FreeBuf周报 | GPT存在七项零点击攻击漏洞；JS库React高危漏洞威胁数百万开发者
内容提要
本周「FreeBuf周报」总结了多个安全漏洞，包括GPT-4o和React的高危漏洞，Android的AI反诈系统优于iOS，以及针对白俄罗斯军方的恶意攻击。Bugcrowd收购Mayhem Security以提升安全测试，CISA与NSA发布安全指南，强调更新和监控。
关键要点
-
GPT-4o与GPT-5存在七项零点击攻击漏洞，数亿用户面临威胁。
-
React高危漏洞（CVE-2025-11953）影响200万周下载量的NPM包，可能导致远程代码执行。
-
Android的AI反诈系统月均拦截百亿次威胁，用户防骗成功率较iOS高58%。
-
Sandworm APT利用LNK漏洞攻击白俄罗斯军方，疑似俄罗斯黑客组织所为。
-
Bugcrowd收购Mayhem Security，推进AI驱动的人机协同安全测试。
-
黑客利用OneDrive的DLL侧加载漏洞执行任意代码，建议监控DLL加载。
-
谷歌AI工具Big Sleep发现Safari浏览器WebKit组件5个新漏洞，苹果已发布补丁。
-
卢浮宫盗窃案暴露严重IT安全隐患，十余年未更新过时系统。
-
CISA警告Linux内核高危漏洞CVE-2024-1086被利用进行勒索软件攻击。
-
CISA与NSA联合发布Microsoft Exchange Server安全指南，强调更新补丁和启用多因素认证。
延伸解读
GPT漏洞的潜在影响
GPT-4o与GPT-5的七项零点击攻击漏洞可能导致数亿用户的数据泄露和会话控制。攻击者利用多种技术绕过防护，OpenAI需尽快修复以保护用户安全。用户应关注相关更新，避免在未修复的情况下使用这些服务。
React漏洞的紧急修复
React的高危漏洞（CVE-2025-11953）影响广泛，尤其是Windows系统。开发者应立即更新或绑定本地主机运行，以防止远程代码执行的风险。此漏洞的存在提醒开发者在使用开源库时，需定期检查安全更新。
Android与iOS反诈系统的比较
Android的AI反诈系统在拦截诈骗方面表现优于iOS，成功率高出58%。这一差异可能与两者的防护机制和用户反馈有关。用户在选择平台时，安全性应成为重要考量因素，尤其是在处理敏感信息时。
CISA与NSA的安全指南重要性
CISA与NSA联合发布的Microsoft Exchange Server安全指南强调了及时更新和启用多因素认证的重要性。企业应重视这些建议，以降低被攻击的风险，特别是在当前网络安全威胁日益增加的背景下。
延伸问答
GPT-4o和GPT-5存在哪些安全漏洞？
GPT-4o和GPT-5存在七项零点击攻击漏洞，数亿用户面临数据窃取和会话控制的威胁。
React库的高危漏洞对开发者有什么影响？
React库的高危漏洞（CVE-2025-11953）可能导致远程代码执行，影响200万周下载量的NPM包，开发者需立即更新。
Android的AI反诈系统与iOS相比有什么优势？
Android的AI反诈系统月均拦截百亿次威胁，用户防骗成功率比iOS高58%。
Bugcrowd收购Mayhem Security的目的是什么？
Bugcrowd收购Mayhem Security旨在推进AI驱动的人机协同安全测试，帮助组织快速发现和修复漏洞。
CISA与NSA发布的安全指南包含哪些关键措施？
CISA与NSA的安全指南强调更新补丁、迁移旧系统和启用多因素认证等关键措施。
如何防范Linux内核高危漏洞CVE-2024-1086？
需立即升级Linux内核至6.1.77+或禁用nf_tables模块，以防范勒索软件攻击。
