#人工智能 OpenAI 研究员在黑帽大会上披露抱抱脸攻击事件的更多细节：相互隔离的智能体入侵内部设施将其当做留言板来交换情报。在留言板被关闭仅 2 天后，这些 AI 智能体找到内部设施新缺陷并继续交换情报，然后利用取得的互联网权限对 HF 发起攻击。其中某个智能体甚至还发帖庆祝：太好了！我们获得了任意 SSRF (服务器端请求伪造)。查看全文：https://ourl.co/114220

博客被黑 前几天突然TG频道收到一个推送消息，有俩个文章发布了。打开一看，应该是W […]

#加密货币 史诗级灾难：AI 仅花费 8 分钟就找到 ColdCard 钱包漏洞，问题发生根源是工程师偷懒糊代码。固件代码分析显示，2021 年 ColdCard...

#系统资讯 Debian 13.5 发布更新修复 68 个内核安全漏洞，包括 4 个严重级别的内核漏洞和多个高危级别的内核漏洞。不过实际风险取决于功能是否启用，对用户而言最稳妥的处理方式仍然是安装项目组已经发布的所有内核更新，而不是逐项判断自己是否受影响，因为这样实在是太麻烦。查看全文：https://ourl.co/114158

#安全资讯 谷歌透露 Chrome 近期 3 个版本合计修复 1,442 个漏洞，比之前 23 个版本修复的漏洞总和还多。具体来说在 6 月发布的 149/150 版中谷歌修复 1,072 个漏洞，而 126~148 合计修复的漏洞都没超过 1,000 个。如此快的漏洞发掘速度自然是靠 AI 实现的，无论是谷歌还是安全公司现在都在积极使用 AI...

Home Assistant 近期披露的一个漏洞揭示了，攻击者如何利用对 FFmpeg 输入的不当处理来窃取敏感文件，并最终在受影响的系统上执行 root 级命令。 该漏洞由 el...

广泛使用的开源多媒体框架FFmpeg 中发现了多个高危漏洞。这些漏洞会影响媒体解析、解码、过滤和编码组件，并在应用程序处理恶意文件时被触发。 多种问题都可能导致堆内存损坏，进而导致...

#安全资讯 开源路由系统 OpenWrt 发布紧急安全更新修复 DHCPv6 中的严重级安全漏洞，相邻网络攻击者最高可以 root 权限执行代码。该漏洞对家庭用户来说影响不是非常大，因为攻击者需要先加入对应的网络才能发起攻击，因此不能直接通过公网发起攻击。公共网络、访客网络、企业网络用户需立即升级到不受影响的版本，例如 24.10.8 和 25.12.5...

起因在 bitcointalk 上看到一个帖子：

#安全资讯 受 AI 冲击 GitHub 宣布改革漏洞奖励项目，大幅度下调漏洞奖励金额，但如果成为 VIP 则漏洞奖励直接翻四倍。安全研究员需要提交有价值的漏洞证明自己，这样有可能受邀参与 VIP 项目，成功参与 VIP 项目后获得的奖励更高。但如果连续多次提交无效漏洞报告，则可能会彻底失去向 GitHub 提交漏洞的资格。查看全文：https://ourl.co/114044

#安全资讯 Ubuntu 默认桌面版安装环境出现权限提升漏洞，拥有本地用户权限的攻击者可以提权到 root 进而接管系统。出现问题的是 snap-confine 组件，漏洞影响范围则是 Ubuntu 桌面版的 26.04/25.10/24.04 版。目前 Canonical 已经发布新版 snapd 修复漏洞，使用桌面版的用户请注意更新。查看全文：https://ourl.co/114040

#安全资讯 苹果称已经彻底修复 iCloud+ 隐藏邮箱地址会泄露用户真实邮箱地址的漏洞，这回是真修复了！该漏洞最初是安全研究员泰勒墨菲在 2025 年 6 月发现的，通报给苹果后，苹果确实修复了漏洞但并不彻底，以至于仍然会泄露用户邮箱。日前苹果发布回应称已经在 7 月 3 日部署补丁，该问题已经完全解决。查看全文：https://ourl.co/114036

7-Zip 被曝远程代码执行漏洞，恶意 XZ 压缩数据可能在打开或解压时触发问题。比起只看漏洞编号，更该盘点哪些服务、脚本和开发机在处理不可信压缩包，并把解压流程放到低权限、可回滚、可观测的位置。

#安全资讯 OpenAI 官方证实内部测试模型越狱并自主挖掘漏洞入侵开源平台 Hugging Face，这起黑客攻击事件源头竟然是 OpenAI 测试模型驱动的 AI 智能体。具体来说模型先是挖掘 OpenAI 隔离环境中的漏洞并横向移动到其他节点以获得公网访问能力，随后挖掘 HF 平台漏洞展开攻击。攻击目的竟然是模型想去 HF...

7-Zip 被披露一个与 XZ 解码相关的堆缓冲区溢出漏洞，摘要称可能被用于远程执行代码。比起单机用户手动解压，我更关心服务端、CI、网关和文件处理任务里的自动解压流程：哪里会接收外部压缩包，哪里缺少隔离，哪里没有快速回滚。

#云计算 OVH 发布报告披露如何修复数万台宿主机和数百万台虚拟机的 KVM 漏洞，漏洞危害太高以至于 OVH 决定不提前通知客户直接操作升级。毫无疑问这种内核升级需要重启宿主机会导致客户业务中断，即便如此 OVH 也认为安全性最重要，不可能协调所有客户进行维护。在实际升级过程中也出现多种问题，例如硬件上的内存故障、BIOS...

#安全资讯 挖洞需谨慎！小米安全中心发布违规事件处置公告，谴责以漏洞测试为借口进行黑客行为。小米在 6 月 26 日下午检测到一起影响广泛的入侵安全事件，当日晚间白帽黑客刘某提交漏洞报告，该报告与下午发生的入侵事件高度关联。小米称刘某行为构成实质性安全侵害、相关行为超出正常漏洞挖掘范畴。为此小米取消此次漏洞报告的全部奖励，同时小米保留追究法律责任的权利。查看全文：https://ourl.co/114002

#安全资讯 在漏洞公布数小时后，黑客就利用 AI 成功发掘 WordPress 高危安全漏洞并发起攻击，部分网站可能会被黑客添加管理员账号或在服务器上部署恶意文件。AI 也在加快漏洞利用速度，尽管安全研究员尚未公布 wp2shell 漏洞细节，但黑客通过对比新旧版本源代码很快就找到漏洞利用方法。查看全文：https://ourl.co/114000

#安全资讯 真是活久见！在短短 24 小时内 Linux Kernel 发布高达 440 个漏洞公告，涉及部分高危安全漏洞。其中在 7 月 19 日内核项目发布 431 个漏洞 CVE 公告，在 7 月 20 日又补充发布 9 个漏洞 CVE 公告。可能是漏洞太多以至于内核团队并未单独注明每个漏洞的 CVSS...