iCagenda 和 Balbooa Forms Joomla 漏洞据报被作为零日漏洞利用
美国网络安全和基础设施安全局 (CISA) 已将影响 Joomla 扩展组件 iCagenda 和 Balbooa 的两个最高严重性安全漏洞添加至其已知被利用漏洞 (KEV) 目录，此前有报告称这些漏洞已在野外被作为零日漏洞加以利用。这两个漏洞在 CVSS 评分系统上均被评定为 10.0 分。
最高法院限制位置追踪后，车牌识别摄像头或成下一个目标
美国最高法院近期裁定警方调取手机位置历史需持搜查令，一些法律学者和车牌识别技术反对者认为，此判决可能波及自动车牌识别系统（ALPR）的使用。若ALPR搜索最终也需搜查令，相关摄像网络的应用将被大幅限制，并改变现代警务模式。
研究人员披露利用三个 OpenClaw 漏洞实现 WhatsApp 到主机的攻击链
OpenClaw 个人人工智能（AI）助手三个已修复安全漏洞细节被披露，若成功利用，可导致凭据窃取、权限提升以及在主机上执行任意代码。
紧急——Progress 因安全威胁要求 ShareFile 客户关闭存储区域控制器
Progress Software 已要求 ShareFile 客户关闭运行其存储区域控制器（Storage Zone Controllers）的 Windows 服务器，并向 The Hacker News 确认其正在应对一起”可信的外部安全威胁”。该公司表示，已暂时禁用受影响账户的访问，并称此举是”出于高度谨慎”，同时正与内部及外部安全专家合作。
GitHub “已验证”提交可被改写为新哈希且不破坏签名
新研究显示,已签名 Git 提交的哈希并非软件行业所普遍认为的独一无二标识。无需签名密钥,攻击者即可基于同一文件、作者和日期生成新的提交,Github 仍会显示”已验证”。这意味着依赖哈希的封禁列表、去重机制、来源日志和可复现构建记录都存在被绕过的风险。
新一波”幽灵钓鱼”正在突破传统邮件安全防线
最近一起针对美国和欧洲企业的 EvilTokens 攻击活动暴露了一种新的邮件安全盲区。这种”幽灵钓鱼”（ghost phishing）技术将恶意页面隐藏起来，直到它在受害者浏览器内解密后才”复活”。对安全负责人而言，风险显而易见：传统 URL 检查可能会漏掉攻击，而 Microsoft 365 访问权限、敏感数据和响应时间早已处于风险之中。
AI 编程代理触发专为捕获攻击者而设计的端点安全规则
Sophos 对一周的自身端点数据进行分析后发现，Claude Code、Cursor 和 OpenAI Codex 等 AI 编程代理正在触发原本为捕获人类入侵者而编写的检测规则。这些代理并无恶意，只是它们执行的许多行为在行为检测引擎看来与攻击完全一致：解密浏览器凭据、枚举 Windows 凭据存储中的内容、利用内置系统工具下载文件，以及写入启动文件夹。Sophos 基于 2026 年 6 月七天遥测数据指出，凭据访问占被拦截活动的 56.2%，执行占 28.8%，AI 代理正在以普通开发工作的形式重现攻击者的高信号行为，对行为型 EDR 检测构成严峻挑战。
GitLost:公共 GitHub Issue 可诱骗 GitHub 智能体工作流泄露私有仓库数据
Noma Security 的研究人员展示,公共 Issue 可诱骗 GitHub 智能体工作流(Agentic Workflows)泄露组织私有仓库的内容。攻击者只需在公共仓库上提交一个看似普通的 Issue,无需窃取凭据,无需访问目标组织。若该组织已授予智能体跨仓库(含私有仓库)的读取权限,Issue 便可诱导其将私有内容写入公共评论。
CISA 将 4 个遭活跃利用的 Adobe、Joomla 及 Langflow 漏洞纳入 KEV 目录
美国网络安全和基础设施安全局（CISA）于本周二将 4 个安全漏洞添加至其已知被利用漏洞（KEV）目录，理由是存在活跃利用的证据。这些漏洞包括 Adobe ColdFusion 路径穿越漏洞、SP Page Builder 与 Page Builder CK 的文件上传漏洞，以及 Langflow 的 IDOR 漏洞。
英国计划构建自主 AI「网络盾牌」以捍卫国家
英国国家网络安全中心（NCSC）公布名为「Cyber Shield」的国家级自主防御能力计划，意图借助 agentic AI 系统发现并修复政府网络与关键国家基础设施中的安全漏洞，抵御对手以机器速度发动的攻击。
