黑客在补丁发布后数小时内就利用了WordPress的一个严重漏洞

攻击者在WordPress修复一个关键漏洞后的数小时内就开始利用该漏洞。该漏洞编号为CVE-2026-87902，允许未经身份验证的攻击者在网站服务器上运行代码。该漏洞仅在特定条件下才会触发。 WordPress在9月22日发布的7.1.2版本中修复了该漏洞，并为4.7版本以来的所有旧分支提供了补丁。其安全公告将该漏洞评为“严重”级别，CVSS评分为9.2，并确认由Robert Ressl报告。据

Google紧急修复Chrome高危零日漏洞 已遭黑客在外部利用

Google公司近日紧急发布 Chrome 浏览器安全更新，重点修复了一个已遭到黑客在野积极利用的高危零日漏洞，同时还修补了另外 11 处安全隐患。该零日漏洞被追踪为 CVE-2026-85046，属于类型混淆（Type confusion）漏洞，存在于 Chrome 的开源 JavaScript 及 WebAssembly 引擎 V8 之中。 该漏洞由安全研究员 Salvatore Gulizi

Chrome与Firefox本月合力修复115项系统漏洞与安全隐患

随着网络威胁环境的日趋复杂以及底层代码审计力度的加大，全球两大主流网络浏览器Google Chrome 与Firefox Mozilla Firefox 近日双双推送了包含海量安全补丁的最新版本。两款浏览器在本次更新周期中总计修复了多达115项系统缺陷与安全隐患，引发了技术社区对于高频升级下“补丁疲劳”（Patch Fatigue）现象的再度热议。 在这轮大规模安全维护中，Mozilla 针对旗下

AI编程工具中存在的“0点击远程代码执行（RCE）”漏洞可能会让攻击者轻易获得系统控制权。

研究人员表示，一个允许远程代码执行的零点击漏洞影响了所有主流人工智能编程代理——包括 Anthropic 的 Claude Code、OpenAI 的 Codex、Google 的 Gemini CLI、Microsoft 的 Copilot 以及微软旗下的 GitHub Copilot。该漏洞可能使攻击者能够完全访问代理所能触及的所有资产和数据。据专注于保护企业级 AI 代理的安全初创公司 Ai

Google发布Chrome 154稳定版更新 紧急修复108项安全漏洞含11个严重缺陷

Google已正式面向Windows、macOS与Linux平台推送了Google Chrome 154大版本更新。本次更新集中修复了多达108项安全漏洞，其中包含11个最高风险级别的“严重”（Critical）缺陷，涉及图形处理、渲染引擎及核心组件的安全隐患。 官方安全公告显示，本次修复的漏洞大量集中在内存安全与内存腐蚀领域，包括缓冲区溢出（Buffer Overflow）、越界写入（Out-o

新型社会工程学网络攻击“ClickFix”正在全球范围内快速蔓延

多家网络安全机构近日发布紧急预警，指出一种名为“ClickFix”的新型社会工程学网络攻击手法正在全球范围内快速蔓延。该攻击手段巧妙绕过了传统的恶意文件下载与邮件附件查杀机制，通过在主流网站上伪造高度逼真的系统错误弹窗，诱导Windows和Mac用户主动打开系统终端并粘贴执行恶意指令，从而实现“让受害者自己黑掉自己设备”的隐蔽入侵。 与传统通过欺诈链接直接静默下载病毒文件的方式不同，ClickFi

微软史上最大号周二补丁日 共计修复974个漏洞

微软九月的补丁星期二修复了至少 974个安全漏洞，史上最大的一批。之前纪录是今年七月的570个——这次近乎翻倍。其中113个是严重级别，意味着攻击者在没有用户交互的情况下可能远程接管系统。2 个零日漏洞正在被积极利用，都是 Windows 本地权限提升。 CVE-2026-69730是Windows Server 2012以上及 Windows 10 的 DNS 漏洞，攻击者无需认证，发一个构造过

攻击者一直在利用 Zimbra 严重漏洞窃取电子邮件

黑客一直在利用 Zimbra Collaboration Suite 中的严重漏洞，试图获取易受攻击组织的电子邮件备份和身份验证凭据，微软已发出警告。 该漏洞编号为 CVE-2026-73570，可使攻击者在无需身份验证的情况下远程发出操作系统命令。Zimbra 维护方 Synacor 于 7 月 20 日发布了补丁，但在此之后三周多才披露该漏洞。专注于网络安全领域的 Shadowserver F

用魔法打败魔法，OpenAI被Claude“黑了”......

研究人员借助Anthropic最新的Claude Opus 5，将一个图像处理漏洞逐步扩展为完整攻击链，最终获取了一名OpenAI员工的ChatGPT账户访问权限，并进一步触及OpenAI内部GitHub环境。这意味着，AI正在让网络安全攻防骤然升温，高级漏洞利用的门槛和成本正被快速压低。 安全初创公司Hacktron AI的研究人员本周披露了上述行动。据《华尔街日报》近日报道，该团队获得了一名O

谷歌修复多个Chrome漏洞，包括一个正在被攻击利用的V8缺陷

谷歌于9月3日修复了12个Chrome漏洞，包括CVE-2026-85046，这是一个已被利用的V8类型混淆漏洞，也是今年第六个此类漏洞。 八天后，《网络弹性法案》将开始要求制造商在得知漏洞后24小时内报告被积极利用的漏洞。谷歌于9月3日修复了Chrome中的12个漏洞，[…]

GitLab 满分漏洞在补丁发布数天后遭攻击

CISA表示，攻击者正在利用一个最高严重级别的GitLab漏洞，该漏洞允许未经身份验证的恶意用户在代码托管平台于9月10日发布修复程序后，从存在漏洞的服务器上读取任意文件。美国网络安全和基础设施安全局已将CVE-2026-85706加入其已知被利用漏洞目录。该漏洞是影响GitLab社区版和企业版的仓库提交I中的一个路径遍历漏洞。 GitLab将其评为满分10.0，即CVSS v3.1严重性评分中的

一个简单的git技巧攻破了四个AI编程代理的安全锁

人工智能行业早已意识到攻击者可能通过恶意手段污染插件市场。为此，相关厂商采取了将每个插件绑定到其代码的“已审核版本”上的措施；然而，这种安全机制刚刚被攻破。 漏洞详情： Air Security 的研究人员于周四公布了一个名为 Plugin4Shell 的安全漏洞。该漏洞影响了四种最广泛使用的人工智能编程工具：Anthropic 的 Claude Code、OpenAI 的 Codex、GitHu

有人正在利用F5 BIG-IP APM中的一个关键0日RCE漏洞进行攻击

F5 修复了其 BIG-IP Access Policy Manager（访问策略管理器）中的一个严重零日漏洞，不明身份的不法分子正利用该漏洞远程执行恶意代码。BIG-IP APM 是一个集中式访问管理和安全代理，允许用户通过单一入口连接到企业网络、应用程序、API 和云服务。 该漏洞的编号为 CVE-2026-94127，是一个基于堆的缓冲区溢出漏洞，影响配置为 OAuth 授权服务器且在同一虚

汤森路透发现网络安全事件，称未经授权方访问了文件

微软紧急发布补丁解决Windows Defender虚假停用提示缺陷

微软近日针对其操作系统内置的安全防护软件 Windows Defender 推送了一项关键更新，成功修复了一个困扰广大用户多日的严重系统错误。此前，大量用户反映其系统频发假警报，不断弹出提示称“防病毒软件已被停用”或“防护功能已关闭”，导致用户陷入系统安全可能被隐蔽威胁攻破的恐慌之中。 根据用户反馈与技术论坛的讨论记录，这一漏洞主要影响运行最新 Windows 10 及 Windows 11 系统

黑客正在利用两个关键的Citrix NetScaler零日漏洞

攻击者正在利用 Citrix NetScaler ADC 和 NetScaler Gateway 中的两个关键安全漏洞。这些设备被企业用于为员工提供对内部网络的远程访问功能。Citrix 在周日发布的一份安全公告中确认了这些攻击事件，并提供了相应的修复补丁。值得注意的是，这两个漏洞在补丁发布之前就已经被攻击者利用过了。 Citrix 表示：“在未安装任何安全补丁的 NetScaler 系统中，已经

数千个被黑客攻击的网站诱骗您安装恶意软件

安全研究人员指出，数千个合法的小型企业网站遭到黑客入侵，沦为传播恶意软件的陷阱。 攻击者利用伪造的验证码页面和区块链技术，诱导用户通过“Windows 运行”功能执行恶意命令，从而感染电脑。 了解这些攻击的运作方式以及如何防范，能够有效避免您亲手将恶意软件安装到设备中。

用于攻击政府、银行和专业服务机构的Citrix零日攻击中使用的定制恶意软件

公众仍然不知道是谁在利用这个关键的 Citrix 漏洞（该漏洞在漏洞被公开前几周就被黑客利用了）。不过我们现在知道，这些未知的入侵者已经利用 CVE-2026-88772 入侵了北美和欧洲的政府机构、金融服务公司、教育机构以及法律和专业服务行业。所有人都认为，Citrix 公司在披露这些安全漏洞方面花费了过长的时间。 GrayNoise 表示他们在 9 月 24 日就发现了针对 Citrix Ne

“我面试完就被卷走了积蓄”——Z世代求职者成为诈骗目标

求职者需要提高警惕——因为骗徒正利用招聘网站上的职位空缺，诱骗求职者下载虚假的面试工具。 一名受害者在LinkedIn收到假的招聘面试邀请，他下载了看似普通的文件，结果发现内含恶意软件。 数小时内，黑客从他的加密货币帐户中，转走了他18,000英镑的积蓄，之后消失无踪。 “失去一大笔钱的感觉非常糟糕——这是我连最憎恨的人都不希望他经历的事情。” 专业招聘平台LinkedIn和Indeed警告，近几

三名研究人员利用Claude访问到了OpenAI的内部代码。OpenAI支付了6500美元，并在14小时内修补了漏洞。

Hacktron AI的三名研究人员利用Anthropic的Claude模型，在不到72小时内串联起两个漏洞，成功访问了OpenAI员工账户及一个内部代码库。他们进行了私下披露，OpenAI在约14小时内修复了单点登录漏洞，并向该团队支付了6500美元的奖金。这两个漏洞均非人工智能漏洞，而引用该事件的研究论文作者表示，他们已不再确信该行业正处于正轨之上。 Hacktron AI的安全研究人员利用A

ShinyHunters声称劫持了Cl0p的暗网泄露网站

9月18日星期五的晚上，那个被Cl0p勒索软件团伙用来威胁受害者的网站遭到了破坏。据BleepingComputer报道，另一个犯罪组织宣称对此事负责。 当人们访问该网站时，他们看到网站顶部显示着宝可梦相关的艺术作品以及一个ASCII格式的Umbreon图像，下方写着“该网站已被ShinyHunters攻破”，最后还有一句“自2019年以来我们一直在入侵你们的系统”。该帖子还附有一个指向Shiny

一种AI黑客技巧现在被用来在垃圾邮件中拆分“funding”一词

两年来，不可见的Unicode字符一直是AI安全研究中的巧妙技巧。你可以把指令藏在其中。人眼看不见任何东西。语言模型却能读取并照做。微软现在发现有人用同样的字符做了一件远不那么高明的事。他们是在拆分单词[…]

BGP劫持感染网络，由一连串一点都不好笑的错误造成

黑客实施了一次供应链攻击，通过一种不寻常的方式劫持了一大块互联网空间，在该空间中，托管提供商、数据中心和其他大型基础设施公司所使用的云管理软件会进行更新，从而在网络上安装恶意软件。 在一次协调周密的行动中，身份不明的攻击者利用了托管提供商Hetzner Online路由安全设置中的弱点，以及获取有效TLS证书过程中的漏洞。这些失误使攻击者成功实施了BGP（边界网关协议）劫持，从而获得了分配给Sof

感染PC和Mac的ClickFix攻击正在病毒式传播

不久前，ClickFix攻击还十分罕见。如今，由于该技术在感染PC和Mac用户方面表现出的简单性和高效性，攻击者纷纷效仿，使其已成为主流手段。攻击所需的只是一个被入侵的网站（这并非难事）、一个虚假的验证码覆盖层以及包含一条终端命令。由于有大量访客被诱骗粘贴并运行该命令，几乎所有恶意软件传播者都采用了这种技术，甚至连克里姆林宫支持的黑客组织也加入了进来。 独立研究员凯文·博蒙特周四指出：“Reddi