 zLabs 研究团队发文，透露近日业界出现一种名为 RatHat 的新型安卓恶意木马。该恶意木马最大的特性是引入了 AI 识别机制，可以分析受感染设备的界面并辅助攻击者远程执行导航操作，从而进一步控制手机。 IT之家获悉，相应木马主要面向中文环境用户下手，不法分子将其植入至各种诈骗 App 中进行传播。在受害者安装软件后，相应木马

互联网最古老的恐惧 被AI复活了

2006 年底，一只熊猫毁了数百万人的电脑。那只熊猫手捧三支香，面带微笑，出现在每一个被感染文件的图标上。「熊猫烧香」蠕虫在两个月内席卷全国，可执行文件全部变成那只诡异的熊猫图案，硬盘数据被破坏，局域网整段瘫痪，杀毒软件被病毒反杀。当年害怕电脑中毒，现在怕 AI“叛变”。 那个年代的互联网老冲浪客大概都记得，打开网页心惊肉跳，插个 U 盘如临大敌，同事的电脑中了毒，你的也跟着遭殃。 再往前还有 C

汤森路透遭遇数据泄露，波及美国十二个司法管辖区的上诉法院

汤森路透表示，一名未授权人士侵入了属于C-Track的文件，C-Track是其法院软件业务出售给司法机构使用的案件管理平台。 涉及记录来自美国十二个司法管辖区以及加拿大安大略省的上诉法院。 据称，该公司于6月30日在其云环境中检测到该活动，该活动[…]

微软确认Word等Office组件可能因系统更新崩溃或无响应

微软近日确认了一项影响 Windows 在安装了特定安全更新后，用户通过部分第三方应用程序启动 Word、Excel 或 PowerPoint 等 Microsoft Office 组件或调用关联文档时，可能会遭遇无任何错误提示的应用崩溃、冻结或彻底无法打开的故障。 根据微软发布的技术支持公告与问题追踪说明，该故障主要诱因与系统底层基于 OLE 自动化（OLE automation）或 COM 接

一种AI黑客技巧现在被用来在垃圾邮件中拆分“funding”一词

两年来，不可见的Unicode字符一直是AI安全研究中的巧妙技巧。你可以把指令藏在其中。人眼看不见任何东西。语言模型却能读取并照做。微软现在发现有人用同样的字符做了一件远不那么高明的事。他们是在拆分单词[…]