LegacyHive Windows零日漏洞曝光：ProfSvc注册表加载缺陷，尚无补丁
安全研究员Nightmare Eclipse在微软7月补丁日次日公开LegacyHive Windows零日漏洞。该漏洞影响Windows User Profile Service，可导致本地权限提升至SYSTEM。目前无CVE、无官方补丁，公开PoC已存在。
安全资讯
追踪全球网络安全最新动态：CVE漏洞预警、零日漏洞、供应链攻击、勒索软件、数据泄露。覆盖Microsoft、Google、Fortinet等主流厂商安全公告，每日更新，面向站长与安全运维人员。
CVE-2026-54523：Kyverno策略引擎命名空间提权漏洞，PoC已公开
Kubernetes原生策略引擎Kyverno披露严重漏洞CVE-2026-54523，CVSS评分9.6。命名空间租户可通过恶意策略将权限提升至kube-system管理员。PoC利用代码已公开，云原生多租户隔离面临严重威胁。
CVE-2026-56451：西门子Opcenter X JWT认证绕过漏洞，CVSS满分10.0
西门子Opcenter X制造运营管理平台存在严重JWT验证绕过漏洞CVE-2026-56451，CVSS评分10.0。未经认证的远程攻击者可伪造任意JWT令牌冒充管理员，获得对工业生产系统的完全未授权访问。
SleeperGem供应链攻击曝光：劫持休眠RubyGems账户向开发者机器投毒
攻击者劫持休眠多年的RubyGems维护者账户，发布恶意gem包专门绕过CI检测，在开发者机器上安装持久化后门，fastlane插件历史下载量超57万次。
JadePuffer升级ENCFORGE勒索软件：全球首个针对AI/ML模型的自主攻击
AI驱动的威胁行为者JadePuffer部署ENCFORGE勒索软件，专门针对AI模型和ML基础设施实施破坏，可加密超过180种AI相关文件格式，单模型重建成本高达75万美元。
CVE-2026-14266：7-Zip XZ压缩数据堆溢出远程代码执行漏洞
广泛使用的开源压缩软件7-Zip被发现存在堆缓冲区溢出漏洞CVE-2026-14266，攻击者可通过恶意XZ压缩文件执行任意代码，Zero Day Initiative已发布安全公告。
CVE-2026-42533：潜伏15年的nginx预认证远程代码执行漏洞曝光
安全研究员Stan Shaw披露nginx脚本引擎中存在一个潜伏15年的严重漏洞，远程未认证攻击者可通过堆缓冲区溢出实现预认证RCE，影响0.9.6至1.30.3所有版本。
CVE-2026-44963：Veeam备份软件严重远程代码执行漏洞预警
企业级备份软件Veeam Backup & Replication曝严重RCE漏洞CVE-2026-44963，CVSS评分9.4，已认证域用户可远程执行任意代码，勒索软件组织优先攻击目标。
Redis修复多个认证后RCE漏洞：AI研究代理发现Streams与RedisBloom严重缺陷
Redis于7月23日发布七项安全更新，修复由AI研究代理发现的多个认证后远程代码执行漏洞，涉及Streams use-after-free和RedisBloom TDigest越界写入，均可通过RESTORE命令触发。
PyPI量子计算库mrmustard遭供应链投毒：0.7.4版本内置凭证窃取木马
攻击者入侵Xanadu量子计算库mrmustard的GitHub维护者账户，在PyPI发布恶意0.7.4版本，导入时窃取SSH密钥、AWS凭证和Kubernetes配置，并通过cron和shell启动项实现持久化。
WordPress核心预认证RCE漏洞链预警：wp2shell（CVE-2026-63030/60137）遭主动利用
WordPress核心存在近十年来最严重的预认证远程代码执行漏洞链wp2shell，由CVE-2026-63030（REST API路由混淆，CVSS 9.8）和CVE-2026-60137（SQL注入）组合而成，已确认遭野外利用。
SonicWall SMA 1000零日漏洞遭野外利用：CVE-2026-15409/15410紧急修复通告
SonicWall SMA 1000系列SSL VPN设备两项零日漏洞正遭野外利用，CVE-2026-15409为SSRF漏洞（CVSS 10.0），CVE-2026-15410为代码注入漏洞（CVSS 7.2），CISA已纳入KEV目录。