移动安全网

微软发布月度安全更新修复167个安全漏洞，包括SharePoint Server零日漏洞CVE-2026-32201和Windows Defender权限提升漏洞BlueHammer。Google Chrome和Adobe Reader也发布了紧急安全更新。

Oligo Security发布运行时漏洞利用阻断功能，可在应用层实时阻止漏洞利用尝试，无需终止容器或进程。该功能通过观察代码执行来阻止现代攻击，解决传统CVE优先级排序方法的局限性。

Claroty在xDome中推出可见性编排功能，将可见性量化以证明CPS保护价值。Team82发现攻击者通过扫描互联网暴露设备并滥用默认凭据实施攻击，组织需将可见性数据转化为可操作的安全成果。

FBI与印度尼西亚执法部门合作捣毁W3LL钓鱼工具包，该服务售价约500美元，已造成超过2000万美元的欺诈损失。

英国AI安全研究所测试Anthropic的Claude Mythos Preview模型，发现其在专家级网络安全任务中成功率达73%，但无法可靠执行针对加固网络的自主攻击。该模型不会公开发布，将通过Project Glasswing计划向特定组织提供早期访问。

OpenSSL 4.0.0正式发布，移除SSLv3、SSLv2 Client Hello及引擎API等弃用功能，新增Encrypted Client Hello后量子加密支持，并引入多项API和行为变更。

研究人员发现通过钓鱼邮件传播的恶意JavaScript文件，该文件体积10MB经高度混淆，内嵌开源lib库。脚本right使用ActiveXObject实现持久化，通过PowerShell执行AES解密后的恶意Payload，目前仅15款杀软可检测。

研究人员发现针对EncystPHP webshell的扫描活动，该webshell主要针对脆弱的FreePBX系统。扫描来自荷兰IP地址160.119.76.250，攻击者还尝试利用FreePBX漏洞并添加后门账户。

文章介绍了Zero細信任项目推行一至两年后的现状，指出身份管理仍是主要挑战，包括身份蔓延、遗留系统例外和员工使用摩擦等问题，并探讨了AI代理大规模运行带来的新挑战以及应对措施。

2025年公开GitHub提交中泄露密钥达2865万个，同比增长34%。AI辅助代码的密钥泄露率是基线两倍，集成速度增10倍但凭证治理跟不上，多提供商集成进一步扩大暴露面。