CVE-2026-66792：Red Hat 多集群订阅组件 Kubernetes cluster-admin 提权漏洞 CVSS 9.9

作者

Red Hat Advanced Cluster Management 与 Multicluster Global Hub 使用的 multicloud-operators-subscription 组件曝出 CVE-2026-66792，CVSS 9.9，受管集群普通用户通过精心构造 Subscription annotations 即可提权至 cluster-admin，可在多集群环境中部署任意资源；公开 exploit 已经流传，NCSC-FI 紧急通告。

StopAndProtect 勒索团伙被 Check Point 曝光 OPSEC 失误：用近 2000 个被入侵 WordPress 站点搭成全球犯罪基础设施

作者

Check Point Research 披露 StopAndProtect 勒索犯罪团伙 OPSEC 失误直接暴露 31,000 张受害主机截图、近 2000 个被劫持 WordPress 域名列表、内部自动化管理工具源码；该团伙用 ClickFix 伪 CAPTCHA 投递多阶段 PowerShell/.NET 载荷，覆盖 5000+ 受害者，IP 主要分布在美国、俄罗斯、印度。

CISA 更新 Medusa 勒索软件通告：受害者已突破 500 家，医疗机构仍是首要目标

作者

CISA、FBI、HHS 8 月 18 日联合更新 Medusa 勒索软件 #StopRansomware 通告，受害者总数从 2025 年 3 月的 300 升至 2026 年 4 月的 500+，新增 200 余例；Medusa 在 CVE 公开 24 小时内即接入武器化利用，初始访问经纪人最高报价 100 万美元。

Apple Safari 26.6.1 修复 22 个 WebKit 漏洞：CVE-2026-65346 ImageIO 整数溢出可一键执行任意代码

作者

Apple 8 月 18 日发布 Safari 26.6.1 与 macOS Tahoe 26.6.2，22 个 WebKit CVE 中 9 个由 OpenAI Codex Security 报告，焦点 CVE-2026-65346 ImageIO 整数溢出可一键触发任意代码执行，CVE-2026-64778 WebKit History 还可在受害者访问恶意站点时泄露敏感数据。

CVE-2026-64849：MLflow webhook SSRF 漏洞遭在野利用，AI 基础设施直接外泄云端 IAM 凭据

作者

AI 实验管理平台 MLflow 曝出 CVE-2026-64849 未认证 SSRF 漏洞，CVSS 9.3，watchTowr 监测到漏洞披露数小时内扫描即至，攻击者通过 webhook 重定向直连 169.254.169.254 云元数据端点窃取 IAM 凭据；同窗口期 FUXA SCADA/HMI CVE-2026-25895 路径遍历 CVSS 9.5 同步遭公网扫描。

Jewelbug APT 双线作战：15 国政府邮件遭脚本劫持，同一控制面板并行加密货币诈骗

作者

Symantec 披露中国背景黑客组织 Jewelbug（Earth Alux/REF7707）通过共享 webmail 模板注入 JavaScript 劫持 15 个中东国家政府机构账户，同一 C2 面板并行运营 OKX/Binance 高仿钓鱼站加密货币诈骗。