安全研究员 Chaotic Eclipse（又名 INFINITE NIGHTMARE、MSNightmare 和 Nightmare-Eclipse）发布了一个名为 ShieldBreak 的 Microsoft 新零日漏洞的概念验证（PoC）。该漏洞根植于 Microsoft Defender for Windows，展示了针对 CVE-2026-50656（CVSS 评分：7.8，又名 RoguePlanet）的补丁绕过能力，成功利用可获得 SYSTEM 级权限。
两个恶意 LiteLLM 版本三月份在 PyPI 上停留约 40 分钟，携带可窃取云密钥、SSH 密钥、Kubernetes 令牌、数据库密码等机密的凭证窃取代码。威胁情报公司 CloudSEK 表示，其获取的由攻击者截获的约 43.4 万个文件构建的数据集，潜在暴露面映射到超过 2,500 家组织。
Windows 的即插即用（Plug and Play）功能可被滥用，为仿真的 USB 设备获取已签名的厂商软件并执行特权安装组件，研究人员将这一路径串联起来，在一台完全更新的 Windows 11 机器上获得 SYSTEM 权限。当受支持的即插即用或底层 USB 重定向功能启用时，同一 PnP 路径可在远程桌面环境中无需物理硬件即可触发；微软表示重定向功能默认情况下是不允许的。
在 Zoom 通话中分享屏幕的人可以接管所有观看者的计算机，而观看者也可以接管分享者的计算机。该漏洞位于注释工具中——即允许参与者在共享屏幕上绘图和输入的功能——除了参加会议外，受害者无需任何操作：无点击、无下载、无提示，屏幕上也没有任何显示。
Metabase 警告其商业智能与数据可视化软件存在一个最高严重等级的安全漏洞，已作为零日漏洞在野利用。该漏洞（CVSS 评分：10.0）尚未分配 CVE 编号，攻击者可向 Metabase 应用数据库注入任意 SQL，进而获取实例的管理员权限。
网络安全研究人员披露了影响 WordPress 插件厂商 BdThemes 的供应链攻击事件。该攻击并未修改 WordPress.org 官方仓库中的源代码，而是通过投毒管理促销横幅组件（Biggopti）所拉取的远程静态 JSON 数据流，利用 Sigmative API 中 “display_id” 参数的跨站脚本（XSS）漏洞（CVSS 评分 5.4），在管理员每次访问 wp-admin 页面时静默执行恶意脚本，创建恶意管理员账户并上传 Web Shell 插件。
新研究表明，邮件内容能够突破其消息边界并干扰Webmail界面。在横跨Outlook、Gmail、Fastmail、Proton Mail、Yahoo Mail和AOL Mail的攻击链中，这些技术能够捕获密码、接管第三方账户、泄露令牌、劫持受信任的UI操作，以及操纵读取邮件的AI工具。PortSwigger研究员Gareth Heyes在Black Hat USA 2026上展示了相关研究成果。
安全研究员 Malcolm Stagg 披露了一种名为 NatJack 的新型攻击类，可通过操纵网络地址转换（NAT）连接状态来劫持活跃 TCP 会话、伪造 DNS 响应、暴露映射端口并耗尽 NAT 表。该研究在 Black Hat USA 2026 上发布，发现 Windows 和 Linux 等独立开发的实现均受影响；两个具体实现缺陷已被分配 CVE 编号，分别为 CVE-2026-56181（CVSS 8.3）和 CVE-2026-63913（CVSS 8.2）。
WordPress 修复了其登录界面中一处影响所有版本内容管理系统的预认证反射型跨站脚本(XSS)漏洞。pwn.ai 演示了当已登录管理员与攻击者控制的页面交互时,该漏洞如何被串联为服务器端 PHP 代码执行。该漏洞编号为 CVE-2026-64638(CVSS 评分 8.9)。
MIT CSAIL 研究人员发现名为 INTERRUPT INJECTION 的新型攻击技术,通过精确计时硬件中断,可绕过 Spectre v2 防御,在 AMD Zen 2 机器上以 5.47 字节/秒、91.97% 的准确率泄漏任意内核内存,可在 5/10 次尝试中读取 /etc/shadow。
