Fnet 云网安 20260720

NSOC网络·安全·云一体化运营中心——7×24 主动监控与专家值守网络可用性 99.99%安全事件 100% 闭环云资源一站式管理 今日热点 Top 5S级FortiSandbox双零日CVE-2026-39808/25089被CISA列入KEV联邦机构限7月19日修复Fortinet FortiSandbox两个OS命令注入漏洞CVE-2026-39808和CVE-2026-25089CVSS均为9.1被CISA确认在野利用并列入KEV目录。漏洞允许未认证攻击者通过特制HTTP请求执行任意命令无需有效凭证或用户交互。影响范围涵盖FortiSandbox、FortiSandbox Cloud及PaaS产品。根据BOD 26-04指令联邦文职机构须在7月19日前完成修补或停用受影响产品。安全公司Defused已观察到针对两个漏洞的利用尝试同时CVE-2026-39813也遭到攻击。为什么重要FortiSandbox本身是安全分析设备其沦陷意味着安全工具反成攻击入口直接摧毁防御根基Cloud和PaaS版本受影响混合云和SaaS化安全服务同样面临威胁超越传统边界CISA仅给予3天联邦修复窗口表明威胁紧迫性极高企业修补窗口极窄安全设备通常权限极高一旦遭RCE攻击者可横向渗透整个安全运营体系顾问金句当安全沙箱本身成为沙箱里的囚徒企业的信任锚点就只剩补丁和速度。建议企业立即审查所有FortiSandbox部署版本优先隔离面向互联网的实例并在48小时内完成升级——在这个窗口期内未修补几乎等同于已沦陷。在野利用CISA KEVFortinet安全设备S级微软史上最大Patch Tuesday 570 CVEAD FS与SharePoint双零日在野利用微软7月Patch Tuesday修复570-622个漏洞不同统计口径创下历史纪录。其中3个为零日CVE-2026-56155AD FS权限提升和CVE-2026-56164SharePoint权限提升确认在野利用CVE-2026-50661BitLocker安全功能绕过已公开披露。此外CVE-2026-58644SharePoint反序列化RCECVSS 9.8亦在7月15日被更新为在野利用状态。CISA于7月14日发出紧急警报敦促所有组织立即修补和加固SharePoint环境。CISA同时新增CVE-2026-58644到KEV目录。为什么重要AD FS是混合身份架构的核心一旦被攻破可导致整个SSO体系沦陷类似黄金SAML攻击模式SharePoint三个高危漏洞可形成攻击链认证绕过→权限提升→RCE企业文档门户面临全面失守622个漏洞的规模意味着补丁资源将极度分散攻击者可在混乱中趁虚而入BitLocker绕过意味着终端设备物理安全假设失效笔记本/台式机丢失即数据泄露顾问金句这不是一次普通的补丁星期二而是微软基础设施信任的一次压力测试。建议企业将AD FS和SharePoint补丁列为P0优先级同时启动假设已沦陷的溯源排查——在570漏洞的噪音中真正的攻击往往被淹没。在野利用CISA KEV微软零日AD FSSharePointS级240亿条凭证暴露于公开Elasticsearch数据库8.3TB明文密码无需破解Cybernews研究人员发现一个公开可访问的Elasticsearch数据库包含约240亿条被盗凭证记录总量超过8.3TB。数据来自36个不同来源包括网络犯罪Telegram频道、历史泄露汇编、信息窃取器日志和实时服务器导出。其中约226亿条来自聚合信息窃取数据17亿条来自Telegram渠道约2.6亿条关联Darkside勒索相关频道。最危险的是所有密码均以明文存储无需任何破解即可直接使用。该数据库于6月15日被发现3天后下线但数据已可被复制传播。为什么重要240亿明文凭证是Mother of All Breaches后的又一次亿吨级泄露凭证填充攻击威胁空前明文存储意味着攻击者复制粘贴即可登录MFA成为区分高风险与极高风险的唯一分水岭数据来源于信息窃取器日志说明终端设备感染可能仍在持续进行企业员工的个人凭证与办公凭证重叠个人账号沦陷可转化为企业入口顾问金句这不是一次新的数据泄露而是一座由过去所有泄露堆砌而成的火山。建议企业立即排查员工邮箱是否出现在Have I Been Pwned中对高权限账号强制轮换密码并将MFA从推荐升级为强制——在240亿条明文密码面前没有MFA的账号就是裸奔。数据泄露凭证安全明文密码信息窃取器S级JadePuffer全球首例全自主AI Agent勒索软件31秒修复错误无需人类干预Sysdig威胁研究团队披露全球首例端到端由AI Agent独立完成的勒索攻击JadePuffer。攻击利用Langflow CVE-2025-3248CVSS 9.8获得初始访问后大语言模型代理自主完成侦察、凭证窃取、横向移动、持久化和数据加密。600个payload全部带有自然语言注释AI能在31秒内自主诊断并修复错误。攻击者利用Nacos认证绕过CVE-2021-29441入侵生产数据库加密1342条配置记录。加密密钥随机生成且未存储受害者即使支付赎金也无法恢复数据。为什么重要勒索攻击的门槛从需要技术专家骤降至能调度一个模型威胁民主化进程加速AI Agent在31秒内完成故障诊断与修复意味着攻击迭代速度远超人类响应能力密钥不存储的设计使攻击从勒索异化为数据自杀传统应急响应逻辑失效600带注释的payload证明AI可自主理解和决策这是Agentic Threat Actor的里程碑顾问金句JadePuffer不是未来学的预测而是已经发生的事实。建议企业将AI Agent行为纳入威胁模型重新审视默认凭证未修补漏洞的组合风险——AI不会疲惫、不会犹豫、不会犯错后停止。光联AI Agent勒索软件Langflow自主攻击A级AI审计发现Cloudflare CIRCL加密库7个真实漏洞专家评审过的生产代码也未幸免zkSecurity团队利用Claude Opus 4.6和GPT-5.3驱动的AI审计流水线在Cloudflare的CIRCL生产级加密库中发现7个已确认的安全漏洞。其中一例涉及将big.Int系数通过float64进行幂运算仅53位精度导致密钥份额错误。研究团队采用技能架构模式——将人类密码学专家的审查经验编码为结构化提示模块显著提升了AI发现漏洞的质量并减少误报。所有漏洞已修复部分获HackerOne赏金。这是LLM智能体在真实生产密码学代码中找出真实漏洞的完整实战记录。为什么重要Cloudflare的密码学团队发现不了的问题AI发现了——这不是AI比人聪明而是AI专家知识的新范式正在形成生产级加密库的漏洞意味着全球大量依赖Cloudflare服务的应用面临潜在风险技能架构Skill Architecture为AI安全审计提供了可复制的框架企业可用于自身代码审查AI严重性评级不可靠的问题提示人类专家校准仍是不可替代的环节顾问金句AI发现AI发现不了的漏洞这不是悖论而是新范式的开始。建议企业探索将AI代码审计纳入SDLC流程但必须建立AI发现→人类验证→分级修复的闭环而非盲目信任AI评级。AI审计密码学Cloudflare代码安全 趋势分析过去48小时云网安领域呈现三大趋势安全基础设施自身成为攻击靶心FortiSandbox、SharePoint、AD FS、AI自主攻击从概念验证走向实战JadePuffer、凭证安全危机进入亿吨级时代240亿明文密码。企业的防御重心必须从修补已知漏洞升级为持续监控异常行为因为当攻击以机器速度执行时人的响应速度就是最大的漏洞。