关键 NGINX 漏洞可致 Worker 崩溃，或允许远程代码执行
F5 已发布针对一处关键 nginx 缺陷的修复，远程未认证攻击者可利用精心构造的 HTTP 请求触发 worker 进程中的堆缓冲区溢出。CVE-2026-42533 于 7 月 15 日在 nginx 1.30.4（稳定版）、1.31.3（主线版）以及 NGINX Plus 37.0.3.1 中得到修补，使用更早版本的用户应尽快升级。触发该漏洞可导致 worker 崩溃或重启，引发拒绝服务；在 ASLR 被禁用或可被绕过的情况下，F5 表示其还可能允许远程代码执行。
SleeperGem 利用三个恶意 RubyGems 包攻击开发者机器
网络安全研究人员标记了一项针对 Ruby 生态系统的新软件供应链攻击，代号为 SleeperGem。三个恶意 gem 包被发布到 RubyGems，最终目的是投递额外有效载荷。这些恶意 gem 如下：git_credential_manager（版本 2.8.0、2.8.1、2.8.2、2.8.3，发布于 2026 年 7 月 18 日）；Dendreo（版本 1.1.3、1.1.4）。
以AI速度守护Microsoft：SFI如何主动强化我们的云
在Microsoft，我们将这些安全要求、威胁情报以及运营框架统一纳入安全未来倡议（SFI），用以指导一个良好防御的云服务应有的样子。然而，定义要求仅仅是开始，满足要求意味着需要以AI速度对我们的在生产环境中的服务进行持续评估。本文介绍了Microsoft构建的多智能体AI系统如何主动评估并强化我们的云基础设施，以匹配超大规模生产环境所需的AI速度、规模、深度和质量。
SonicWall SMA 零日漏洞在公开披露前遭利用以获取 Root 权限
一个此前未被记录的威胁行为者被认定，自 2026 年 6 月 22 日起，在 SonicWall Secure Mobile Access (SMA) 1000 系列 VPN 设备公开披露相关漏洞之前，便将其作为零日漏洞加以利用。网络安全公司 Volexity 将该活动追踪代号为 UTA0533。
新型 GoSerpent 恶意软件瞄准东南亚政府与外交人员实施间谍活动
网络安全研究人员发现一款此前未被记录的恶意软件 GoSerpent，自 2025 年末起被用于针对东南亚实体的网络攻击，侧重长期驻留与情报收集。俄罗斯网络安全公司卡巴斯基于 2026 年 2 月披露该活动，称其针对该地区的政府与外交机构。
OpenSSL HollowByte漏洞可用11字节TLS请求冻结服务器内存
11字节即可让未打补丁的OpenSSL服务器为一条永远不会到达的消息预留多达131 KB内存。在Okta测试的glibc系统上，这些内存在进程重启前都不会被释放。OpenSSL于6月通过修复发布了HollowByte，但未分配CVE、未发布安全公告，也未在更新日志中标注该修复。报告并命名该拒绝服务漏洞的Okta红队于周四公布了细节。
新的 Windows LegacyHive 零日漏洞使黑客获得管理员权限
使用 “Nightmare Eclipse” 昵称的安全研究人员发布了一款名为 LegacyHive 的 Windows 零日漏洞利用程序，该程序允许攻击者在已更新的 Windows 系统上提升权限。该漏洞位于 Windows 用户配置文件服务（User Profile Service）中，尚未分配 CVE 编号。
ThreatsDay：游戏外挂间谍软件、24小时勒索软件、Chrome 同步追踪 + 12 更多故事
本周许多麻烦都从一个看起来很熟悉的东西开始：一个熟悉的代码仓库、一个有用的安装程序、一个无害的同步设置。然后交接出了问题，机器开始与他人通信，损害比解释来得更快。老漏洞卷土重来，薄弱默认配置依然有用武之地，一些攻击路径简单得几乎不像研究成果。以下是这一团乱麻。
亚美尼亚应美国引渡请求拘留俄罗斯游客，律师称抓错人
亚美尼亚自6月28日起在拘留中心关押一名名叫亚历山大·叶尔马科夫的俄罗斯游客，该请求是针对一名涉嫌与REvil勒索软件团伙有关、名为亚历山大·叶尔马科夫的美国引渡请求。其妻玛丽亚·尤罗娃称，机场边境官员在埃里温兹瓦尔特诺茨机场的出发大厅将其拦下，并带至侧室。律师称美方弄错了人。
新 wp2shell WordPress 核心漏洞允许未认证攻击者执行代码
2026 年 7 月 18 日更新：两个漏洞现已分配 CVE 编号，完整利用机制已经公开，相关持续对象缓存的条件也被披露，且一个可运行的概念验证代码已公开发布。WordPress 核心中存在一处无需登录的 HTTP 请求即可执行代码的漏洞，影响所有 6.9 与 7.0 版本，直至官方发布 6.9.5 与 7.0.2 修复版本并启用自动强制更新。
