Jenkins 安全公告 2026-04-29：7 个插件修复 CVE-2026-42519 至 CVE-2026-42525
Jenkins 发布安全公告，修复 7 个插件中的漏洞，涉及 CVE-2026-42519 至 CVE-2026-42525。
全部漏洞动态
Jenkins 安全公告AI 评分4242
Google Online Security BlogAI 评分2222 Google 扫描公共网页，揭示间接提示注入（IPI）的真实滥用现状
Google 威胁情报团队用 Common Crawl 的月度快照扫描公共网页，排查已知间接提示注入（IPI）模式，以确认攻击者是否已在真实利用这一向量。观察到的注入多数为无害恶作剧、帮助性引导、SEO 操纵和劝阻 AI 代理，也出现数据外泄与破坏类恶意意图。团队采用模式匹配、Gemini 意图分类加人工复核的由粗到细流程以压制大量误报。
The DFIR Report精选AI 评分7878 The DFIR Report 披露 Bissa scanner 暴露：借 Claude Code 与 OpenClaw 大规模利用 CVE-2025-55182 并收割凭据
The DFIR Report 发现一台暴露的攻击服务器，其上的 Bissa scanner 围绕 React2Shell（CVE-2025-55182）扫描数百万个目标，日志显示确认 900 余次成功利用。
为什么值得看：报告基于一台暴露的攻击服务器还原了从大规模扫描、命中评分到凭据归集与优先排序的完整流水线，可看到攻击方如何用 AI 工具编排作业。
Google Online Security BlogAI 评分1818 Google 将 Rust DNS 解析器引入 Pixel 10 基带固件
Google 为 Pixel 10 基带固件集成基于 Rust 的 DNS 解析器，选用开源库 hickory-proto 并为其补充 no_std 支持，以缓解内存安全类漏洞。该解析器代码约 350KB，加上 shim 与 core 等共约 371KB；因 Pixel 基带内存限制不紧，团队优先考虑社区支持与代码质量，暂未做体积优化。
嘶吼 RoarTalk精选AI 评分7878 Progress ShareFile 修复可组合实现免认证 RCE 的 CVE-2026-2699 与 CVE-2026-2701
Progress 已在 ShareFile 5.12.4 中修复 Storage Zones Controller（SZC）组件的认证绕过漏洞 CVE-2026-2699 和远程代码执行漏洞 CVE-2026-2701。
为什么值得看：watchTowr 披露的两处漏洞可串联成免认证 RCE，文中给出暴露实例规模与修复版本，便于判断自身风险。
嘶吼 RoarTalkAI 评分6060 嘶吼安全动态：Flowise CVE-2025-59528 被大规模利用，黑客用像素级 SVG 隐藏信用卡窃密代码
嘶吼安全动态汇总多条国内外安全消息，其中开源 AI 平台 Flowise 的远程代码执行漏洞 CVE-2025-59528 已被野外利用，攻击者可通过未校验配置执行任意代码，约 1.5 万实例暴露。
Google Online Security BlogAI 评分1818 Google Chrome 146 面向 Windows 用户开放 Device Bound Session Credentials（DBSC）
Google 宣布 Device Bound Session Credentials（DBSC）在 Chrome 146 上面向 Windows 用户开放，并将在后续 Chrome 版本扩展至 macOS。
嘶吼 RoarTalkAI 评分3232 新型 CrystalRAT 以 MaaS 模式在 Telegram 推广，新增远程控制与数据窃取功能
卡巴斯基报告称，新型远程控制木马 CrystalRAT 正以 MaaS 模式在 Telegram 推广，具备远程控制、数据窃取、键盘记录与剪贴板劫持功能，并与 WebRAT（Salat 窃密木马）高度相似。该木马今年 1 月现身，采用分级订阅，通过 WebSocket 连接 C2，内置 VNC 实时操控及反调试、虚拟机检测等防护，窃密模块目前临时禁用。
GitHub Security LabAI 评分2222 GitHub 谈开源供应链安全：从 GitHub Actions 到 npm 的防护措施与路线图
GitHub 指出近期开源供应链攻击多从攻陷 GitHub Actions 工作流入手，窃取 API key 等密钥后发布恶意包并扩散。
Google Online Security BlogAI 评分1515 Android 17 引入后量子密码：AVB 与 Keystore 支持 ML-DSA，Google Play 提供混合签名
Android 17 将把 NIST 后量子密码标准集成进平台，从 Android 17 beta 开始测试、正式版全面可用。Android Verified Boot 引入 ML-DSA 抗量子签名，Android Keystore 原生支持 ML-DSA-65 与 ML-DSA-87，KeyMint 证书链迁移至 PQC 架构。
Jenkins 安全公告精选AI 评分5858 Jenkins 修复 CVE-2026-33001 等三个漏洞，2.555 与 LTS 2.541.3 已发布
Jenkins 发布安全通告，修复 Jenkins 2.554 及更早、LTS 2.541.2 及更早版本中的三个漏洞，修复版本为 2.555 与 LTS 2.541.3。
为什么值得看：通告列出三个漏洞的影响版本与修复版本，并说明符号链接解压与 DNS rebinding 的具体触发条件，便于管理员核对升级。
The DFIR Report精选AI 评分6262 Apache ActiveMQ 服务器遭 CVE-2023-46604 利用，最终部署 LockBit 勒索软件
The DFIR Report 复盘了一起针对暴露在互联网的 Apache ActiveMQ 服务器的入侵，攻击者利用 CVE-2023-46604 实现 RCE，通过 Java Spring bean 配置 XML 调用 CertUtil 下载 Metasploit stager。
为什么值得看：完整复盘展示了同一台未修补 ActiveMQ 服务器被两次攻破后如何走向 LockBit 部署，并给出从首次入侵到加密的时间线。
PortSwigger 安全研究AI 评分2020 PortSwigger 公布 2025 年度十大 Web 黑客技术，SSTI 错误注入居首
PortSwigger 公布第 19 届 2025 年度十大 Web 黑客技术榜单，社区共提名 63 篇研究，经社区投票选出 15 篇入围、专家小组评定最终排名。
The DFIR ReportAI 评分6060 The DFIR Report 复盘 Lynx 勒索攻击：RDP 登录到加密历时约 178 小时
The DFIR Report 复盘一起 2025 年 3 月初开始的 Lynx 勒索入侵，攻击者用事先泄露的凭据直接 RDP 登录暴露在互联网的主机，全程未出现暴力破解或密码喷洒。