Windows SMB 客户端新漏洞（CVE-2025-33073）允许攻击者提升至 SYSTEM 权限，CVSS 评分为 8.8。攻击者可通过诱骗受害者连接恶意 SMB 服务器，利用 Kerberos 认证缺陷伪造特权令牌。系统管理员需高度关注此漏洞。

本周「FreeBuf周报」总结了Meta追踪安卓用户、GitLab高危漏洞、CyberEYE木马威胁等热点资讯，并讨论了微服务安全防护、主动威胁狩猎及微软Outlook漏洞，提醒用户关注安全风险并及时更新系统。

苹果修复了iMessage中的安全漏洞CVE-2025-43200，该漏洞曾被用于针对意大利记者的攻击，植入了间谍软件Graphite。意大利政府承认监控活动，但否认针对特定记者。此事件引发对间谍软件滥用的担忧，欧盟呼吁加强监管。

研究人员发现微软Copilot存在逻辑漏洞，攻击者可通过普通邮件窃取企业敏感数据，无需用户操作。该漏洞被称为LLM范围违规，AI会自动处理邮件指令并泄露信息。微软已修复该漏洞，但AI代理的安全隐患仍需关注。

研究人员发布了针对CVE-2025-21420的PoC利用代码，该漏洞影响Windows磁盘清理工具，允许攻击者通过SilentCleanup任务提升至SYSTEM级别权限。尽管微软已采取部分防护措施，攻击者仍可利用链接解析缺陷进行攻击。建议组织评估风险并采取防御措施，微软将在后续更新中修复该漏洞。

苹果修复了被以色列间谍软件Paragon利用的iCloud共享链接零日漏洞。该漏洞在2月份被发现并修复，但直到现在才披露。公民实验室调查了针对两名记者的攻击。iOS 18.3.1版本已解决此问题，后续版本不再受影响。

在人工智能时代，AI模型的普及带来了安全隐患。微软的Copilot工具存在“LLM范围越界”漏洞，攻击者可通过构造邮件窃取数据。尽管微软已修复该漏洞，但事件提醒企业关注AI带来的新风险。

宏碁发布安全更新，修复ControlCenter中的CVE-2025-5491本地权限提升漏洞，CVSS评分为8.8。该漏洞允许未经身份验证的远程攻击者以SYSTEM权限执行代码。修复版本为4.00.3058，用户可在宏碁官网获取。

微软Outlook、UEFI安全启动和TeamFiltration等多个高危漏洞被曝光，影响数百万用户。攻击者可远程执行代码或窃取敏感数据，企业需加强监控并及时更新补丁以降低风险。

GitLab社区版和企业版近期发现严重安全漏洞，攻击者可实现账户接管。公司已发布补丁修复十个缺陷，部分漏洞CVSS评分超过8.0，建议用户立即升级以确保安全。