cPanel严重漏洞允许托管客户以数据库Root身份执行SQL
cPanel修复了一个严重漏洞，允许经过身份验证的托管客户以数据库管理员（root）身份执行SQL命令，跨越cPanel账户与服务器管理数据库身份之间的权限边界。该数据库漏洞编号为CVE-2026-58048（CVSS 4.0评分：9.4），影响所有受支持的cPanel & WHM版本以及WP Squared；本次定向安全发布还修复了两条其他绕过账户边界的途径。
Read More
Google删除3个ADK AI工作流，此前恶意GitHub Issue可触发特权Agent
Google从其Agent Development Kit（ADK）Python代码仓库中删除了三个AI agent工作流。Pillar Security的研究显示，公开的GitHub issue可以操纵一个分诊agent，进而触发一个具有特权的代码修复agent。研究人员表示，该公共agent可被提示注入，让其以adk-bot的身份发布/adk-issue-fix评论。由于adk-bot被识别为代码仓库的协作者，该评论便满足了特权工作流对owner、member或collaborator的身份校验。
与 Keyv 相关的 npm 蠕虫毒化数百个软件包，植入 Claude Code 与 VS Code 钩子
一个窃取凭证的 npm 蠕虫最初出现于 keyv@6.0.0，于 2026 年 8 月 4 日扩散至多个组织，跨越 Keyv 与 Cacheable 命名空间，污染数百个软件包。SafeDep 已在 npm 注册表中核实 353 个污染版本，涵盖 79 个软件包名称。
Greatness PhaaS 新增设备代码钓鱼功能以绕过 MFA 并窃取令牌
商业钓鱼即服务（PhaaS）工具包 Greatness 成为最新一款支持设备代码钓鱼的犯罪软件方案。该威胁滥用合法的 OAuth 2.0 设备授权授予流程来绕过多因素身份验证（MFA），从而接管用户账户。
电子邮件威胁态势：2026 年第二季度趋势与洞察
2026 年第二季度，微软对 Tycoon2FA 钓鱼即服务平台的中断行动继续产生显著下游影响，多种主要钓鱼技术持续下降；同时攻击者开始向基于 Teams 的社会工程学扩展，并采用越来越自动化、多阶段的攻击链。本季度微软检测到约 76 亿次基于电子邮件的钓鱼威胁。
CaptiveCrunch：Midnight Blizzard 针对全球旅客实施恶意软件投递与凭据窃取
Storm-2945 是俄罗斯威胁行为者 Midnight Blizzard 的子集群，自 2026 年 5 月以来被发现入侵酒店等酒店相关组织的登录门户，通过一项名为 CaptiveCrunch 的行动向旅客投递恶意软件并窃取凭据。本文 CaptiveCrunch: Midnight Blizzard targets travelers worldwide for malware delivery and credential theft 首发于 Microsoft Security Blog。
黑客投毒 Adform 脚本,在客户站点上替换加密货币钱包地址
攻击者篡改了广告技术公司 Adform 提供的一个 JavaScript 文件,将其改造成一款浏览器端工具,用于改写加密货币钱包地址。Adform 于 2026 年 7 月 27 日发现该事件,移除了恶意代码,通知了受影响的客户,并向有关部门报告。7 月 27 日访问过任何携带该受影响脚本的网站、并复制过比特币、以太坊或波场地址的用户,粘贴时可能粘贴的是恶意代码所插入的不同地址。
Thermo Fisher 修复可使 DNA 文件篡改几乎无法察觉的漏洞
Thermo Fisher Scientific 已修复部分 Applied Biosystems 人类鉴定软件中的一个漏洞，该漏洞允许在分析软件加载数据文件之前对其进行篡改。厂商在 7 月 31 日发布的安全公告中指出，如果绕过实验室控制，.fsa 和 .hid 输出文件可能发生几乎无法察觉的更改。Thermo Fisher 将该问题编号为 CVE-2026-17583，CVSS v4.0 评分为 8.2，评级为高危。
PNLD 数据泄露事件曝光英国警方及政府联系人信息至暗网
英国警察国家法律数据库（PNLD）确认其警方、政府及客户联系信息遭泄露并被发布至暗网。本次事件于 7 月 26 日被发现，泄露内容包括警官、警务人员、刑事司法专业人员、政府合作伙伴及客户的姓名、所属机构和工作邮箱地址，其中部分通过 Ask the Police 提交问题的用户姓名与邮箱也被曝光，可能被用于更具迷惑性的钓鱼攻击。PNLD 表示尚无证据表明密码或其他安全凭证遭泄露。
Google密码管理器攻击可使恶意软件劫持受Passkey保护的账户
在Windows机器上以普通用户身份运行的恶意软件，无需指纹、PIN或受害者屏幕上的任何显示，即可登录受害者受Passkey保护的账户。Unit 42详细描述了针对Chrome Google密码管理器云认证器的三种攻击路径，分别命名为Pass-ta-key、Silver Pass-ta-key和Golden Pass-ta-key；其中最强的一种针对保护用户同步Passkey的主密钥。