GitHub 内部 git 基础设施远程代码执行漏洞 CVE-2026-3854 详解
Wiz Research 在 GitHub 内部 git 基础设施中发现了一个严重的远程代码执行漏洞（CVE-2026-3854），攻击者仅需一个标准 git push 命令即可在 GitHub Enterprise Server（GHES）或 GitHub.com 的后端服务器上执行任意代码。 GitHub 在收到报告后 6 小时内修复了 GitHub.c…
标签: 安全
清除筛选
OpenAI 推出 GPT-5.5 生物安全漏洞赏金计划
OpenAI 启动针对 GPT-5.5 的生物安全漏洞赏金计划，邀请安全研究人员寻找能突破“五道生物安全挑战题”的通用越狱方法。测试范围仅限 Codex Desktop 中的 GPT-5.5 模型。 首个能使模型在不触发审核并成功回答全部问题的通用越狱方案，将获得 25,000 美元奖励。该计划采取申请邀请制，申请通道于 2026 年 4 月 23 日开放，…
Bitwarden CLI npm包遭供应链攻击，恶意版本窃取GitHub令牌和SSH密钥
安全研究人员发现 Bitwarden CLI 的 npm 软件包 @bitwarden/[email protected] 遭遇供应链攻击，包内被植入恶意代码。这是 2026 年又一起针对知名开源项目的 CI/CD 管道攻击事件。 攻击详情 根据 Socket 研究团队的披露，攻击者通过入侵 Bitwarden CI/CD 管道中的 GitHub Action 注入恶…
预算 7 美元，账单 1.8 万美元：Google Cloud 默认安全缺陷如何让用户一夜破产
澳大利亚 AI 顾问、Agentic Labs 创始人 Jesse Davies 今年早些时候醒来后收到了一份令人震惊的账单：Google Cloud 向他收取了 25,672.86 澳元（约合 18,391.78 美元）——尽管他的账户预算上限设为 10 澳元（约 7 美元）。这一切发生在一夜之间。 事件经过 Davies 并非安全小白。他在 Google…
Anthropic 的终极安全模型 Mythos，上线当天就被未授权访问了
Anthropic 上周发布了一个名为 Mythos 的顶级网络安全模型，号称具备批量发现零日漏洞、渗透主流操作系统的能力。出于安全考虑，Anthropic 仅在极小范围内向 Apple、Amazon、Cisco 等企业开放封闭测试，项目代号 Glasswing。 但彭博社 4 月 22 日披露，一个规模不大的 Discord 私人社群在 Mythos 发布…
Apple 修复 iOS 通知数据残留漏洞（CVE-2026-28950）
Apple 于 4 月 22 日发布安全更新，修复了 iOS 和 iPadOS 中一个与通知服务相关的漏洞，编号 CVE-2026-28950。 漏洞详情 该漏洞存在于 Notification Services 组件中，导致标记为删除的通知可能意外保留在设备上。Apple 的描述是「a logging issue was addressed with im…
Anthropic MCP 协议架构漏洞波及 1.5 亿次下载，20 万台服务器面临 RCE 风险
OX Security 研究团队近日披露了一则震动 AI 安全领域的消息：Anthropic 主导的模型上下文协议（Model Context Protocol，MCP）存在架构级安全漏洞，攻击者可通过该漏洞实现远程代码执行（RCE），窃取敏感数据、API 密钥及聊天记录。 MCP 漏洞概览 架构缺陷：所有语言 SDK 无一幸免 这次暴露的问题与传统代码 b…
Vercel 确认安全事件，暗网卖家声称掌握核心访问权限
云托管平台 Vercel 于 4 月 19 日发布安全公告，确认内部系统遭遇未经授权访问。该公司表示已启动调查，聘请了安全事件响应专家，并通知了执法部门。 暗网出售声明 几乎在同一时间，暗网论坛 BreachForums 上出现了一则出售帖，声称拥有 Vercel 的内部访问权限。卖家自称属于黑客组织 ShinyHunters，以 200 万美元的价格挂牌出…
以太坊 ETH Rangers 识别百名朝鲜渗透者，追回 580 万美元
以太坊基金会「ETH Rangers」安全资助计划完成首期六个月工作，累计追回或冻结 580 万美元资金，处理 36 起以上事件响应，并报告 785 项漏洞及客户端错误。 以太坊 ETH Rangers 识别百名朝鲜渗透者，追回 580 万美元 其中最受关注的是：项目识别出约 100 名渗透至 Web3 组织的朝鲜 IT 从业者，涉及约 53 个加密项目。朝…