万兴易修曝出两大高危漏洞，可导致数据泄露以及AI模型被修改
网络安全研究人员在万兴易修中发现两个安全漏洞，可能导致用户隐私数据泄露，并使系统面临人工智能（AI）模型篡改和供应链攻击风险。Part01高危漏洞技术细节趋势科技发现的两个关键漏洞分别为：（CVE-2
阅读全文Chromium内核浏览器存严重缺陷，攻击者可通过加载任意扩展程序入侵
包括Chrome、Edge和Brave在内的Chromium内核浏览器，通过存储在%AppData%\Google\User Data\Default\Preferences（域加入机器）或Secur
阅读全文Linux内核ksmbd漏洞允许远程攻击者执行任意代码（CVE-2025-38561）
Part01漏洞概述Linux内核的ksmbd SMB服务器实现中被披露存在一个高危漏洞，可能允许经过身份验证的远程攻击者在受影响系统上执行任意代码。该漏洞编号为CVE-2025-38561，CVSS
阅读全文一加手机OxygenOS存在权限绕过漏洞，攻击者可窃取短信并绕过MFA保护
Rapid7研究人员披露了一加OxygenOS（一加专为海外市场开发的Android系统）中存在的一个关键权限绕过漏洞，CVE编号CVE-2025-10184。该漏洞允许受影响设备上安装的任何应用程序
阅读全文2025外滩大会YASA开源发布：打造多语言统一程序分析引擎
开放式统一多语言程序分析产品YASA（Yet Another Static Analyzer ）是一个开源的静态程序分析项目。其核心是定义了一种多语言通用的中间表达——统一抽象语法树（Unified
阅读全文攻击者利用IMDS服务获取云环境初始访问权限
威胁行为者正在操纵实例元数据服务（Instance Metadata Service，IMDS）——这个旨在安全地为计算实例提供临时凭证的核心组件，以渗透和遍历云基础设施。通过诱导未设防的应用程序查询
阅读全文Zloader木马再次升级：通过DNS隧道和WebSocket C2实现更隐蔽的攻击
沉寂近两年后，Zloader（又名Terdot、DELoader或Silent Night）携新版本卷土重来，其反分析、混淆及命令控制（C2）能力均显著增强。Zscaler ThreatLabz研究人
阅读全文Chrome高危类型混淆0-Day漏洞，可导致远程代码执行
Part01漏洞概述Google Chrome浏览器的V8 JavaScript引擎曝出关键类型混淆0-Day漏洞（CVE-2025-10585），这是2025年发现的第六个已被活跃利用的Chrome
阅读全文蚂蚁集团“切面融合智能”项目获评2025年浙江省网络安全优秀案例、入选2025年人工智能先锋案例
近期，蚂蚁集团“切面融合智能”相关项目接连获得行业认可，“切面融合智能在网络安全领域的应用”获评2025年浙江省网络安全优秀案例，“密态切面融合智能威胁检测系统“入选2025年人工智能先锋案例“AI+
阅读全文22.2Tbps DDoS攻击再次刷新网络攻击世界纪录
Cloudflare近日宣布成功自动拦截了有史以来最大规模的分布式拒绝服务（DDoS）攻击。这次超大规模攻击峰值达到创纪录的22.2Tbps带宽和每秒106亿个数据包，为网络威胁规模树立了新的危险标杆
阅读全文Steam游戏成为恶意软件载体，以补丁更新形式入侵玩家电脑
Part01游戏补丁暗藏恶意程序一款针对热门2D平台游戏《BlockBlasters》的看似无害的补丁更新，近期被证实为精心设计的恶意软件攻击活动，导致数百名Steam用户面临数据窃取和系统入侵风险。
阅读全文Cake工具评测：资产收集能力远超OneForAll，附魔后更是强得无边
前言在红队行动中，资产收集是否全面、是否高效，常常会直接影响后续的工作成效。Cake正是在这方面表现突出的一款工具，帮助我们更好地完成资产收集。要怎么做？只需输入公司名或域名，一键完成自动化资产收集与
阅读全文数据库成为突破口：勒索软件攻击暴露的Oracle服务器
网Yarix事件响应团队（YIR）发布了一份针对性入侵的深度分析报告，攻击者利用暴露的Oracle数据库调度程序功能获取了企业基础设施的访问权限。Part01攻击始于数据库暴力破解攻击最初表现为针对O
阅读全文Unicode漏洞“BiDi Swap”十年未修复，仍被用于实施网址欺骗
Varonis威胁实验室团队发布了一份令人警醒的报告，揭露现代浏览器处理混合文本方向时存在的一个持续十年以上的漏洞。这种被称为BiDi Swap的缺陷，允许攻击者伪造看似合法实则暗中重定向受害者的欺诈
阅读全文攻击者利用GitHub Pages向macOS用户大规模投放窃密木马
网络安全研究人员发现一起针对 macOS 用户的复杂网络攻击活动，攻击者利用 GitHub Pages 分发臭名昭著的 Atomic 窃密木马。该攻击团伙通过搜索引擎优化（SEO）技术，使恶意代码仓库
阅读全文首款集成GPT-4的恶意软件MalTerminal，可动态生成勒索软件与反向Shell
网络安全研究人员近日发现迄今为止已知最早集成大语言模型（LLM）能力的恶意软件样本。SentinelOne旗下SentinelLABS研究团队将其命名为MalTerminal，相关发现已在LABSco
阅读全文TP-Link路由器零日漏洞遭利用，攻击者成功绕过ASLR防护机制
TP-Link路由器近日曝出编号为CVE-2025-9961的严重零日远程代码执行（RCE）漏洞。安全研究机构ByteRay已发布概念验证（PoC）利用代码，证实攻击者可通过该漏洞绕过地址空间布局随机
阅读全文微软Entra ID漏洞暴露云身份信任模型缺陷
安全研究人员近日披露微软Entra ID（原Azure Active Directory）存在一个高危漏洞（CVE-2025-55241），攻击者可借此伪装成任意租户中的任何用户（包括全局管理员），且
阅读全文FreeBuf周报 | 新供应链攻击波及40余npm软件包；苹果紧急修复ImageIO零日漏洞
各位 Buffer 周末好，以下是本周「FreeBuf周报」，我们总结推荐了本周的热点资讯、一周好文，保证大家不错过本周的每一个重点！⛓️💥新供应链攻击波及npm仓库，40余个软件包遭篡改🍎苹果紧急
阅读全文新型iOS视频注入工具可绕过越狱iPhone的生物识别验证
Part01新型攻击工具浮出水面iProov威胁情报团队发现了一款针对越狱iOS设备的新型复杂攻击工具，标志着数字身份欺诈能力出现重大升级。该工具专门设计用于对iOS 15及更高版本设备实施高级视频注
阅读全文针对ChatGPT的"零点击"数据窃取攻击，波及Gmail等多应用
Part01ShadowLeak攻击技术分析Radware安全研究人员发现了一种针对ChatGPT的服务器端数据窃取攻击，命名为ShadowLeak。专家在ChatGPT的Deep Research（
阅读全文从"沙虫"自复制恶意软件发起的npm供应链大攻击中汲取的教训
2025年9月，JavaScript生态系统遭遇了有史以来最复杂、破坏性最强的供应链攻击之一。代号为"沙虫"(Shai-Hulud)的新型自复制蠕虫感染了超过477个npm软件包，成为npm注册表历史
阅读全文Cloudflare API服务中断事件分析：React useEffect漏洞引发级联故障
Cloudflare 近日发布详细事故报告，披露2025年9月12日导致其控制面板和API服务中断超过一小时的重大故障。经调查，此次事件源于控制面板软件漏洞与服务更新的叠加效应，最终引发关键内部系统的
阅读全文宝马集团疑遭Everest勒索软件攻击，大量内部文件据称失窃
Part01攻击事件概括臭名昭著的 Everest 勒索软件团伙近日将宝马汽车集团（Bayerische Motoren Werke AG）列为高价值目标，声称已从这家德国汽车制造商窃取大量关键内部文
阅读全文白色鼠标JS课程开课倒计时五天，手把手教你挖出"第一桶金"！
通过之前的科普，很多师傅已经了解到前端JS漏洞是一个巨大的宝藏，也有不少的师傅已经开始在搜索前端挖洞秘籍，学了一些基础内容，但当你摩拳擦掌准备动手时，现实却给了你沉重一击！科普文章指路👉3个月狂揽70
阅读全文苹果紧急修复ImageIO零日漏洞，攻击事件已获实证
苹果公司近日发布两项系统更新，用于修复ImageIO框架中一个可能已被用于定向攻击的零日漏洞（zero-day vulnerability）。编号为CVE-2025-43300的漏洞在iOS 16.7
阅读全文Chrome紧急更新：V8引擎零日漏洞已被野外利用
Google已针对Windows和Mac系统发布140.0.7339.185/.186版本，Linux系统发布140.0.7339.185版本的稳定通道更新，修复了四个高危安全漏洞。其中最值得关注的是
阅读全文CrowdStrike推出AI驱动新工具，聚焦补丁管理与威胁情报短板
网络安全公司CrowdStrike Holdings Inc.在今日举行的Fal.Con 2025大会上发布了两款新产品：基于IT风险的Falcon补丁管理（Falcon for IT Risk-ba
阅读全文新供应链攻击波及npm仓库，40余个软件包遭篡改
Linux内核的KSMBD（SMB Direct）子系统中发现一个拒绝服务漏洞，已在开源社区引发广泛关注。该漏洞编号为CVE-2025-38501，远程攻击者无需认证即可通过利用内核处理半开TCP会话
阅读全文