苹果0Day漏洞遭利用，针对特定iPhone用户发起复杂攻击
苹果公司修复了两个WebKit 0Day漏洞，这些漏洞已被用于针对运行iOS 26之前版本的特定iPhone用户发起复杂攻击。2025年12月12日发布的iOS 26.2和iPadOS 26.2更新修
阅读全文React再曝新高危漏洞，可致拒绝服务攻击与源代码泄露
在修复关键远程代码执行（RCE）漏洞不到一周后，React 团队又披露了影响 React Server Components（RSC）的三个新增安全缺陷。安全研究人员在尝试绕过此前"React2She
阅读全文FreeBuf周报 | 大学生出售Webshell入侵5200余政府教育网站；Notepad++漏洞可被利用劫持更新植入恶意软件
各位 Buffer 周末好，以下是本周「FreeBuf周报」，我们总结推荐了本周的热点资讯、一周好文，保证大家不错过本周的每一个重点！🧑🏫大学生为赚学费出售"白码"无检测Webshell，已入侵52
阅读全文军用级ValleyRAT失控：内核Rootkit构建工具泄露引发全球攻击激增
一款曾用于定向间谍活动的高级网络武器现已失控——其构建工具公开泄露后，该恶意软件正在全球威胁环境中迅速扩散。Check Point Research（CPR）最新报告显示，被称为Winos的模块化后门
阅读全文赠书福利 | 《白话AI安全：32个故事带你读懂AI的攻防博弈》免费送
关注我们丨文末赠书如今，AI已为人类的生活带来巨大的改变，我们在享受着AI带来便利的同时，却很少想过：如果它失控怎么办？诺贝尔物理学奖、图灵奖得主，“AI教父”杰弗里·辛顿（Geoffrey Hint
阅读全文紧急补丁：Notepad++ WinGUp漏洞可被利用劫持更新植入恶意软件
安全研究人员近日在开源文本及代码编辑器Notepad++中发现漏洞，攻击者可借此在特定地区劫持网络流量、污染更新过程，从而在受影响设备上安装恶意软件。该漏洞已在Notepad++ v8.8.9版本中完
阅读全文新型ClickFix攻击：macOS信息窃取木马利用ChatGPT官网传播
网络安全研究人员发现一种针对macOS用户的新型攻击活动，攻击者通过ChatGPT官方网站传播恶意软件。该攻击采用名为ClickFix的技术，在合法域名chatgpt.com上发布虚假安装指南来传播A
阅读全文FreeBuf培训站，带这两个标签的课，可以放心选！
上新啦细心的师傅们可能已经发现，近期FreeBuf培训站的课程页面，出现了一些新变化。我们为课程新增了「平台赔付保障」与「信誉讲师」两大核心标签。这不是简单的页面美化，而是一套我们深思熟虑后推出的 “
阅读全文公共组件的安全管理经验分享；网络安全法等法规的合规落地探讨 | FB甲方群话题讨论
各位 Buffer 晚上好，FreeBuf 甲方群话题讨论第260期来了！FB甲方社群不定期围绕安全热点事件、前沿技术、运营体系建设等话题展开讨论，Kiki 群助手每周整理精华、干货讨论内容，为您提供
阅读全文Windows PowerShell 0Day漏洞可导致攻击者执行恶意代码
微软已发布安全更新，修复一个危险的Windows PowerShell漏洞（CVE-2025-54100），该漏洞允许攻击者在受影响系统上执行恶意代码。该漏洞于2025年12月9日公开披露，对全球企业
阅读全文React2Shell漏洞遭大规模利用：攻击者投放加密货币挖矿程序与新型恶意软件
根据Huntress最新研究，React2Shell漏洞正持续遭到大规模利用，攻击者通过React Server Components（RSC）中的高危安全缺陷投放加密货币挖矿程序及多个此前未记录的恶
阅读全文Gemini零点击漏洞可致攻击者窃取Gmail、日历及文档数据
Google Gemini Enterprise（前身为Vertex AI Search）中存在一个被命名为"GeminiJack"的高危零点击漏洞，攻击者可借此轻松窃取Gmail、日历和文档中的企业
阅读全文利用AI自动化工具发现零检测的GhostPenguin后门攻击Linux服务器
Part01新型Linux后门程序被发现研究人员发现了一个名为GhostPenguin的Linux后门程序，该恶意软件在过去四个月中成功规避了安全检测。这款采用C++编写的多线程恶意软件通过加密UDP
阅读全文朝鲜黑客组织利用React2Shell漏洞部署新型EtherRAT恶意软件
与朝鲜有关联的黑客组织近期开始利用React服务器组件（RSC）中新披露的关键安全漏洞React2Shell，部署一种此前未公开记录的远程访问木马EtherRAT。云安全公司Sysdig在周一发布的报
阅读全文Burp Suite扫描工具新增关键React2Shell漏洞检测能力
PortSwigger公司通过最新升级ActiveScan++扩展，增强了Burp Suite的扫描能力，新增了对关键React2Shell漏洞（CVE-2025-55182和CVE-2025-664
阅读全文AI安全的“上海时刻”：GDPS这场前沿交锋至关重要
我们已站在AI的“转折元年”。智能体正走出虚拟，深入现实，从工具演化为能够直接干预物理世界的“行动者”。然而智能体的“反噬”，往往只源于一个未被察觉的漏洞。技术越前进，风险越迫近。一个根本命题已然浮现
阅读全文三大关键能力，让 XDR 从“看到攻击”变成“搞定攻击”
过去几年，你可能已经听烦了各种安全术语：EDR、XDR、SOC、AI 检测、NDR、All-in-One……但很多安全负责人心里其实只有一个问题：“这些东西，到底能不能真正帮我挡得住攻击、少掉点坑？”
阅读全文大学生为赚学费出售"白码"无检测Webshell，已入侵5200余个政府/教育网站
安全研究人员发现了一起规模庞大的僵尸网络活动，其幕后黑手并非国家资助的APT组织，而是一名试图赚取学费的孟加拉国大学生。Cyderes Howler Cell逆向工程团队的最新报告详细披露了"白码"（
阅读全文英伟达与Lakera AI联合提出AI Agent系统安全统一框架
随着人工智能系统自主性不断增强，其与数字工具及数据的交互能力带来了复杂的新型风险。英伟达与Lakera AI的研究人员合作发表最新论文，针对这类先进"Agentic"系统的安全性提出统一框架，旨在解决
阅读全文Dscan：全方位自动化攻击面管理与漏洞扫描平台
在企业安全建设中，攻击面管理（ASM）一直是防御体系的第一道防线。如何快速发现暴露在公网的资产，并及时检测其中潜藏的漏洞，是安全团队面临的日常挑战。不过现在不用担心，Dscan 能解决这些问题。Dsc
阅读全文Next.js发布扫描工具，可检测并修复受React2Shell漏洞影响的应用
Next.js近日发布了名为fix-react2shell-next的专用命令行工具，帮助开发者快速检测并修复高危"React2Shell"漏洞（CVE-2025-66478）。这款新型工具提供单行命
阅读全文智能汽车遭远程锁死，俄罗斯数百辆保时捷出现大规模瘫痪
Part01卫星安全系统故障致数百辆保时捷瘫痪俄罗斯数百名车主和经销商报告称，由于原厂安装的卫星安全系统发生故障，导致当地大批保时捷车辆无法正常行驶。据经销商集团Rolf透露，多个俄罗斯城市的驾驶员报
阅读全文高危lz4-java漏洞可能导致敏感数据泄露（CVE-2025-66566）
广泛使用的LZ4压缩算法Java库lz4-java近日被发现存在一个高危漏洞。该漏洞编号为CVE-2025-66566，其CVSS评分为8.2，表明其对数据机密性构成重大威胁。攻击者可以利用该漏洞诱骗
阅读全文215万台运行Next.js的Web服务暴露于互联网，CVSS10分漏洞需紧急修复
12月3日，React披露了编号为CVE-2025-55182的关键漏洞，该漏洞存在于React服务器组件中，其CVSS评分为满分10分。漏洞源于React服务器组件所使用的“Flight”协议中存在
阅读全文Cursor等AI编程工具曝30余项漏洞，可导致数据窃取与远程代码执行
近期，研究人员在各类人工智能（AI）集成开发环境（IDE）中发现了三十多个安全漏洞。这些漏洞能够将提示词注入攻击手法与IDE的合法功能相结合，从而实现数据窃取与远程代码执行。Part01漏洞概述：攻击
阅读全文念古诗绕过AI安全护栏：25款顶尖模型栽跟头，模糊语义成安全大漏洞
Part01一首诗 “放倒” AI 安全墙？危险内容竟能轻松获取对人类来说，诗歌有时是 “猜不透的艺术”，可最新研究发现，AI 遇上诗歌也会 “犯迷糊”！来自德克萨伊伦理 AI 公司伊卡洛斯实验室、罗
阅读全文Cloudflare全球服务中断事件溯源：React漏洞修复适得其反
Part01全球网络突发中断Cloudflare 全球网络今晨因 Web 应用防火墙（WAF）内部变更引发短暂但大规模服务中断，持续时间约 25 分钟。此次变更旨在应对 React Server Co
阅读全文FreeBuf周报 | 高通骁龙8 Gen3曝出高危漏洞；核弹级React远程代码执行漏洞
各位 Buffer 周末好，以下是本周「FreeBuf周报」，我们总结推荐了本周的热点资讯、一周好文，保证大家不错过本周的每一个重点！📶启动过程遭入侵：高通骁龙8 Gen3及5G调制解调器曝出高危漏洞
阅读全文黑客可在数秒内劫持行车记录仪并将其武器化为攻击工具
行车记录仪已成为全球驾驶员必备设备，可作为交通事故或道路纠纷的可靠见证。然而，新加坡网络安全研究团队发现了一个令人不安的事实：这些看似无害的设备可在数秒内被劫持，转变为强大的监控工具。Part01漏洞
阅读全文