Metabase SQL 注入零日漏洞遭野外利用：Framework、Tally、LexisNexis 三家客户数据被窃（CVSS 10.0）
Metabase 披露其自托管版本存在 CVSS 10.0 满分未认证 SQL 注入零日漏洞（GHSA-vwf4-m7j8-wcjf），攻击者无需凭证即可获得实例管理员权限并窃取所连接数据库的凭据，Framework、Tally、LexisNexis 已确认客户数据泄露，影响 0.58.x 至 0.63.x 全线。
安全资讯
追踪全球网络安全最新动态：CVE漏洞预警、零日漏洞、供应链攻击、勒索软件、数据泄露。覆盖Microsoft、Google、Fortinet等主流厂商安全公告，每日更新，面向站长与安全运维人员。
CVE-2026-8037：Progress Kemp LoadMaster 命令注入漏洞遭大规模野外利用，41 天 792 次攻击尝试
Progress Kemp LoadMaster 命令注入漏洞 CVE-2026-8037（CVSS 9.6）于 2026 年 8 月 8 日被 CISA 纳入 KEV，41 天内被观测到来自 18 个国家的 65 个 IP 共 792 次攻击尝试，watchTowr 与 eSentire 已发现活跃攻击，需在 8 月 10 日前完成联邦机构修补。
百词斩遭 DragonForce 勒索软件攻击：2 亿用户教育平台数据泄露风险扩大
DragonForce 勒索软件团伙在 8 月 3 日将国内英语学习平台百词斩列入泄密网站并发布数据，平台累计用户超 2 亿。攻击者声称获取用户账号、学习记录与个人信息，教育与培训行业供应链安全再度承压。
华尔街 200 家金融机构遭语音钓鱼攻击：黑石、KKR、阿波罗等 PE 巨头员工 AiTM 凭证窃取
谷歌威胁情报披露，过去五周内黑客团伙 Redact、Pink、Helix 以语音钓鱼 + AiTM 中间人技术针对 Blackstone、KKR、Apollo、Bain、CME、Moody’s 等 200 家金融与 PE 机构员工，赎金报价 75 万至 300 万美元，已确认部分受害者付款。
CVE-2026-64564 SCTPhantom：Linux 内核 SCTP 协议 18 年 UAF 漏洞，本地提权与容器逃逸风险
腾讯朱雀实验室 Corvus AI 在 Linux 内核 SCTP ASCONF 处理中发现一个自 2.6.25 起的 UAF 漏洞 CVE-2026-64564，本地攻击者可借助该缺陷提权至 root 并在默认容器配置下逃逸至宿主机，patch 已合入主线 9b2854f。
CVE-2026-59726 RufRoot：Ruflo AI 智能体平台 MCP 桥接未授权 RCE 漏洞（CVSS 10.0）
开源 AI 智能体编排平台 Ruflo 的 MCP 桥接默认绑定 0.0.0.0 且无认证，攻击者只需一个 HTTP 请求即可远程执行任意代码、窃取 LLM API 密钥、劫持 AI 智能体并毒化持久化记忆，CVSS 满分 10.0，建议立即升级到 3.16.3。
Apache CXF 双高危漏洞曝光：CVE-2026-66909 JMS 反序列化 RCE 评分 10，CVE-2026-68079 OAuth2 授权码重放
Apache 软件基金会 8 月 6 日披露 CXF 两项 9.8 严重漏洞：CVE-2026-66909 JMS ObjectMessage 反序列化导致 RCE，CVE-2026-68079 OAuth2 授权码可无限重放。修复版本 3.6.12 / 4.1.8 / 4.2.3。
思科集中修复 12 个 Catalyst SD-WAN 与 IOS XE 高危漏洞：CVE-2026-20272 命令注入 CVSS 9.8
思科 8 月 7 日集中修复 12 个 Catalyst SD-WAN 与 IOS XE 高危漏洞：CVE-2026-20303/20304/20310 评分 9.9，CVE-2026-20272 命令注入 9.8。IMC 的 CVE-2026-20200 已有公共 PoC。
CVE-2026-11976：MonsterInsights Pro 官方 S3 桶遭入侵植入 WebShell 后门，CVSS 10.0
WPScan 在 8 月 6 日公开 MonsterInsights Pro 官方升级桶 CVE-2026-11976，CVSS 10.0。攻击者在 10.2.0/10.2.2 中植入 class-system-check.php 后门，劫持升级通道并建立持久管理员账号，无法仅通过删除插件清除。
CVE-2026-64638：WordPress 7.0.3 登录页预认证 XSS2Shell 漏洞，管理员一键被攻陷
WordPress 在 8 月 6 日发布的 7.0.3 安全版本中修复了一处 CVSS 8.9 的预认证反射型 XSS 漏洞 CVE-2026-64638。该漏洞位于登录失败页面，影响所有 WordPress 版本，pwn.ai 团队已演示其可被用于获取管理员会话并进一步触发 PHP 代码执行。
CVE-2026-14512 / CVE-2026-14528：IBM WebSphere 不安全反序列化与敏感信息暴露漏洞（APAR PH72166）
IBM 8 月 4 日发布 WebSphere Application Server 与 Cloud Pak for Applications 严重安全公告：CVE-2026-14512、CVE-2026-14528 涉及不安全反序列化与敏感信息暴露，对应 APAR PH72166。覆盖 WAS 9.0/8.5 与 Cloud Pak 5.1/5.2/5.3，官方无临时缓解方案，需立即打补丁。
CVE-2026-13019：Esri Portal for ArcGIS 未保护 API 致远程未认证接管，CVSS 9.8 已修复
GIS 厂商 Esri 在 6 月 23 日发布的 Portal for ArcGIS Security 2026 Update 2 Patch 中修复账户恢复链路上严重未认证缺陷，CVE-2026-13019 评分 CVSS 9.8：远程未认证攻击者访问未受保护 API 即可完全接管 12.1 及更早版本，覆盖 Windows/Linux/Kubernetes 三种部署形态。