零日漏洞

VMware vCenter 路径遍历漏洞遭中国关联 APT 利用部署 Babuk 勒索软件：361 台 IP 横跨 47 国

作者

德国取证公司 QUIRSO 公开报告：CVE-2026-59310（CVSS 9.8）+ CVE-2026-59309 vCenter 认证绕过组合 7 月 29 日 Broadcom 披露后仅 5 天即被利用，攻击者通过 Syslog 路径遍历落地后投放 reverse_ssh 持久化通道，最终在 ESXi 上触发 .babyk 后缀的 Babuk 系勒索软件加密器。受害 IP 361 个，覆盖 47 国，德国/美国/土耳其/伊朗/法国位列前五。

GiveWP WordPress 捐赠插件曝未认证 CVSS 10.0 RCE：10 万站点面临完整服务器接管威胁

作者

Patchstack 披露 GiveWP WordPress 捐赠插件 CVE-2026-82222，CVSS 3.1 评分 10.0 满分，未认证攻击者通过注册绕过 + 反序列化 + 捆绑库 gadget chain 三步链条，可向主机执行任意系统命令。全球超 10 万 WordPress 站点受影响，4.16.6 至 4.16.7.1 之间全部版本必须升级至 4.16.7.2。

PaperCut NG/MF 打印管理软件曝未公开零日漏洞，全球范围内已被勒索团伙在野利用

作者

2026 年 8 月 27 日，PaperCut 紧急公告确认其 NG/MF 打印管理软件存在一处未公开的零日漏洞，已在野利用并出现多起客户事件。紧急补丁已于北京时间 8 月 28 日凌晨发布，仅覆盖 v25/v26，公网暴露面必须立即收敛。

CVE-2026-69836：微软 Entra ID 云身份服务遭在野利用，CVSS 满分 10.0 反序列化 RCE 引发跨租户危机

作者

微软于 2026 年 8 月 20 日披露其云身份与访问管理服务 Entra ID 中存在反序列化不可信数据导致的远程代码执行漏洞 CVE-2026-69836，CVSS 满分 10.0，已被确认在野遭利用。漏洞无需任何账号或权限，但已在服务端完成热补丁修复。

Jewelbug APT 双线作战：15 国政府邮件遭脚本劫持，同一控制面板并行加密货币诈骗

作者

Symantec 披露中国背景黑客组织 Jewelbug（Earth Alux/REF7707）通过共享 webmail 模板注入 JavaScript 劫持 15 个中东国家政府机构账户，同一 C2 面板并行运营 OKX/Binance 高仿钓鱼站加密货币诈骗。

Cl0p 勒索软件再袭全球 50 家巨头：Shell 89GB 数据失窃，疑涉 Oracle E-Business Suite 0day

作者

Cl0p 勒索团伙 8 月 13 日宣称入侵 Shell、Philips、GE、Fiserv 等 50 家全球企业，Shell 失窃 89GB 工程图纸，Philips 失窃 13.5GB 蓝图，攻击入口疑为 Oracle E-Business Suite 零日漏洞。

CVE-2026-70336：VS Code 1.133 修复远程代码执行漏洞，GitHub Copilot 代理模式同步曝命令注入

作者

微软 8 月补丁日同步修复 VS Code 远程代码执行漏洞 CVE-2026-70336 与 GitHub Copilot 代理模式命令注入漏洞 CVE-2026-70335，所有 1.132 及更早版本的 VS Code 全部受影响，开发者工作站成为高价值凭证库。

CVE-2026-20272：思科 IOS XE 命令注入漏洞 CVSS 9.8，思科自审发现 7 个高危缺陷同步修复

作者

思科在 2026 年 8 月 5 日发布 IOS XE 软件加固公告 cisco-sa-hardening-iosxe-V8NMuMZJ，CVE-2026-20272 命令注入漏洞 CVSS 9.8 居首，涵盖 CWE-74/CWE-119/CWE-284 等 7 大类共 7 个 CVE，影响 17.9 至 17.18 全线和 26.1 新分支，无绕过方法，必须升级。