全球网安事件速递

1. GitHub Actions 提示注入漏洞波及多家《财富》500强企业

网络安全公司发现新型"PromptPwnd"漏洞，影响AI集成的CI/CD流水线，可导致密钥泄露。攻击者通过恶意指令操纵AI执行特权命令，已影响多家500强企业。建议限制AI工具集、净化输入并验证输出，提供免费扫描工具检测漏洞。【外刊-阅读原文】

2. 恶意 Rust 包瞄准 Web3 开发者窃取加密货币

恶意Rust包evm-units伪装成EVM工具窃取加密货币，下载超7000次后下架。其隐蔽执行脚本攻击Web3开发者，检测系统后静默感染，针对性极强。【外刊-阅读原文】

3. WebXR漏洞影响40亿Chromium用户，请立即更新浏览器

网络安全专家发现Chromium浏览器WebXR技术存在内存泄露漏洞，影响超40亿设备，可致数据泄露。Google24小时内推出修复方案，用户需立即更新浏览器至最新版本以防护。【外刊-阅读原文】

4. 高危级Splunk漏洞：Windows文件权限配置错误导致本地提权

Splunk Enterprise和Universal Forwarder在Windows系统存在高危漏洞（CVE-2025-20386/20387），错误配置目录权限导致非管理员可访问敏感文件。影响10.0.2/9.4.6/9.3.8/9.2.10以下版本，建议立即升级或使用icacls工具手动修复权限。【外刊-阅读原文】

5. NVIDIA Triton服务器修复两个高危DoS漏洞 或导致关键AI推理服务中断

NVIDIA发布Triton Inference Server安全公告，披露两个高危漏洞（CVE-2025-33211和CVE-2025-33201），攻击者可导致服务中断。建议Linux用户立即更新至r25.10版本修复漏洞。【外刊-阅读原文】

6. Apache HTTP Server 2.4.66修复SSRF漏洞（CVE-2025-59775）及Windows系统NTLM哈希泄露与sueexec绕过问题

Apache发布HTTP Server 2.4.66更新，修复五个安全漏洞，包括Windows环境SSRF泄露NTLM凭证和中危suexec隔离绕过问题，建议尽快升级以防范攻击风险。【外刊-阅读原文】

7. 高危级 Cacti 漏洞（CVE-2025-66399）存在通过 SNMP 团体字符串注入实现远程代码执行风险

Cacti曝高危漏洞CVE-2025-66399，SNMP团体字符串输入验证缺陷可致远程代码执行，攻击者能完全控制服务器。建议立即升级至1.2.29版本修复。【外刊-阅读原文】

8. PDF陷阱：Apache Tika核心组件曝出高危漏洞（CVE-2025-66516，CVSS 10.0）

Apache Tika曝出最高危XXE漏洞（CVE-2025-66516，CVSS 10.0），攻击者通过恶意PDF可攻陷服务器。漏洞源于核心组件处理XFA数据，影响Tika Core 1.13-3.2.1版本，必须升级至3.2.2以上。【外刊-阅读原文】

9. Patchwork APT组织部署StreamSpy木马 通过WebSocket流量隐藏C2指令实施隐蔽间谍活动

南亚APT组织Patchwork使用新型木马StreamSpy，通过WebSocket+HTTP协议隐藏恶意流量，针对亚洲政军目标。该木马伪装ZIP文件传播，具备多模块间谍功能，并与Donot组织存在技术关联。【外刊-阅读原文】

10. 朝鲜黑客设备LummaC2窃密木马“反杀”，牵涉Bybit交易所14亿美元加密货币盗窃案

朝鲜黑客设备意外感染恶意软件，暴露其与14亿美元Bybit加密货币盗窃案的关联，揭示国家资助黑客行动的资源共享机制，为安全研究提供罕见样本。【外刊-阅读原文】

优质文章推荐

1. 隐写术在渗透测试与攻防中的应用：从LSB到AI对抗

隐写术通过隐藏信息存在性进行秘密通信，常见于图像、音频等载体，利用LSB替换、AI生成等技术。防御需结合文件检测、网络分析和AI对抗，采用零信任理念，动态清洗可疑文件。【阅读原文】

2. CVE-2025-13223 Chrome V8 类型混淆漏洞完整研究报告

高危Chrome V8类型混淆漏洞CVE-2025-13223已被APT组织利用，影响26亿用户，可导致远程代码执行。Google紧急发布补丁，需立即更新至142.0.7444.175/176版本。【阅读原文】

3. 入侵检测 | Snort入侵检测规则编写

掌握Snort规则编写，包括规则头（动作、协议、IP/端口）和选项（如msg、content等），通过实验验证ICMP/UDP/TCP包的检测，如TTL值、端口范围及内容匹配，实现入侵报警与日志记录。【阅读原文】

*本文内容收集自全球范围内的媒体与刊物，制作者对其完整性负责，但不对其真实性和有效性负责。

*标明为【外刊】的内容主要来源为英语国家的媒体与刊物，部分内容需要注册原链接平台账号后方可阅读。