标签
Anthropic 发布可自主发现软件漏洞的 Claude Mythos Preview 后，高严重性和关键严重性的 CVE 披露数量出现激增，月度记录增长了 3.5 倍。
一个实用的解决方案，使用AnySearch让本地AI代理高效查询多个专业来源（CVE、SEC申报），返回结构化JSON/Markdown，避免速率限制和破损的SDK。
AutoCVE 是一个开源工具，利用多智能体协作自动完成从项目筛选、代码审计、漏洞验证到生成CVE报告的全流程，支持一键挖掘CVE漏洞。
Chrome V8 JIT编译器中的单一漏洞CVE-2026-6307，允许攻击者在V8沙箱内获得任意读写原语并逃逸沙箱，实现远程代码执行，影响自Chrome 106及更高版本。
AISLE 利用其模型无关的 AI 系统在 curl 中发现了 6 个新 CVE，其中包括有史以来报告的最古老漏洞（超过 25 年）。所有发现均在 curl 8.21.0 中修复。
CVE-2026-42530 披露了 nginx 的 HTTP/3 QUIC 模块中的一个释放后使用漏洞。
CVE-2026-52884 描述了 Notepad++ 中一个通过路径遍历触发的零点击远程代码执行漏洞，影响 Windows 用户。
OpenSSL PKCS7_verify() 函数中发现了一个堆释放后使用漏洞，可能允许攻击者利用内存破坏。
Linux内核中一个错误的字符引入了一个use-after-free漏洞（CVE-2026-53111），允许非特权用户在Debian和Ubuntu系统上将权限提升至root；该漏洞已修复并移植回旧版本。
Marcelo Trylesinski 分享了他对 CVE-2026-48710 的看法，这是一个 Starlette 中的安全漏洞，涉及通过操纵 Host 标头绕过基于路径的授权。他认为该漏洞源于应用模式和部署方式，而非框架本身。
Starlette 和 FastAPI 中存在一个严重的主机头身份验证绕过漏洞（CVE-2026-48710），影响众多 Python ASGI 应用，包括 AI 推理服务器（如 vLLM）、AI 代理服务器（如 LiteLLM）和 MCP 网关，可能导致未授权访问。
开源ASGI框架Starlette中的一个严重漏洞（CVE-2026-48710，名为BadHost）使数百万AI代理和服务器面临数据被盗和凭证泄露的风险，影响了FastAPI、vLLM和LiteLLM等框架。该漏洞已在Starlette 1.0.1中修复，利用起来非常简单，凸显了AI工具生态系统中的风险。
Apple 发布了 macOS Tahoe 26.5 的安全更新，修复了多个漏洞，包括内核错误、拒绝服务攻击和沙盒逃逸。该更新修复了由不同研究人员发现的多个 CVE 漏洞，其中 CVE-2026-28952 据称由 Claude AI 发现。
本文介绍了Agent Vulnerability Enumeration (AVE)记录作为一种新标准，旨在解决CVE在AI代理漏洞方面的不足，涵盖针对代理型AI的评分、检测和标准化挑战。
某安全研究人员发现了CVE-2026-46529，这是Linux PDF查看器XReader、Evince和Atril中一个存在10年之久的远程代码执行漏洞，原因是在生成子进程以打开远程文档链接时，参数引用不充分。
Qualys 披露了 Linux 内核 __ptrace_may_access() 函数中的一个逻辑漏洞 (CVE-2026-46333)，可导致本地权限提升和信息泄露。该漏洞自 2016 年起存在，影响多个发行版，Qualys 已开发出四种概念验证利用代码。
CVE-2026-40369 描述了 Windows 内核中 NtQuerySystemInformation 函数的一个漏洞，该漏洞允许任意内核地址递增，使无特权的进程（包括 Chrome 沙箱）能够提升权限。该利用在 Windows 11 24H2-25H2 上是确定性的。
PostgreSQL 已发布针对版本 18.4、17.10、16.14、15.18 和 14.23 的安全更新，修复了 11 个 CVE 和超过 60 个错误。值得注意的修复包括 CVE-2026-6473（整数回绕，CVSS 8.8）和 CVE-2026-6475（符号链接覆盖，CVSS 8.8）。
Nginx 重写模块中的一个关键堆缓冲区溢出漏洞（CVE-2026-42945）允许未经身份验证的远程代码执行，并且已经发布了概念验证漏洞利用代码。该漏洞影响 Nginx 0.6.27 到 1.30.0 版本以及多个 Nginx Plus 版本。