资讯
共 135 条更新于 2026-11-10 07:45RSS
11 月 9 日昨天 · 周一
AWS 用 AI 智能体分诊内核 CVE，人工审查不可少
亚马逊云科技工程师在 LPC 介绍 Linux 内核 CVE 处理流程：脚本先过滤约 70%，再由 AI 智能体分类，两名工程师复核；团队称不会把安全全押在 LLM 输出上。
0sec Labs 开源 AI 安全框架 0：Web/CLI/MCP 三入口
苏黎世 0sec Labs 以 MIT OR Apache-2.0 开源 AI 安全测试框架 0（研究预览版），可在授权目标上做漏洞挖掘、代码审计、渗透、逆向与修复生成；提供本地浏览器控制台、CLI 与 MCP 服务器，自带 LLM，共 14 家供应商，无需 GPU。
AI挖出400余Linux root零日，平均2.5小时一个
OpenAI实验让模型对Linux提权，找到400多个本地到root的0-day，平均2.5小时交付一个；GPT-6 Cyber对内核948个漏洞产出可用利用。防守方面临机器速度与会议速度的落差。
11 月 7 日周六
11 月 6 日周五
11 月 5 日周四
11 月 4 日周三
10 月 29 日周四
Linux 内核 TCP 漏洞评分 9.8：Ubuntu 与 RHEL 尚未发布修复
IPv4 TCP 建连代码里的竞态条件漏洞 CVE-2026-98432 可导致 use-after-free，内核 CVE 团队给出 9.8 分（满分 10）。
Telegram 安卓版通话漏洞已修复：接听语音电话可能导致手机被接管
NebuSec 披露 Telegram for Android 的一个通话漏洞，与另外两个漏洞串联后，受害者接听语音通话就可能失去对手机的控制。攻击者只需要一个普通 Telegram 账号。
PDF 说好的 AES-256，MuPDF 实际只有 9 位随机性：枚举即可无密码解密
多款 PDF 实现宣称用 AES-256 加密文件，但生成 32 字节文件密钥的随机源经不起推敲，密码保护在这一环被绕开。
10 月 28 日周三
10 月 26 日周一
10 月 23 日周五
10 月 22 日周四
10 月 21 日周三
Langchain-Chatchat 的 /tools/call 无需鉴权，可直接执行 shell 命令（CVSS 9.8）
CVE-2026-75128：0.3.1.3 及之前版本的 /tools/call 不需要认证即可按名字调用任意已注册工具，而 shell 工具默认常驻，等同于远程命令执行，攻击路径完全绕开模型。
8 张 eMudhra 中间证书私钥泄露：可伪造任意域名证书，Cloudflare 连夜打补丁
10 月 19 日 17:00 UTC，Cloudflare 确认 8 张 eMudhra 中间证书的私钥被攻破，密钥本身偏弱，攻击者能为任意域名签发伪造证书。目前未发现在其服务上被实际利用。