全球网安事件速递

1. Chromium内核浏览器存严重缺陷，攻击者可通过加载任意扩展程序入侵

Chromium内核浏览器可通过篡改JSON偏好文件静默加载恶意扩展，攻击者利用HMAC逆向、公钥复用和策略篡改绕过企业管控。防御需监控文件变更、验证注册表完整性及检测异常扩展，否则将导致隐蔽数据泄露。【外刊-阅读原文】

2. 万兴易修曝出两大高危漏洞，可导致数据泄露以及AI模型篡改

万兴易修曝高危漏洞（CVE-2025-10643/10644），可绕过认证窃取用户数据、篡改AI模型，引发供应链攻击。云存储令牌泄露致敏感信息暴露，厂商未回应漏洞报告。AI工具安全风险加剧，需强化DevSecOps流程防范新型攻击。【外刊-阅读原文】

3. 思科SNMP零日RCE漏洞（CVE-2025-20352）遭野外利用，可导致RCE或DoS

思科IOS和IOS XE软件曝出SNMP零日漏洞（CVE-2025-20352），可致远程代码执行或拒绝服务，正遭野外利用。影响所有SNMP版本，高权限攻击者可完全控制系统。思科已发布修复版本，建议立即升级，无法升级者可配置SNMP视图缓解风险。【外刊-阅读原文】

4. Linux内核ksmbd漏洞允许远程攻击者执行任意代码（CVE-2025-38561）

Linux内核ksmbd SMB服务器存在高危漏洞CVE-2025-38561（CVSS 8.5），允许认证攻击者通过竞态条件实现内核级任意代码执行。需及时更新内核补丁，建议加强认证控制并监控SMB流量。【外刊-阅读原文】

5. 谷歌推出Data Commons MCP服务器，为AI Agent提供可信数据基础

谷歌发布Data Commons MCP Server，为AI系统提供标准化公共数据集访问接口，防止模型幻觉。该工具集成开发流程，支持自然语言查询，已在全球卫生融资等场景应用，提升AI输出的可信度和透明度。【外刊-阅读原文】

6. iframe安全盲区：支付信息窃取攻击的新温床

攻击者利用恶意覆盖层绕过Stripe支付iframe安全防护，通过WordPress漏洞注入脚本窃取信用卡数据。49家商户遭入侵，18%网站因支付iframe内运行第三方工具形成安全盲区。防御需强化CSP策略、实时监控DOM变化、严格验证PostMessage及子资源完整性校验。【外刊-阅读原文】

7. 攻击者利用内存PE加载器下载恶意文件绕过EDR检测

攻击者利用内存加载PE文件技术绕过EDR检测，通过受信任进程执行恶意代码，避免文件写入磁盘。这种无文件攻击暴露安全盲点，需加强内存检查和行为分析防御能力。【外刊-阅读原文】

8. 新型YiBackdoor后门程序可执行任意命令并窃取敏感数据

新型恶意软件YiBackdoor威胁全球，具备高级功能如执行命令、窃取数据，并与已知恶意软件IcedID、Latrodectus存在代码重叠。其复杂注入技术和反分析能力显示威胁升级，当前可能处于开发阶段，预示未来更大规模攻击风险。【外刊-阅读原文】

9. 新型钓鱼攻击瞄准PyPI维护者，利用仿冒域名窃取凭证

PyPI维护者遭钓鱼攻击，攻击者伪造域名和邮件窃取凭证。欺诈邮件威胁账户暂停，链接指向虚假pypi-mirror.org。建议受害者立即改密并报告异常。开源基础设施成高价值目标，需保持警惕和共享警报。【外刊-阅读原文】

10. 超微BMC固件曝两处漏洞，恶意固件可绕过信任根安全机制

超微主板管理控制器固件曝两处漏洞（CVE-2025-7937/6198），攻击者可绕过签名验证机制植入恶意镜像，完全控制BMC系统。研究显示超微此前修复不彻底，硬件信任根安全声明存疑。【外刊-阅读原文】

优质文章推荐

1. Log4j远程代码执行漏洞——复现、分析

Apache Log4j2存在远程代码执行漏洞（2.0-2.14.1），攻击者可利用JNDI注入通过${jndi:ldap/rmi://恶意URL}触发恶意类加载，执行任意代码。漏洞核心在于日志记录未过滤用户输入，导致JNDI动态加载远程恶意类。【阅读原文】

2. 应急溯源专题：顽固挖矿病毒如何处理

公网Redis靶场因空口令被入侵植入挖矿病毒，通过修改ld.so.preload隐藏进程，利用chattr锁定文件。应急处理包括删除恶意脚本、计划任务、恢复文件权限，并发现攻击组织特征。提醒加强Redis安全配置。【阅读原文】

3. 记一次域渗透实战之heapddump深度利用到Gateway劫持获取域控的过程

通过端口扫描发现Spring应用漏洞，利用heap dump泄露获取数据库凭据，登录SSH后分析内网配置，劫持流量伪造服务，最终利用log_analyse.sh脚本漏洞提权至root。【阅读原文】

漏洞情报精华

1. 福建科立讯通信 指挥调度管理平台 logout.php SQL注入漏洞

https://xvi.vulbox.com/detail/1971141644656971776

2. 理正企业综合管理系统 ExecSQLScalarToString SQL注入漏洞

https://xvi.vulbox.com/detail/1971129375294361600

3. 浪潮云财务系统 PurBidSupplementSrv.asmx 任意文件读取漏洞

https://xvi.vulbox.com/detail/1971114640675049472

*本文内容收集自全球范围内的媒体与刊物，制作者对其完整性负责，但不对其真实性和有效性负责。

*标明为【外刊】的内容主要来源为英语国家的媒体与刊物，部分内容需要注册原链接平台账号后方可阅读。