PHP2Shell高危漏洞（CVSS 9.2）披露五天后，约93.6%的服务器仍未修补，数千万PHP服务暴露在外，其中大量运行已停止支持的版本，需升级而非简单打补丁。攻击已实际发生，Cloudflare称漏洞公开后数小时内攻击尝试从数千激增至数百万。美国CISA已要求联邦机构限期修复，但整体修复进展缓慢，风险持续加剧。

比特币轻钱包Electrum旧版存在高危漏洞：恶意服务器可截留用户广播的交易，再向钱包发送伪造交易并替换收款地址。用户若点击提高手续费，钱包会为伪造交易签名，导致资金转入黑客钱包。4.8.3版已修复，会在显示未确认交易前验证输入签名。用户应立即升级，转账时核对完整地址和金额，不能只看首尾四位。

Telegram桌面版存在高危漏洞，攻击者可通过特制链接利用进程间通信机制注入指令，窃取本地文件或劫持账号。该漏洞已在7.2.9版修复，用户应尽快升级，并开启本地锁定密码以加密会话。

WordPress 被曝 Click2Shell 高危漏洞，攻击者可诱导管理员点击恶意链接，利用主题预览流程差异强制安装主题并执行 PHP 代码。官方已在 7.1.1 等版本修复，建议立即升级；无法升级时可启用 DISALLOW_FILE_MODS 临时阻止后台安装主题和插件。

WHMCS服务器管理面板曝出高危漏洞，攻击者无需登录即可入侵并窃取客户资料。官方已发布安全更新，修复CVE-2026-67398和CVE-2026-67399，要求用户升级至8.13.7或9.0.8版。漏洞影响广泛，包括支付网关问题，建议立即升级或停用相关模块。

FFmpeg发现多个高危漏洞，影响媒体解析、解码、过滤和编码组件，可致堆损坏、崩溃或任意代码执行。涉及视频去噪、字幕过滤、音频解码、PNG编码及IAMF解复用等，部分漏洞泄露内存信息。上游已修复，建议立即更新，否则限制处理不受信媒体并隔离工作负载。

WordPress曝出高危漏洞wp2shell，黑客在漏洞公布数小时后利用AI分析新旧代码差异，迅速发掘利用方法并发起攻击，窃取凭证、执行远程代码。受影响版本为6.9.0至6.9.4及7.0.0至7.0.1，建议立即升级至修复版本，并检查陌生管理员账号或恶意文件。

Apache Flink 存在高危漏洞，允许任意 Jar 包上传并导致远程代码执行，影响版本为 1.9.1 及以下。复现过程包括生成 payload、监听端口和上传 payload，建议使用 Sunny-ngrok 进行端口转发。提供了批量检测脚本的 GitHub 地址供研究学习使用。

开源防御安全社区发现Wazuh存在CVSS 10分的高危漏洞，允许认证端点操控中央日志存储系统。该漏洞源于资产遥测管道未进行转义处理，攻击者可执行恶意数据库操作，严重威胁企业安全。开发团队已在新版本中实施字符转义机制，建议用户尽快升级以修复漏洞。

360数字安全集团发布的《OpenClaw生态安全风险分析》报告揭示了AI智能体生态的安全隐患，发现23个高危漏洞，涉及远程代码执行等。报告强调智能体在不可信环境中运行的风险加剧，漏洞呈现多米诺效应，建议通过“Agent对抗Agent”模式进行全面审计，以提升安全防护。

Claude在90分钟内发现Ghost CMS和Linux内核的多个高危漏洞，显示出大模型在安全领域的快速进化。研究者Nicholas Carlini指出，AI的漏洞挖掘能力将改变安全格局，同时也带来新的安全隐患，需重视大模型的安全问题。

React Server Components 存在多项高危漏洞，未导致远程代码执行。Vercel WAF 已部署新规则保护项目，用户需尽快升级到修补版本。受影响版本包括 19.0.x、19.1.x 和 19.2.x。