FreeBufTrends
Aktualisiert um 11-06 10:56
微软披露Windows画图存在严重远程代码执行漏洞，无需认证、用户点击即可执行恶意代码，暂无在野利用，需及时核查更新补丁。
吸取Agent越权入侵教训，OpenAI发布漏洞研究专用GPT-6 Cyber模型，越界率远低于前代，将通过严格准入机制分阶段向合规安全用户开放。
OpenSSH发布紧急补丁修复高危漏洞：特定Alpine Linux环境下，长密码可绕过SSH认证直接登录无密码账户，需立即处置。
杭州发布人形机器人风控法务指引，全链条合规；强调“任何指令不得凌驾生命安全”，发现危害国安即停报。
OpenAI自动化流水线单次运行发现948个Linux内核提权漏洞，未打补丁系统低权限账号可直接获取root权限，需尽快更新内核修复。
不用任何提示词技巧，六个填满上下文的请求就能把vLLM的首字延迟从1.52秒推到55.46秒，成本只要两毛钱。机制就藏在一行抢占代码里：永远牺牲队尾那个。八种加固实测只有两种管用。
离职电脑没清干净，赔到倾家荡产！技术员恢复新公司聊天和项目资料，公司索赔，姑娘当场崩溃。
Android存在GhostMap漏洞，安装特殊构造的恶意应用无需打开就会触发设备无限重启锁死，安全模式无效，目前暂无官方补丁，需警惕来源不明APK。
美国起诉两名加拿大男子，二人涉嫌非法入侵多所美国高校超级计算机挖矿牟利，一人已被引渡赴美，相关罪名最高可处10年监禁。
OpenAI自动化流水线单次运行发现948个Linux内核提权漏洞，未打补丁系统低权限账号可直接获取root权限，需尽快更新内核修复。
俄背景APT29发动水坑、供应链攻击，投递iOS/Android漏洞链，用户仅打开网页无需任何操作即可被窃取全量设备敏感数据。
朝鲜黑客借虚假招聘、恶意工具绕过防护，劫持内部AI渗透币安，盗取63.4亿美元加密资产，部分资金被拦截，平台全额承担用户损失。
闸门全拆是黑产那头的事，防御这头能做的，说到底就一句话：把监控重心从静态特征挪到 Agent 的行为上。
Ruby on Rails曝出CVSS9.8分高危漏洞，未授权攻击者可利用ImageMagick上传逻辑写入服务器任意文件、窃取凭证、执行代码，受影响用户需尽快升级修复。
Xen Hypervisor曝高危漏洞，单台恶意VM即可突破隔离读写同机所有VM内存、接管主机，无临时缓解措施，需尽快安装补丁修复。
仅靠网关做Agent运行时防护如同无雷达的电台，覆盖不全易被攻破，别信厂商终态宣传，需基于全局上下文构建多层有效防护体系。
“只是搬运接口”不是挡箭牌：男子用AI伪造签名绕过防护，非法调用AI接口29万余次牟利获刑。
Node.js将于11月11日为22.x、24.x、26.x分支推送高危安全补丁，停服分支无补丁，相关用户请提前做好更新准备。
Zyxel GS1900交换机0day漏洞遭在野利用，旧补丁完全失效，攻击者无需登录即可获取root权限，已波及多国，需立即升级加固。
CrowdStrike收购Fiddler、Dreadnode，补强Falcon平台AI安全能力，覆盖AI Agent全生命周期，防控Agent未遭入侵即可制造的安全风险。
FreeBuf Frühere Trendlisten
Aktualisiert um 11-06 10:56
- 1 网络犯罪组织滥用人工智能进行网络攻击趋势显著•••
- 2 多国联合行动捣毁全球最大DDoS僵尸网络团伙
- 3 「以图鉴势」嘶吼2026网络安全产业图谱重磅发布
- 4 ◉Progress ShareFile曝新漏洞 可组合实现未认证远程代码执行
- 5 ◉嘶吼安全动态|八部门联合发布《 科技数据安全管理暂行规定》，4月10日起实施 黑客利用像素级SVG技巧隐藏信用卡窃密代码
- 6 ◉新型CrystalRAT恶意软件新增远程控制、数据窃取等功能
- 7 ◉嘶吼安全动态｜中央网信办召开全国网络法治工作会议 设备码钓鱼攻击暴增36倍，新型攻击工具在网上大肆扩散
- 8 ◉Claude Code源码泄露遭利用，攻击者借GitHub散播窃密木马
Aktualisiert um 11-06 10:56
