FreeBuf周报 | GPT存在七项零点击攻击漏洞；JS库React高危漏洞威胁数百万开发者
💡
原文中文，约2200字，阅读约需6分钟。
📝
内容提要
本周「FreeBuf周报」总结了多个安全漏洞，包括GPT-4o和React的高危漏洞，Android的AI反诈系统优于iOS，以及针对白俄罗斯军方的恶意攻击。Bugcrowd收购Mayhem Security以提升安全测试，CISA与NSA发布安全指南，强调更新和监控。
🎯
关键要点
- GPT-4o与GPT-5存在七项零点击攻击漏洞，数亿用户面临威胁。
- React高危漏洞（CVE-2025-11953）影响200万周下载量的NPM包，可能导致远程代码执行。
- Android的AI反诈系统月均拦截百亿次威胁，用户防骗成功率较iOS高58%。
- Sandworm APT利用LNK漏洞攻击白俄罗斯军方，疑似俄罗斯黑客组织所为。
- Bugcrowd收购Mayhem Security，推进AI驱动的人机协同安全测试。
- 黑客利用OneDrive的DLL侧加载漏洞执行任意代码，建议监控DLL加载。
- 谷歌AI工具Big Sleep发现Safari浏览器WebKit组件5个新漏洞，苹果已发布补丁。
- 卢浮宫盗窃案暴露严重IT安全隐患，十余年未更新过时系统。
- CISA警告Linux内核高危漏洞CVE-2024-1086被利用进行勒索软件攻击。
- CISA与NSA联合发布Microsoft Exchange Server安全指南，强调更新补丁和启用多因素认证。
❓
延伸问答
GPT-4o和GPT-5存在哪些安全漏洞？
GPT-4o和GPT-5存在七项零点击攻击漏洞，数亿用户面临数据窃取和会话控制的威胁。
React库的高危漏洞对开发者有什么影响？
React库的高危漏洞（CVE-2025-11953）可能导致远程代码执行，影响200万周下载量的NPM包，开发者需立即更新。
Android的AI反诈系统与iOS相比有什么优势？
Android的AI反诈系统月均拦截百亿次威胁，用户防骗成功率比iOS高58%。
Bugcrowd收购Mayhem Security的目的是什么？
Bugcrowd收购Mayhem Security旨在推进AI驱动的人机协同安全测试，帮助组织快速发现和修复漏洞。
CISA与NSA发布的安全指南包含哪些关键措施？
CISA与NSA的安全指南强调更新补丁、迁移旧系统和启用多因素认证等关键措施。
如何防范Linux内核高危漏洞CVE-2024-1086？
需立即升级Linux内核至6.1.77+或禁用nf_tables模块，以防范勒索软件攻击。
➡️
