/
苹果发布首个后台安全更新修复WebKit漏洞
苹果发布首个后台安全更新，修复WebKit浏览器引擎中的CVE-2026-20643漏洞。该漏洞影响同源策略安全机制，恶意网页内容可能绕过该策略访问其他网站数据。漏洞可能导致攻击者查看其他浏览器标签页数据，窃取凭据或敏感信息。后台安全更新是苹果新推出的轻量级安全发布机制，可在常规软件更新间隙快速部署安全补丁，无需完整系统更新。
思科发布紧急补丁修复防火墙关键漏洞
思科发布了影响其防火墙产品的大规模安全补丁，修复了防火墙管理中心软件中两个满分10分的严重漏洞。此次更新涵盖25个安全公告，修复48个CVE漏洞。其中CVE-2026-20079和CVE-2026-20131最为严重，分别涉及身份验证绕过和不安全反序列化问题，可让攻击者获得未授权的根访问权限。思科表示目前尚无有效的临时解决方案，建议管理员立即安装补丁并确保管理接口不暴露在公网上。
思科警告两个新的SD-WAN漏洞遭恶意利用
思科确认攻击者正在利用Catalyst SD-WAN Manager中的两个新漏洞进行攻击。CVE-2026-20122漏洞（CVSS评分7.1）允许经过身份验证的远程攻击者覆写本地文件系统中的任意文件，CVE-2026-20128漏洞（CVSS评分5.5）可能让本地攻击者获得数据收集代理用户权限。思科强烈建议客户立即升级到修复版本。
Cisco确认两个Catalyst SD-WAN Manager漏洞遭到恶意利用
思科披露其Catalyst SD-WAN Manager存在两个正遭受野外积极攻击的安全漏洞。CVE-2026-20122漏洞允许经认证的远程攻击者覆写任意文件，CVE-2026-20128漏洞可让本地攻击者获取DCA用户权限。思科已在上月发布补丁修复这些漏洞，建议用户立即更新至修复版本，并采取限制网络访问、部署防火墙保护等安全措施。
Android芯片零日漏洞遭活跃攻击
谷歌警告，高通芯片组中的零日漏洞CVE-2026-21385正遭到野外主动利用。该漏洞影响超过200种芯片组，可导致内存损坏和系统控制权被夺取。虽然已有修复程序，但设备制造商和运营商的更新延迟使企业面临风险。同时，谷歌发现针对苹果iOS设备的Coruna攻击套件，包含23个漏洞利用程序，被用于乌克兰水坑攻击等活动。
n8n工作流自动化工具再曝严重漏洞，可绕过12月补丁
流行工作流自动化工具n8n披露多个新的严重安全漏洞，攻击者可利用这些漏洞劫持服务器、窃取凭证并破坏AI驱动的业务流程。漏洞编号为CVE-2026-25049，CVSS评分高达9.4分，源于n8n在处理工作流表达式时的清理机制缺陷。该漏洞可绕过此前12月修复的CVE-2025-68613补丁。安全研究人员警告，由于自动化平台通常处理敏感数据和AI服务凭证，成功利用该漏洞可能导致更广泛的安全影响。
思科修复邮件网关产品中持续7周的零日漏洞
思科本周终于修复了邮件安全网关中的严重零日漏洞CVE-2025-20393，该漏洞自12月以来一直威胁客户安全。漏洞影响运行AsyncOS软件的安全邮件网关产品，当垃圾邮件隔离功能开启并暴露在互联网时，攻击者可获得root权限控制设备，CVSS评分达到满分10分。思科12月10日发现漏洞时已被中国黑客组织利用，但直到七周后才发布补丁。
StackWarp硬件漏洞破解AMD SEV-SNP保护机制
德国研究人员发现AMD处理器新硬件漏洞StackWarp，影响Zen 1至Zen 5架构。该漏洞可让攻击者在机密虚拟机内执行恶意代码，破坏AMD SEV-SNP安全保护。漏洞编号CVE-2025-29943，通过操控栈指针实现控制流劫持和权限提升。AMD已发布微代码更新修复，建议用户及时安装并考虑临时禁用超线程技术。
趋势科技Apex Central关键远程代码执行漏洞CVSS评分9.8
趋势科技发布安全更新修复Windows版Apex Central本地部署版本中的多个安全漏洞，包括一个可导致任意代码执行的严重漏洞CVE-2025-69258，CVSS评分高达9.8分。该漏洞影响LoadLibraryEX功能，攻击者可利用此漏洞在系统权限下执行恶意代码。此次还修复了两个可导致拒绝服务的漏洞CVE-2025-69259和CVE-2025-69260。
CISA警告HPE OneView和微软Office漏洞正被活跃利用
CISA将两个安全漏洞列入活跃利用清单，包括HPE OneView管理软件中的满分严重漏洞CVE-2025-37164和微软Office中存在15年之久的PowerPoint代码注入漏洞CVE-2009-0556。HPE OneView漏洞可导致代码注入执行，攻击者可能获得环境完全控制权。尽管微软早在2009年就修复了PowerPoint漏洞，但未打补丁的系统仍在被成功攻击，表明新旧漏洞都面临现实威胁。
n8n自动化平台严重漏洞可让攻击者完全控制服务器
流行的自动化平台n8n被发现存在最高严重级别安全漏洞，影响约10万台服务器。该漏洞CVSS评分达10.0满分，攻击者无需登录即可完全控制受影响系统。漏洞源于n8n处理webhook时的"内容类型混淆"问题，攻击者可通过操控HTTP头部覆写内部变量，进而读取任意文件并执行远程代码。用户需立即升级至1.121.0或更高版本。
京公网安备 11010802021500号
