全球网安事件速递

1. 谷歌Chrome紧急更新：修复WebGPU与V8引擎高危内存破坏漏洞

谷歌紧急推送Chrome安全更新，修复WebGPU和V8引擎中的高危内存破坏漏洞（CVE-2025-14765/14766），可能导致任意代码执行或数据泄露。建议所有用户立即更新至143.0.7499.146+版本。【外刊-阅读原文】

2. 暗网Omertà市场因真实服务器IP泄露被迫关停

暗网平台Omertà Market因技术缺陷迅速关闭，暴露运营者忽视安全，共享基础设施导致匿名性瓦解，凸显业余运营将利润置于技术严谨之上的风险。【外刊-阅读原文】

3. 微软详解React2Shell漏洞缓解措施：React Server Components存在远程代码执行风险

微软发布React2Shell高危漏洞（CVE-2025-55182）缓解方案，该漏洞允许攻击者通过恶意HTTP请求远程执行代码，已监测到针对Windows/Linux的成功攻击。漏洞源于React Server Components数据验证缺陷，攻击者可部署反向shell并窃取云凭证，威胁企业云环境安全。【外刊-阅读原文】

4. Windows Admin Center 漏洞（CVE-2025-64669）可导致攻击者提权

Windows Admin Center（WAC）曝出本地提权漏洞（CVE-2025-64669），影响2.4.2.1及更早版本。标准用户可写入高权限服务使用的目录，通过扩展卸载或DLL劫持获取SYSTEM权限。微软已确认漏洞并计划修复，建议用户及时更新。【外刊-阅读原文】

5. 亚马逊披露俄罗斯GRU长达数年的网络攻击行动：瞄准能源与云基础设施

俄罗斯黑客组织APT44在2021-2025年针对西方能源和云基础设施发起长期攻击，转向利用配置错误设备而非漏洞，通过凭证收集横向移动，目标包括北美和欧洲关键设施。亚马逊已中断相关攻击并建议加强边缘设备审核和认证监控。【外刊-阅读原文】

6. 大语言模型正加速勒索软件运营：功能工具与RaaS的融合

大语言模型（LLMs）正加速勒索软件犯罪，降低技术门槛，催生小型犯罪团伙，使攻击溯源更困难。攻击者利用LLMs生成钓鱼邮件、筛选数据并规避检测，如QUIETVAULT恶意软件通过本地LLMs智能窃取敏感资产，将AI工具武器化。【外刊-阅读原文】

7. NVIDIA发布关键AI安全补丁：Isaac Lab与NeMo框架漏洞可能导致任意代码执行

NVIDIA发布安全更新，修复Isaac Sim（CVSS 9.0）、NeMo框架（CVSS 7.3/7.8）和Linux Resiliency扩展（CVSS 8.4/7.8）的高危漏洞，涉及代码执行、权限提升等风险，用户需立即升级至最新版本。【外刊-阅读原文】

8. 俄罗斯GRU黑客组织Sandworm战术转型：弃用0Day漏洞转战边缘设备配置错误

俄罗斯黑客组织Sandworm转向攻击配置错误的网络设备，降低攻击痕迹，通过窃取凭证渗透西方关键基础设施。亚马逊确认其与GRU关联，主要针对能源和电信行业，采用被动监听策略扩大攻击范围。【外刊-阅读原文】

9. Windows Admin Center 权限漏洞（CVE-2025-64669）：文件夹配置错误导致攻击者可获取 SYSTEM 权限

微软Windows Admin Center曝高危漏洞CVE-2025-64669（CVSS 7.8），因系统文件夹权限配置不当，普通用户可篡改核心文件，通过DLL劫持和TOCTOU漏洞组合攻击提升至SYSTEM权限。微软已修复，建议立即更新至2411版。【外刊-阅读原文】

10. APT-C-35（又称DoNot）利用Apache HTTP响应特征维持基础设施活动

印度APT组织APT-C-35持续活跃，针对南亚关键目标。研究发现其服务器具有独特HTTP响应特征，如特定过期日期和缓存控制头部，可用于追踪检测。该发现提升了对国家支持型威胁的防御能力。【外刊-阅读原文】

优质文章推荐

1. 从“记住我”到“控制我”：Shiro默认密钥反序列化攻击详解

Apache Shiro 1.2.5以下版本存在反序列化漏洞，因RememberMe功能使用硬编码AES密钥（kPH+bIxk5D2deZiIxcaaaA==），攻击者可伪造Cookie触发恶意代码执行。漏洞利用需依赖目标系统的反序列化链，属条件性RCE。修复版本通过自定义ClassResolvingObjectInputStream拦截危险类。【阅读原文】

2. Fluxion工具制作钓鱼WI-FI

Fluxion是Kali Linux的无线渗透工具，利用双网卡实现解除认证攻击和钓鱼热点，通过伪造认证页面诱骗用户输入Wi-Fi密码。实验步骤包括扫描目标AP、抓取握手包、创建钓鱼热点，最终获取正确密码。【阅读原文】

3. 解析The 7th XCTF总决赛Three

解析三方安全多方计算CTF题目，通过秘密共享和协议分析，利用日志泄露的掩码和分片值，逆向推导出完整flag：flag{23snyau_sllpmxcz}，揭示MPC实现中的安全漏洞。【阅读原文】

*本文内容收集自全球范围内的媒体与刊物，制作者对其完整性负责，但不对其真实性和有效性负责。

*标明为【外刊】的内容主要来源为英语国家的媒体与刊物，部分内容需要注册原链接平台账号后方可阅读。