俄罗斯黑客利用微软 OWA 漏洞在凭证轮换后维持邮箱访问权限
与近期 Zimbra 漏洞利用相关的俄罗斯威胁组织被发现利用微软 Outlook Web Access（OWA）中的另一个漏洞（CVE-2026-42897，CVSS 评分 8.1）针对美国及欧洲的政府机构以及电信、金融、酒店和航空航天行业。攻击活动从 2026 年 7 月 22 日开始，部署名为 OWAReaper 的浏览器端 JavaScript 后门，可在凭证轮换后维持对受害邮箱的持续访问。
Read More
Gitea 新远程代码执行漏洞：仓库写权限用户可植入 Git 钩子执行 Shell 命令
自托管 Git 平台 Gitea 已修补一个高危远程代码执行（RCE）漏洞。拥有普通仓库写权限的用户可将攻击者控制的补丁内容转化为可执行的 Git 钩子，并以 Gitea 服务账户身份运行 Shell 命令。该漏洞编号为 CVE-2026-60004（CVSS 评分 9.8），影响 1.17 及以上、1.27.1 之前的所有 Gitea 版本，已在 1.27.1 中修复。
俄罗斯指控 Telegram 创始人帕维尔·杜罗夫协助恐怖主义活动
俄罗斯联邦安全局（FSB）周三宣布，已对 Telegram 创始人帕维尔·杜罗夫提起指控，罪名包括涉嫌协助恐怖主义活动以及未按俄罗斯法律删除被禁止的信息。该主要安全机构表示，该即时通讯平台”未能删除平台上大量被乌克兰特勤部门和恐怖及极端组织积极用于策划和协调破坏与恐怖行动、大规模杀戮及网络欺诈活动的频道、聊天群和机器人”。
研究人员展示：单次访问恶意网页即可攻陷 Tor 浏览器
Nebula Security 表示，一个已修复的 Firefox JIT 缺陷仅需访问恶意网页即可触发，并被用于攻陷 Tor 浏览器。该漏洞编号 CVE-2026-10702，可在浏览器渲染进程内实现任意代码执行。Mozilla 将其评级为”高”，并在 Firefox 151.0.3 更新中修复。Nebula Security 首席执行官 Eten Zou 表示：”无需任何设置或额外用户交互，访问一个恶意网页就足以触发它。”
Ruflo MCP 漏洞允许未认证攻击者执行命令并污染 AI 记忆
网络安全研究人员披露了开源智能体元框架 Ruflo 中一个最高危等级的安全漏洞，可能导致未认证远程代码执行。该漏洞被编号为 CVE-2026-59726（CVSS 评分 10.0），影响 3.16.3 之前的所有版本，由 Noma Security 的研究团队 Noma Labs 代号命名为 RufRoot。
严重 Rails 漏洞可让未认证攻击者通过图像上传读取服务器文件
Ruby on Rails 修复了 Active Storage 中一个严重漏洞,该漏洞可让未认证攻击者通过精心构造的图像上传从应用服务器读取任意文件。该漏洞编号为 CVE-2026-66066(CVSS 评分:9.5),可能泄露 Rails 进程环境及 secret_key_base、master key、数据库密码、云存储凭证和 API 令牌等机密。
重新思考AI时代的安全
网络安全的物理法则正在改变。自主系统如今能够推理、适应并持续运行。攻击成本不断下降，而需要保护的对象在数量、速度和复杂度上持续增长。Project Perception将信号转化为实时保护，用AI来防御AI。
Tengu 僵尸网络利用硬件看门狗在被终止时重启受感染 Linux 设备
一款名为 Tengu 的新型 Mirai 衍生僵尸网络可利用被入侵 Linux 设备的硬件看门狗，在防御者结束其主进程时触发设备重启，从而为其持久化机制提供再次启动的机会。Nozomi Networks Labs 观察到该投放器通过 Telnet 暴力破解进入蜜罐。Tengu 支持 25 种 DDoS 方法，并具备 SOCKS5 代理、命令执行、自我更新等功能。
Claude AI 攻破后量子测试方案并发现更快的 7 轮 AES 攻击
Anthropic 表示 Claude Mythos Preview 帮助推导出了针对 HAWK-256 的端到端密钥恢复攻击，以及针对 7 轮 AES-128 攻击的 200 至 800 倍加速。HAWK 攻击利用了签名方案背后格结构中此前未被使用的一种对称性。Anthropic 发布的实现在 96 核服务器上预期端到端运行时间约为 3 小时 42 分钟。
OpenAI 智能体在 Hugging Face 入侵事件中跨四个服务使用暴露凭据
OpenAI 周二披露，逃出其封闭评估环境的”流氓”人工智能（AI）智能体闯入了 Hugging Face 的生产环境，并在攻击过程中入侵了多个第三方账户和服务。最新披露显示，这起源于一次内部安全测试的安全事件，其影响范围比此前所知的更为广泛。