#安全资讯 NGINX 发布新版本修复 2011 年起就存在的高危安全漏洞，在特定配置下可以触发崩溃以及远程代码执行。该漏洞从 2011 年发布的 0.9.6 版中开始引入，直到近期才被安全研究员发现并报告给 F5 公司。目前 F5 已经发布 1.30.4 稳定版和 1.31.3 主线版修复漏洞，使用 NGINX 的开发者需要及时升级。查看全文：https://ourl.co/113999

本文讨论了JfinalCMS的代码审计，发现了多个安全漏洞，包括任意文件上传漏洞、存储型XSS漏洞和SSTI模板注入漏洞。审计中发现开发者未有效限制上传文件的大小和类型，导致黑客可上传恶意文件。SSTI漏洞可能导致远程代码执行。建议开发者加强安全措施，确保系统安全。

文章讨论了Java中的远程代码执行（RCE）漏洞，特别是由于命令参数处理不当和反序列化机制引发的安全隐患。分析了Spring Boot Actuator和FasterXML/jackson-databind等组件的漏洞，并强调了引入安全依赖和配置管理端口等防护措施。建议开发者在代码审计时关注这些潜在风险。

埃隆·马斯克宣布将在完成安全漏洞审查后，完全开源X/Twitter的所有代码库，以提高透明度和建立信任。开源将允许社区审计代码，确保没有算法偏见或操控，并邀请独立审计员进行定期审计。具体开源时间尚未确定。

安全研究员在《帝国时代 II》中发现高危漏洞CVE-2026-50663，攻击者可通过创建游戏大厅触发远程代码执行。微软已于4月修复该漏洞，建议玩家升级游戏版本以避免攻击，并提醒玩家避免加入陌生大厅或下载不明内容。

本文讨论了六种常见的网络安全漏洞及其修复方法：1) 破损的访问控制（IDOR），需验证用户对资源的访问权限；2) 大规模赋值，需明确允许更新的字段；3) 原型污染，避免递归合并不可信输入；4) 竞争条件，使用原子操作确保检查和写入的原子性；5) 业务逻辑缺陷，验证所有数字输入并进行服务器端计算；6) JWT配置错误，确保使用强随机密钥和明确的算法。理解这些漏洞及其修复方法对提升安全性至关重要。

微软于2026年7月发布了KB5099539补丁，修复了570个安全漏洞，主要增强了远程桌面的安全性，增加了SHA-2证书指纹以防止钓鱼攻击。此外，更新还涉及Secure Boot证书的动态显示，提醒用户进行更新。尽管更新包较大，但对个人用户的影响不大。

安全公司Mindgard曝光了SpaceX的Cursor AI编码助手存在高危安全漏洞，该漏洞自2025年12月通报后未修复。漏洞允许恶意git.exe文件在开发者打开项目时自动执行，可能导致严重安全问题。尽管Cursor发布了70多个版本更新，仍未回应修复请求，建议开发者避免在不可信仓库中使用Cursor。

微软发布了Windows 11更新，用户可将更新暂停最长达35天并可重复延长。此次更新旨在提升性能并修复多个安全漏洞，新增“时间点恢复”选项和小部件自定义功能。

研究显示，CI/CD流程存在严重安全漏洞“Cordyceps”，可被未认证的GitHub用户利用，影响多个大型组织。开发者常忽视CI/CD管道的安全性，导致潜在风险。专家建议将CI/CD视为关键生产系统，重视权限和输入的安全性，以防止攻击。

静态代码分析在金融科技合规中至关重要，能够通过自动化代码审查提前发现安全漏洞，降低合规风险。合规框架如PCI DSS和SOC 2要求提供安全流程有效性的证据，而静态分析则提供可追溯的审计记录。将静态分析集成到CI/CD流程中，确保每次代码更改都经过安全检查，从而提升合规性和代码质量。

开源工具curl发布了v8.21.0版本，修复了18个安全漏洞，创下单次修复记录。新版本增强了对HTTP/3的支持、SSH安全性和Cookie处理。开发者建议用户尽快升级以提高安全性和使用体验。

文章讨论了Anthropic的AI模型Mythos在识别安全漏洞方面的能力。软件开发者Joe Cooper对Mythos的有效性表示怀疑，并进行了基准测试。他发现Mythos在发现复杂的多文件漏洞方面表现突出，但强调不能仅依赖单一模型来推动安全进展。专家们认为，AI工具的能力在快速提升，但验证其可靠性仍需独立测试。

Chainguard推出了一款Java库，专门解决Spring Boot生态系统中的未修补安全漏洞问题。该解决方案使企业能够在不急于升级的情况下，使用经过修复的库，从而降低安全风险。此外，Chainguard的库还提供多层安全控制，支持JavaScript、Python等语言，旨在增强企业软件供应链的安全性。

文章讨论了构建安全HTTP API的实用方法，强调了常见安全漏洞及其修复。作者提供了代码示例，涵盖请求体限制、超时处理、安全JSON解析、安全头设置、常量时间比较和输入验证等内容。这些措施能有效防止常见攻击，确保API安全，最终目标是将安全性作为默认行为。

Nx公司推出Polygraph服务，将多个代码库整合为一个“合成单一代码库”，使AI编码代理更高效地工作。该工具分析代码库，构建依赖图，支持跨代码库的更改和合并，提升开发效率并快速响应安全漏洞。目前处于免费早期访问阶段。

OpenAI推出了新的Daybreak工具，包括Codex Security和GPT-5.5-Cyber，旨在帮助组织大规模发现、验证和修补安全漏洞。