攻击者正利用FortiSandbox三大漏洞发起攻击，未认证即可获取root权限

威胁攻击者正在积极利用Fortinet FortiSandbox平台的多个关键漏洞，过去24小时的实时攻击遥测数据已确认存在利用尝试。Defused安全团队标记了三个正被活跃利用的CVE漏洞，其中包括

揭秘Agent Tesla的隐蔽感染链

看似普通的付款回执附件，有时可能引发严重后果。近期观测到的一起攻击中，表面寻常的网络钓鱼邮件悄然触发了完整的恶意软件入侵，展示了Agent Tesla的高级感染链。这套精密攻击从用户点击到系统完全沦陷

新型Rokarolla安卓木马瞄准217款加密与银行应用

Zimperium旗下zLabs安全团队发现名为Rokarolla的新型安卓银行木马，该木马针对217款银行和加密货币应用，内置137条远程控制指令。攻击者通过这套指令可近乎完全控制受感染手机：窃取锁

朝鲜黑客将开发者工具转化为恶意软件投递渠道，攻击全球近百机构

网络安全研究人员发现两起恶意网络活动与朝鲜黑客组织Contagious Interview（又名Famous Chollima、HexagonalRodent和Void Dokkaebi）存在关联。P

LiteLLM漏洞链可致AI网关遭接管，泄露所有密钥与数据

Obsidian安全研究人员披露，通过串联三个漏洞，LiteLLM代理上的默认低权限账户可提升至完全管理员权限并在服务器上执行代码。LiteLLM是一款广泛部署的开源AI网关，通过兼容OpenAI的单

思科SD-WAN vManage漏洞遭0Day攻击，可提权至root

思科公司披露其Catalyst SD-WAN Manager（原vManage）存在一个重大安全问题，该漏洞目前正遭0Day攻击利用，引发全球企业网络环境的高度关注。Part01漏洞技术细节该漏洞编号

SHADOWBYT3$黑客组织宣称入侵任天堂窃取敏感数据

威胁情报来源显示，黑客组织SHADOWBYT3$宣称已入侵任天堂公司，窃取了约 859MB 的敏感内部数据。该事件最早发现于2026年6月13日，截至发稿时尚未得到验证。初步信息表明可能涉及员工相关信

上班蹲机房，下班回家继续：Steam上架了一款IT牛马模拟器

当下AI算力、数据中心成为全球科技圈顶流话题，一款小众模拟游戏意外出圈，在社交平台掀起热议。不少IT从业者调侃它是专属“牛马模拟器”，白天在机房值守运维，结束一天工作后，回家还要打开游戏继续装机、布线

俄黑客持续利用WinRAR漏洞攻击乌克兰，企业补丁安装率低成致命弱点

Part01已修复漏洞仍具杀伤力尽管漏洞修复已近一年，与俄罗斯有关联的攻击者仍在持续利用WinRAR漏洞成功攻击大量乌克兰机构。根据趋势科技最新报告，早在2025年7月WinRAR 7.13版本中修复

Wazuh CVSS 10分漏洞细节与PoC公开，可致日志系统遭恶意篡改

开源防御安全社区近日曝出一个重大安全漏洞。完整技术细节及可实际利用的概念验证代码已在网上公开。这个Wazuh CVSS 10分高危漏洞允许经过认证的端点直接操控中央日志存储系统。因此，任何正在测试该下

BugHunter：基于Claude及免费AI服务的漏洞赏金工具包

一款名为 BugHunter 的新型开源漏洞赏金工具包正受到安全研究社区的广泛关注。该工具基于 Anthropic 公司的 Claude Code 构建，现已扩展支持 Ollama 和 Groq 等免

APT28攻击方式升级：劫持路由器与云服务发动隐秘攻击

全球最具持久性的黑客组织之一找到了新的隐匿方式。这个被称为Fancy Bear（又称APT28，隶属于俄罗斯军事情报机构GRU第26165部队）的威胁组织正在悄然改变其网络攻击运作模式。Part01基

Splunk高危漏洞链可致云数据库遭零认证RCE攻击

Splunk Enterprise 曝出高危漏洞链，攻击者可通过配置不当的 PostgreSQL 辅助服务实现远程代码执行（RCE）。该漏洞编号为（CVE-2026-20253），CVSS评分达9.8

每周PDF资源：供应链武器化；大模型安全护栏；Zoho账户接管漏洞

Anthropic Fable 5与Mythos 5因越狱风险被美国政府封禁

2026年6月12日晚间，在美国政府颁布出口管制指令后，Anthropic公司已禁用其两款最先进的AI模型——Fable 5和Mythos 5。该指令要求该公司禁止任何外国公民（无论身处美国境内或境外

Arch Linux AUR遭供应链攻击，400+软件包被植入窃密木马

攻击者本周控制了Arch用户软件仓库（AUR）中400余个软件包，通过篡改构建脚本在编译主机上植入凭证窃取程序。该恶意程序为Rust编写的二进制文件，主要窃取开发者机密信息。当获取root权限时，还会

谷歌裁员顶级网络安全和威胁情报团队；Claude Mythos正在把Nday变成N-hour | FreeBuf周报

各位 Buffer 周末好，以下是本周「FreeBuf周报」，我们总结推荐了本周的热点资讯、一周好文，保证大家不错过本周的每一个重点！🔴 谷歌对顶级网络安全和威胁情报团队裁员🤖 Anthropic自曝

AI攻破谷歌系统，狂揽50万赏金，暴露1500个API中的隐藏漏洞

安全研究员brutecat披露，其构建的AI驱动模糊测试管道在三个月内从谷歌基础设施中发现了价值超50万美元的漏洞，暴露了隐藏在大约1500 个API中的系统性访问控制故障。Part01攻击路径剖析研

GoFlateLoader利用超大PE覆盖层绕过检测，全球33万用户遭信息窃取木马攻击

Part01新型加载器的传播机制一款名为GoFlateLoader的新型恶意软件加载器正在互联网上悄然传播，其独特之处不在于技术复杂性，而在于简单技巧的高效性。这款采用Go语言编写的加载器核心功能是解

法国政府加密通讯应用Tchap遭入侵，逾7.3万账户数据泄露

Part01单一账户沦陷导致公共频道信息外泄法国政府为公务员开发的加密通讯平台Tchap于6月7日遭入侵，法国网络安全机构ANSSI监测到此次攻击。入侵手段极为简单：攻击者通过攻陷某个用户账户获得平台

微软Exchange 0Day漏洞遭利用，攻击者通过邮件执行任意代码

微软已确认黑客正在积极利用本地部署Exchange Server中新发现的0Day欺骗漏洞（CVE-2026-42897）。攻击者只需发送一封武器化邮件，当受害者在浏览器中打开该邮件时，即可在Outl

AI引发漏洞潮来袭：微软紧急修复206个漏洞，含3个0Day及高危RCE

微软周二发布了针对其软件产品组合中206个安全漏洞的修复程序，创下历史新高，其中包括三个在发布时已公开披露的0Day漏洞。这206个漏洞中，39个被评级为"严重"，167个为"重要"，涵盖63个权限提

Anthropic新发模型Claude Fable 5快速被越狱

Anthropic于2026年6月9日发布了Claude Fable 5，这是其全新Mythos系列中首个公开可用的模型，也是公司迄今最强大的人工智能。该模型在软件工程、知识工作和视觉基准测试中表现卓

OpenClaw AI Agent在新型钓鱼攻击模拟中泄露敏感凭证

AI Agent正逐渐成为企业管理收件箱的核心工具，承担着信息分类、文件检索甚至代员工回复邮件等任务。研究人员现已证实，这些AI Agent与人类一样容易受到欺骗，有时甚至更容易中招。最新钓鱼攻击模拟

Splunk Enterprise曝高危漏洞，CVSS评分9.8

安全管理员需紧急修复Splunk Enterprise近日披露的多项高危漏洞。这些严重缺陷可能导致内部网络遭受毁灭性网络攻击，包括未授权文件篡改、严重跨站脚本（XSS）攻击以及深度系统入侵。Part0

Anthropic自曝：Claude Mythos可在数小时内将N-day漏洞武器化

Anthropic表示，其Claude Mythos Preview模型能够在数小时甚至几分钟内，构建出针对已知漏洞的可用攻击代码。该模型于今年4月初发布，被宣传为最具能力的AI前沿模型。从发布之初，

AI蠕虫可劫持企业网络，开源模型+漏洞组合攻击威胁升级

多伦多大学研究人员开发出一款由AI Agent驱动的计算机蠕虫原型，该蠕虫在模拟计算机网络中成功实现了跨系统自我复制。该蠕虫利用本地硬件运行的免费大型语言模型（LLM），通过组合利用新旧漏洞以及企业环

企业安全Spring框架曝高危漏洞，企业Java系统面临认证绕过与DoS攻击风险

Part01企业级Java集群部署面临多重威胁负责Java云生态系统的企业开发团队发布了关键软件更新。此次更新修复了影响多个核心组件的Spring框架高危安全漏洞，这些软件缺陷可能导致企业架构面临未经

MBS网关高危漏洞可致工业系统被劫持

MBS GmbH针对其工业通信设备发布紧急安全通告。多个MBS通用网关漏洞可能导致智能建筑外围系统面临未经认证的基础设施劫持风险。这些配置与编码异常影响运行V6_0_0_5及更早固件版本的多个现役产品

OWASP最新AI报告：自主AI打破安全边界，企业需紧急统一治理

近日，OWASP 发布了《代理式人工智能安全与治理现状 v2.01》报告。该报告是一份技术蓝图，旨在帮助安全团队应对生产环境中迅速增多的自主人工智能代理所带来的安全挑战。报告隶属于 OWASP 生成式