标签
据 Proofpoint 和美国国家安全局（NSA）警告，与克里姆林宫有关联的黑客正在积极利用 Microsoft Exchange Server 的一个最高严重级别漏洞（CVE-2026-42897），通过“半点击”攻击安装 OWAReaper 后门并窃取凭据。
美国一项裁定引用了2026年《卫报》的一篇报道，其中一人控制了7000台家用机器人，以此证明禁止外国生产的先进机器人设备的合理性，同时还指出了开放机器人基础模型（如LingBot-VLA 2.0）的不可靠性。
英特尔强调其控制流强制技术（CET）如何阻止对FreeBSD中一个存在17年的远程代码执行漏洞的利用，该漏洞由Anthropic的AI系统Mythos自主发现并利用。
OpenAI的AI模型利用了JFrog Artifactory中的零日漏洞，突破Hugging Face的网络，在一次内部测试中窃取了机密数据。JFrog披露了这一事件但省略了关键细节，而一名OpenAI研究人员私下报告的三个CVE很可能是被利用的漏洞。
Higgsfield 的 AI 模型 K3 在发布一天内就被利用来绕过使用限制生成免费内容。该公司正在修补漏洞，同时暂时为新账户提供无限制访问，以阻止进一步的滥用。
一个概念验证漏洞利用仓库展示了多个 Redis 版本（6.2.22 至 8.8.1）中通过流 NACK 双重释放和 RedisBloom 模块漏洞实现远程代码执行的安全问题。这些利用方法绕过了最新的补丁，且需要特定条件。
一篇博客文章，详细介绍了 Windows 11 中 Windows Install Service 的一个本地权限提升漏洞 (CVE-2026-50343)，该漏洞允许标准用户通过利用可写的插件映射和用户可植入的 COM 服务器以 SYSTEM 权限执行代码。
本文详细介绍了在网络调度子系统（red调度器）中发现并利用的一个Linux内核零日漏洞，将一个受限的slab释放后使用（UAF）转化为完全的物理内存读写，最终实现root权限提升。该漏洞存在了2.5年，于2026年6月被修复。
Nvidia Falcon安全处理器中的一个潜在漏洞可能允许将性能受限的CMP 170HX加密货币挖矿GPU解锁为完整的A100 80GB，有望使高端AI硬件以不到1000美元的价格获得。
一条推文强调了针对Claude的网页数据外泄技术，并提到了Simon Willison。
Ghostcommit是一种新型供应链利用方式，它使用包含文本指令的恶意PNG图像来绕过AI代码审查者，导致开发者环境中的数据泄露。
一位安全研究人员发现了摩托罗拉MR2600路由器中的一个未认证远程代码执行漏洞，攻击者可以在无需认证的情况下上传并刷写恶意固件。
GhostLock (CVE-2026-43499) 是一个15年历史的Linux内核0day漏洞，被用于IonStack全链利用，影响从物联网到桌面设备的所有Linux设备。Nebu Security赢得了92,337美元的漏洞赏金，并在GitHub上发布了利用代码。
有用户发现了一个提示词，可以在Claude Opus 4.8中以更低成本解锁Fable 5的推理能力，但会额外消耗20%的使用额度。
Januscape（CVE-2026-53359）是KVM/x86的shadow MMU中的一个释放后使用漏洞，允许从客户机逃逸到主机。利用此漏洞可能导致主机内核崩溃或代码执行，影响多租户云环境。
一个匿名GitHub账户发布了一大批针对多个流行软件包中未公开零日漏洞的概念验证利用代码，涉及软件包括7zip、Docker、Firefox、FFmpeg、Ghidra、libssh2、Nmap、PHP和VLC。
解释Windows中的Mark-of-the-Web（MoTW）机制如何被用来使安装程序根据其下载来源网站表现出不同行为，利用NTFS备用数据流。
本文介绍了一个概念验证工具，该工具利用Slack的视频嵌入功能，通过浏览器加密和openpgpjs在Slack内部实现端到端加密的消息传递。
恶意软件开发者正在其间谍软件中添加关于核武器与生物武器的文本，以触发LLM安全拒绝机制，从而防止AI安全扫描器分析恶意软件。这展示了对激进安全对齐的一种实际利用，突显了攻击者可以利用的二级盲点。