Meta漏洞频发，扎克伯格、姆巴佩等人隐私信息遭曝光

2026年6月6日，Meta旗下应用产品Instagram突发安全漏洞，导致包括Meta首席执行官马克·扎克伯格在内的多位知名用户隐私数据遭短暂泄露。该漏洞存在于Instagram网站密码重置功能中，

单字符Linux内核漏洞可本地提权至root，利用代码已公开

近期，安全研究人员对外公开了一个可实际利用的Linux内核漏洞利用代码。该漏洞属于释放后重用（use-after-free）类型，允许本地低权限用户提权至root并突破容器隔离。漏洞（CVE-2026

VMware 多个存储型XSS漏洞允许攻击者注入恶意脚本

近期，博通公司披露了三个影响VMware Cloud Foundation Operations及相关产品的存储型跨站脚本（XSS）漏洞（CVE-2026-41722、CVE-2026-41723 和

网络罪犯借2026世界杯疯狂钓鱼，AI诈骗规模空前

对网络犯罪而言，2026年FIFA世界杯不仅是足球盛会，更是一个千载难逢的商机。近期，威胁行为者正在大规模搭建假冒FIFA商店、创建钓鱼页面并实施购票诈骗，其规模之大已引起安全研究人员的密切关注。Pa

Hugging Face漏洞可致RCE攻击，全球AI供应链面临重大风险

最新披露的HuggingFace Transformers库关键漏洞（CVE-2026-4372）允许攻击者通过恶意模型配置文件实现远程代码执行（RCE），暴露了这一广泛使用的机器学习框架中存在的重大

Claude Code Github Action可能泄露CI/CD工作流漏洞

AI驱动的编码工具正迅速改变开发者构建与交付软件的方式。然而，随着这些工具融入日常开发流程，也为攻击者开辟了新的攻击路径。近期一款广泛使用的AI编码助手中曝出的漏洞，便充分展现了这一风险可能引发的严重

AI技能市场检测机制遭破解，恶意代码可轻松绕过扫描上传

ClawHub、Cisco 及 Vercel 等平台的AI skills扫描机制可被轻易绕过，导致恶意skills得以通过公共市场传播。这一发现揭示了Agent生态系统中日益严重的供应链风险：skil

谷歌对顶级网络安全和威胁情报团队裁员

谷歌已启动新一轮裁员，云业务部门受到波及，其中包括曼迪安特（Mandiant）等网络安全和威胁情报团队。此举表明，公司正将资源战略性重新分配至人工智能领域，这与大型科技公司当前的行业趋势一致。Part

黑客滥用可信工具攻击激增58%，21秒即可控制系统

网络犯罪分子发现了一种巧妙而危险的新方法来绕过防御系统。他们不再开发可能被安全软件标记的定制攻击工具，而是将日常系统工具武器化。这种转变正在重塑攻击方式，相关数据令人无法忽视。根据2026年第一季度网

每周PDF资源：AI辅助攻击解析；开源智能体Prempet；WPA2漏洞频现

美国NSA被曝用Claude Mythos展开网络攻击行动

美国国家安全局（NSA）正在将前沿AI模型引入网络攻击场景。据《金融时报》报道，NSA正在使用Anthropic的Claude Mythos模型，用于进攻性网络行动。更敏感的是，Anthropic还被

AI Agent发现FFmpeg 21个0Day漏洞；Chrome创纪录修复429处缺陷

本周接连发生两起重大安全事件。一家安全初创公司报告了 FFmpeg 媒体库中 21 个此前未知的漏洞，这些几乎存在于所有视频处理软件中的组件，其漏洞均由自主 AI Agent 发现。同一周，谷歌发布了

特朗普签署网络安全行政令；Codex UI工具窃取刷新令牌 | FreeBuf周报

各位 Buffer 周末好，以下是本周「FreeBuf周报」，我们总结推荐了本周的热点资讯、一周好文，保证大家不错过本周的每一个重点！🛡️ 特朗普签署网络安全专项行政令🔐 每周下载量超2.7万次的Co

黑客销售对Claude Mythos访问权限，Token价格惊人

新一代Anthropic模型已在受限测试渠道中现身，但该模型的早期分发在正式评估开始前便已遭到泄露。2026年6月3日，随着该模型标识符出现在Anthropic的Claude控制台中，并通过未经授权的

黑客窃取全球证券交易所高管邮箱数据，持续五个月未被发现

一家全球主要证券交易所的一名高管Outlook邮箱遭到不明攻击者入侵，其收件箱数据被分批次窃取，并通过Dropbox和OneDrive传输，整个过程持续至少五个月。攻击者刻意将数据流量伪装成正常的云服

Claude Code GitHub Action漏洞：恶意Issue可劫持代码仓库

近日，安全研究人员发现Anthropic公司Claude Code GitHub Action存在安全缺陷，攻击者仅需提交一个GitHub Issue就能接管运行该Action的公共仓库。由于Anth

Python恶意软件窃取浏览器密码、Cookie、文件及键盘记录

一款名为SolyxImmortal的新型Python恶意软件被发现正在窃取受感染Windows系统中的浏览器密码、Cookie、敏感文件和键盘记录。该恶意软件利用知名Python库和多线程技术同步执行

漏洞实际价值“大众点评”，微信社群与小程序同步上线

从“能用”到“放心用”：腾讯云邀您共探AI Agent安全破局之道

随着智能体加速进驻企业核心业务，一场关于“信任”的安全变革已然到来。身份失控，AI代码安全，数据泄露，Token滥用，供应链投毒等新型风险正悄然重塑安全边界。传统防护体系在Agent自主决策面前频频失

AI发现Redis存在两年的远程代码执行漏洞，云环境面临严重安全风险

一款专为大型代码库寻找漏洞而构建的自主 AI 工具，发现了 Redis 阻塞客户端代码中的 "释放后使用" 漏洞。该漏洞允许经过身份验证的用户在数据库主机上执行任意操作系统命令，目前 Redis 已完

Windows搜索漏洞致NTLMv2哈希泄露，微软尚未进行修复

Windows搜索URI处理程序中新发现的漏洞仅需用户点击链接，即可将NTLMv2哈希静默泄露至攻击者控制的服务器。该漏洞与Snipping Tool中的（CVE-2026-33829）属于同类漏洞，

特朗普签署网络安全专项行政令

美国总统唐纳德·特朗普签署了一项旨在加强网络防御的行政命令，为联邦政府与先进人工智能模型开发者之间的合作建立自愿性框架。此举重启了他在两周前突然叫停的综合性AI计划中的部分内容。行政令名为《促进先进人

Anthropic扩大“玻璃翼计划”项目范围，向150家新机构开放Claude Mythos预览版

人工智能公司Anthropic大幅扩展了其AI驱动的协作式网络安全计划“玻璃翼计划”（Project Glasswing）的覆盖范围，将Claude Mythos预览版的访问权限授予约150家新机构。

HTTP/2炸弹攻击可秒级耗尽服务器内存，影响主流Web服务

一种名为"HTTP/2 炸弹"的新型远程拒绝服务漏洞被披露，该漏洞针对全球部署最广泛的Web服务器（包括 nginx、Apache httpd、Microsoft IIS、Envoy和Cloudfla

安卓0day漏洞遭利用，攻击者可完全控制设备

一项关键的安卓0Day漏洞正被用于针对性攻击，威胁行为者无需用户交互即可近乎完全控制受影响设备。该漏洞编号为（CVE-2025-48595），在2026年6月的安卓安全公告中被重点提及，谷歌确认已出现

SpaceX工程师用AI揪出19年Linux漏洞，攻击者可伪造认证获取root权限

近期，SpaceX安全工程师利用AI发现了一个潜藏19年之久的Linux逻辑缺陷——CIFSwitch漏洞。攻击者可借助此漏洞，伪造CIFS认证密钥获取root权限。Part01影响Mint、Cent

Meta AI客服漏洞致价值百万美元的Instagram账号遭劫持

Meta旗下Instagram的AI客服机器人存在关键逻辑漏洞，攻击者无需破解验证码，仅需向机器人索要访问权限即可完全绕过双重认证机制。上周末，高价值的"OG"短用户名账号、休眠机构账户及认证资料在数

Android银行木马伪装热门应用，窃取全球180+金融账户凭证

近期，全球网络安全研究人员发现了针对国际消费者的大规模移动欺诈活动。这一危险行动表明，Android银行木马威胁正在西方市场快速扩张。Cyble研究与情报实验室（CRIL）发现该恶意软件通过伪装下载链

Flowise高危漏洞可致远程代码执行，企业AI系统面临严重威胁

开源轻量级AI平台Flowise的自托管部署中，其Model Context Protocol（MCP）标准输入输出服务器实现存在严重漏洞，攻击者可借此实现远程代码执行（RCE）。该漏洞CVSS评分高

每周下载量超2.7万次的Codex UI工具暗中窃取OpenAI刷新令牌

2026年5月27日，Aikido Security公开披露了关于恶意npm包codexui-android的研究。这款广受移动开发者欢迎的软件工具被证实会窃取身份验证令牌。该工具是OpenAI Co