427 articles
三个 PyPI 包在 Windows 和 Linux 上分发 ZiChatBot 恶意软件，使用 Zulip 聊天 API 进行隐蔽的 C2 —— Kaspersky 识别出全球 12 个以上受害组织。
ESET 表示 APT37 破坏了 Sqgame 纸牌游戏平台，向 Android 设备传递 BirdCall 后门，窃取延边朝鲜族人的短信、通话记录和私钥。
CVE-2026-20188:未经身份验证的攻击者可以通过低复杂性漏洞使思科Crosswork网络控制器和NSO崩溃。旧版本没有补丁；需要手动重启。
CVE-2026-5174 是 MOVEit Automation 中的高危权限提升漏洞。当前尚无 APT 或 Cl0p 利用确认，但 2023 年 MOVEit 入侵历史使快速修补尤为紧迫。
CVE-2026-0300 是 PAN-OS User-ID Authentication Portal 中的关键缓冲区溢出漏洞。修复版本尚属后续发布，应立即禁用或限制该门户。
Steve Stasiukonis 在2006年对一家信用合作社进行的USB投掷测试 —— 员工插入的20个驱动器中有15个 —— 成为了至今仍被使用的物理社交工程评估的蓝图...
Apache HTTP Server CVE-2026-23918（CVSS 8.8）通过 HTTP/2 处理中的双重释放启用 DoS 和潜在 RCE。影响所有 mod_http2 用户。立即修补。
思科 Talos：CloudZ RAT 的新 Pheno 插件滥用 Windows Phone Link 从本地 SQLite 数据库读取短信和一次性密码。
Cyera披露CVE-2026-7482（CVSS 9.3）— Ollama的GGUF模型加载器中的堆越界读取，通过三个未经身份验证的API调用泄露提示、API密钥和秘密。
HeroDevs 分析：npm、PyPI、Maven 上有 540 万 EOL 软件包版本避开 SCA 扫描器；约 80% 的 CVEs 影响支持版本，也影响未列出的 EOL 发布。提供免费扫描。
没有过期的OAuth令牌在Google和Microsoft租户中持续存在 —— 攻击者绕过MFA和边界控制。
ShinyHunters 在侵入 Anodot 后泄露了一个 106GB 的 Vimeo 数据档案，暴露了 119,200 名用户的电子邮件和姓名。没有泄露任何凭证或支付信息。
