研究人员将 USB 自动安装武器化为 Windows 11 上的完整 SYSTEM 权限接管
Windows 的即插即用（Plug and Play）功能可被滥用，为仿真的 USB 设备获取已签名的厂商软件并执行特权安装组件，研究人员将这一路径串联起来，在一台完全更新的 Windows 11 机器上获得 SYSTEM 权限。当受支持的即插即用或底层 USB 重定向功能启用时，同一 PnP 路径可在远程桌面环境中无需物理硬件即可触发；微软表示重定向功能默认情况下是不允许的。
日期: 2026年8月12日
Read More
Mozilla 因密钥意外落入私有代码仓库而撤销 Firefox 与 Thunderbird 的 Linux 签名密钥
Mozilla 已撤销 Firefox 与 Thunderbird Linux 下载背后的加密签名密钥,原因是该密钥的一份未加密副本被错误地提交到了公司某个私有代码仓库中。该密钥是用户以及打包浏览器的 Linux 发行版用来确认所下载 Firefox tarball 出自 Mozilla 且未被篡改的依据;撤销后,使用旧密钥签名的文件将无法通过验证。
OpenAI 发布 GPT-5.6-Cyber，降低防护以支持漏洞利用开发
OpenAI 周一发布了一款名为 GPT-5.6-Cyber 的网络安全专用模型，专注于漏洞研究、渗透测试和事件响应。该模型基于 GPT-5.6 Sol 构建，旨在提升零日漏洞挖掘与漏洞利用链开发等专项网络安全能力，并降低对部分高风险双重用途网络安全任务的拒绝率。GPT-5.6-Cyber 通过新推出的 Daybreak Red 访问层级对外开放，已提供给 Accenture、Akamai、Cisco 等可信合作伙伴。
研究人员披露AI辅助的SharePoint利用链，可实现未认证远程代码执行
安全研究人员披露了一个影响多个本地版SharePoint服务器的高危漏洞链。攻击者无需任何有效凭据，即可冒充任意用户身份，并通过漏洞链在服务器上执行任意代码。研究过程中大量使用了AI智能体辅助完成漏洞发现与分析。
Zoom 注释功能漏洞可让会议参与者劫持其他参会者的客户端
在 Zoom 通话中分享屏幕的人可以接管所有观看者的计算机，而观看者也可以接管分享者的计算机。该漏洞位于注释工具中——即允许参与者在共享屏幕上绘图和输入的功能——除了参加会议外，受害者无需任何操作：无点击、无下载、无提示，屏幕上也没有任何显示。