Drupal core 修复 XSS 漏洞 CVE-2026-15917，影响 11.2 及以上版本
Drupal core 修复了 XSS 漏洞 CVE-2026-15917，其 XSS 过滤器未能充分清理特定 HTMX 属性，攻击者需能插入带特定属性的 HTML 才能利用。11.4.x 应升级至 11.4.4，11.3.x 应升级至 11.3.14；11.2.x 及以下已停止支持，Drupal 10 core 不受影响。
全部漏洞动态
Drupal 安全公告AI 评分4242 Drupal 安全公告AI 评分3232 Drupal core 修复 CVE-2026-15916 Image 模块信息泄露漏洞（SA-CORE-2026-010）
Drupal core 发布 SA-CORE-2026-010，修复 Image 模块的 CVE-2026-15916 信息泄露漏洞：当派生图片通过 private:// 以外的文件流提供时，模块未充分检查对 image style 派生文件的访问权限。
Exodus Intelligence精选AI 评分6262 Windows Installer 文件夹删除提权漏洞 CVE-2025-27727 的利用链分析
Exodus Intelligence 分析 msi.dll 暴露的 CMsiConfigurationManager COM 接口中的逻辑漏洞 CVE-2025-27727。
为什么值得看：文章从 msi.dll 的 COM 接口逻辑缺陷讲到完整利用链，展示了如何借文件夹删除原语植入回滚脚本拿到 SYSTEM。
watchTowr LabsAI 评分5858 watchTowr 分析 Adobe ColdFusion APSB26-68 补丁：RDS 与 CKEditor 上传路径穿越可致 RCE
watchTowr Labs 对 Adobe 6 月 30 日发布的 ColdFusion 安全公告 APSB26-68 做补丁对比，指出 RDS 的 FILEIO 操作在修复前未校验路径，可任意读写文件，写入 .cfm 后即可执行命令实现 RCE。
watchTowr Labs精选AI 评分8080 watchTowr 公开 Citrix NetScaler CVE-2026-8451 内存越界读取复现与检测脚本
watchTowr 披露 Citrix NetScaler 的 CVE-2026-8451，Citrix 将其描述为输入校验不足导致内存越界读取，CVSS 评分 8.8，需将设备配置为 SAML IdP 才可触发。
为什么值得看：研究公开了可运行的检测脚本，并说明该内存越界读取在 SAML IdP 配置下可稳定泄露少量内存字节。
The DFIR Report精选AI 评分6767 Bing 搜索投毒投放 BumbleBee 与 AdaptixC2，44 小时后部署 Akira 勒索软件
The DFIR Report 复盘 2025 年 7 月一起入侵：用户通过 Bing 搜索 ManageEngine OpManager 被导向仿冒域名 opmanager[.]pro，下载带毒的 MSI 安装包，经 consent.exe 侧加载 msimg32.dll 运行 BumbleBee 加载器。
为什么值得看：完整复盘从 Bing 搜索投毒到 Akira 加密的 44 小时链路，含 NTDS.dit 导出、SSH 反向隧道与 77GB 外传的具体命令和日志证据。
Jenkins 安全公告AI 评分5050 Jenkins 发布 2026-06-24 安全通告，修复 Script Security 等 19 个插件漏洞
Jenkins 项目发布 2026-06-24 安全通告，披露 Script Security、Git client、Pipeline: Groovy 等 19 个插件中的漏洞，共涉及 22 个 SECURITY 编号。
Exodus Intelligence精选AI 评分7070 V8 AsmJS 解析器共享状态缺陷 CVE-2026-3542 如何突破 Ubercage 沙箱
Exodus Intelligence 分析了 Chrome 在 2026 年 3 月 3 日修复的 CVE-2026-3542，该漏洞源于 AsmJsParser 处理嵌套移位表达式时 heap_access_shift_position_ 状态被递归调用覆盖，导致 WebAssembly 操作码流被错误截断。
为什么值得看：文章从 AsmJS 解析器共享状态缺陷讲到绕过 Ubercage 沙箱的完整利用链，可看漏洞成因与利用原语的构造思路。
Drupal 安全公告AI 评分4242 Drupal core 修复 CVE-2026-55808 文件 MIME 类型校验不当漏洞
Drupal core 发布 SA-CORE-2026-009，修复 CVE-2026-55808：JSON:API 与 REST 模块上传图片时只校验文件扩展名、不校验 MIME 类型，恶意用户可上传非图片文件，部分 Web 服务器配置下会以真实 MIME 类型返回，可能导致 XSS。
Exodus IntelligenceAI 评分5858 Zombie COTables：利用 VirtualBox SVGA 释放后重用实现虚拟机逃逸
Exodus Intelligence 披露其在 2025 年发现的 Oracle VirtualBox SVGA 子系统释放后重用漏洞，该漏洞已在 Oracle Critical Patch Update – January 2026 中修复。
Jenkins 安全公告精选AI 评分6060 Jenkins 修复反序列化与存储型 XSS 等七个漏洞，涉及 CVE-2026-53435 至 CVE-2026-53442
Jenkins 发布安全通告，修复 Jenkins core 中的七个漏洞，涉及 weekly 2.567 及更早版本、LTS 2.555.2 及更早版本，修复版本为 2.568 与 2.555.3。
为什么值得看：通告列出七个安全问题的影响版本与修复版本，并说明反序列化问题需要 Overall/Read 权限才能触发。
Exodus Intelligence精选AI 评分7878 Exodus Intelligence 分析 Linux 内核 nftables UAF 漏洞 CVE-2026-23111 的本地提权利用
Exodus Intelligence 披露其在 2025 年初于 Linux 内核 nftables 子系统发现的 use-after-free 漏洞 CVE-2026-23111，该漏洞已于 2026 年 2 月 5 日在上游修复。
为什么值得看：文章完整还原了 nftables 中一个取反写错的 catchall 元素激活逻辑如何演变为 UAF，并给出从信息泄露到 ROP 提权的完整利用链。
Exodus Intelligence精选AI 评分7878 Adobe Acrobat Reader Escript.api 释放后重用漏洞的 RCE 利用分析
Exodus Intelligence 分析了 Adobe Acrobat Reader 的 Escript.api 模块中一个 2025 年 2 月发现、2026 年 4 月修复的释放后重用漏洞，该漏洞可能对应 CVE-2026-34621、CVE-2026-34626 或 CVE-2026-34622。
为什么值得看：文章完整拆解了 Escript.api 中引用计数与事件作用域栈失同步导致的 UAF，并给出 32 位下绕过 DEP、ASLR、CFG 的利用链。
Jenkins 安全公告AI 评分4242 Jenkins 安全公告 2026-05-27：LDAP、Active Directory 等插件修复多个漏洞
Jenkins 发布安全公告，修复 LDAP Plugin 与 Active Directory Plugin 因未校验 LDAP referral 导致的 SSRF 与反序列化 RCE（CVE-2026-48916、CVE-2026-48917、CVE-2026-48918、CVE-2026-48919），攻击者需能控制所配置的 LDAP/AD 服务器或实施中间人攻击。
The DFIR Report精选AI 评分7878 EtherRAT 与 TukTuk C2 攻击最终部署 The Gentlemen 勒索软件
The DFIR Report 复盘了 4 月观察到的一次入侵，攻击者通过伪装成 Sysinternals RAMMap 的恶意 MSI 投放 EtherRAT，该变种经 1rpc.io 从 Ethereum 区块链获取 C2 配置，随后下载 Node.js 运行时并执行混淆 JavaScript 载荷。
为什么值得看：复盘展示了 EtherRAT 借区块链配置 C2、TukTuk 用 SaaS 平台做通道，再到 GPO 全域投递勒索软件的完整链路。
Jenkins 安全公告AI 评分4242 Jenkins 安全公告 2026-04-29：7 个插件修复 CVE-2026-42519 至 CVE-2026-42525
Jenkins 发布安全公告，修复 7 个插件中的漏洞，涉及 CVE-2026-42519 至 CVE-2026-42525。
Google Online Security BlogAI 评分2222 Google 扫描公共网页，揭示间接提示注入（IPI）的真实滥用现状
Google 威胁情报团队用 Common Crawl 的月度快照扫描公共网页，排查已知间接提示注入（IPI）模式，以确认攻击者是否已在真实利用这一向量。观察到的注入多数为无害恶作剧、帮助性引导、SEO 操纵和劝阻 AI 代理，也出现数据外泄与破坏类恶意意图。团队采用模式匹配、Gemini 意图分类加人工复核的由粗到细流程以压制大量误报。
The DFIR Report精选AI 评分7878 The DFIR Report 披露 Bissa scanner 暴露：借 Claude Code 与 OpenClaw 大规模利用 CVE-2025-55182 并收割凭据
The DFIR Report 发现一台暴露的攻击服务器，其上的 Bissa scanner 围绕 React2Shell（CVE-2025-55182）扫描数百万个目标，日志显示确认 900 余次成功利用。
为什么值得看：报告基于一台暴露的攻击服务器还原了从大规模扫描、命中评分到凭据归集与优先排序的完整流水线，可看到攻击方如何用 AI 工具编排作业。
Google Online Security BlogAI 评分1818 Google 将 Rust DNS 解析器引入 Pixel 10 基带固件
Google 为 Pixel 10 基带固件集成基于 Rust 的 DNS 解析器，选用开源库 hickory-proto 并为其补充 no_std 支持，以缓解内存安全类漏洞。该解析器代码约 350KB，加上 shim 与 core 等共约 371KB；因 Pixel 基带内存限制不紧，团队优先考虑社区支持与代码质量，暂未做体积优化。
嘶吼 RoarTalk精选AI 评分7878 Progress ShareFile 修复可组合实现免认证 RCE 的 CVE-2026-2699 与 CVE-2026-2701
Progress 已在 ShareFile 5.12.4 中修复 Storage Zones Controller（SZC）组件的认证绕过漏洞 CVE-2026-2699 和远程代码执行漏洞 CVE-2026-2701。
为什么值得看：watchTowr 披露的两处漏洞可串联成免认证 RCE，文中给出暴露实例规模与修复版本，便于判断自身风险。
嘶吼 RoarTalkAI 评分6060 嘶吼安全动态：Flowise CVE-2025-59528 被大规模利用，黑客用像素级 SVG 隐藏信用卡窃密代码
嘶吼安全动态汇总多条国内外安全消息，其中开源 AI 平台 Flowise 的远程代码执行漏洞 CVE-2025-59528 已被野外利用，攻击者可通过未校验配置执行任意代码，约 1.5 万实例暴露。
Google Online Security BlogAI 评分1818 Google Chrome 146 面向 Windows 用户开放 Device Bound Session Credentials（DBSC）
Google 宣布 Device Bound Session Credentials（DBSC）在 Chrome 146 上面向 Windows 用户开放，并将在后续 Chrome 版本扩展至 macOS。
嘶吼 RoarTalkAI 评分3232 新型 CrystalRAT 以 MaaS 模式在 Telegram 推广，新增远程控制与数据窃取功能
卡巴斯基报告称，新型远程控制木马 CrystalRAT 正以 MaaS 模式在 Telegram 推广，具备远程控制、数据窃取、键盘记录与剪贴板劫持功能，并与 WebRAT（Salat 窃密木马）高度相似。该木马今年 1 月现身，采用分级订阅，通过 WebSocket 连接 C2，内置 VNC 实时操控及反调试、虚拟机检测等防护，窃密模块目前临时禁用。
GitHub Security LabAI 评分2222 GitHub 谈开源供应链安全：从 GitHub Actions 到 npm 的防护措施与路线图
GitHub 指出近期开源供应链攻击多从攻陷 GitHub Actions 工作流入手，窃取 API key 等密钥后发布恶意包并扩散。
Google Online Security BlogAI 评分1515 Android 17 引入后量子密码：AVB 与 Keystore 支持 ML-DSA，Google Play 提供混合签名
Android 17 将把 NIST 后量子密码标准集成进平台，从 Android 17 beta 开始测试、正式版全面可用。Android Verified Boot 引入 ML-DSA 抗量子签名，Android Keystore 原生支持 ML-DSA-65 与 ML-DSA-87，KeyMint 证书链迁移至 PQC 架构。
Jenkins 安全公告精选AI 评分5858 Jenkins 修复 CVE-2026-33001 等三个漏洞，2.555 与 LTS 2.541.3 已发布
Jenkins 发布安全通告，修复 Jenkins 2.554 及更早、LTS 2.541.2 及更早版本中的三个漏洞，修复版本为 2.555 与 LTS 2.541.3。
为什么值得看：通告列出三个漏洞的影响版本与修复版本，并说明符号链接解压与 DNS rebinding 的具体触发条件，便于管理员核对升级。
The DFIR Report精选AI 评分6262 Apache ActiveMQ 服务器遭 CVE-2023-46604 利用，最终部署 LockBit 勒索软件
The DFIR Report 复盘了一起针对暴露在互联网的 Apache ActiveMQ 服务器的入侵，攻击者利用 CVE-2023-46604 实现 RCE，通过 Java Spring bean 配置 XML 调用 CertUtil 下载 Metasploit stager。
为什么值得看：完整复盘展示了同一台未修补 ActiveMQ 服务器被两次攻破后如何走向 LockBit 部署，并给出从首次入侵到加密的时间线。
PortSwigger 安全研究AI 评分2020 PortSwigger 公布 2025 年度十大 Web 黑客技术，SSTI 错误注入居首
PortSwigger 公布第 19 届 2025 年度十大 Web 黑客技术榜单，社区共提名 63 篇研究，经社区投票选出 15 篇入围、专家小组评定最终排名。
The DFIR ReportAI 评分6060 The DFIR Report 复盘 Lynx 勒索攻击：RDP 登录到加密历时约 178 小时
The DFIR Report 复盘一起 2025 年 3 月初开始的 Lynx 勒索入侵，攻击者用事先泄露的凭据直接 RDP 登录暴露在互联网的主机，全程未出现暴力破解或密码喷洒。