每日安全情报报告

数据采集时间 ：2026年6月4日 15:40 (UTC+8)

覆盖范围 ：近48小时新增高危漏洞、公开PoC、安全资讯

风险级别标注：🔴 严重 (CVSS ≥ 9.0) ｜ 🟠 高危 (CVSS 7.0--8.9) ｜ 🟡 中危 (CVSS 4.0--6.9)

一、最新高危漏洞

🔴 严重漏洞（CVSS ≥ 9.0）

1. CVE-2026-45247 --- Mirasvit Cache Warmer PHP 对象注入 RCE

CVSS 评分：9.8（严重）
漏洞类型：PHP 反序列化 / 对象注入（CWE-502）
受影响组件：Mirasvit Full Page Cache Warmer for Magento 2（< 1.11.12）
利用条件 ：无需认证，仅需发送一个特制 CacheWarmer Cookie 即可触发 RCE
在野利用 ：🔴 CISA KEV 已收录，确认为在野利用
影响规模：约 6,000 家电商站点暴露
修复方案 ：立即升级至 Mirasvit Cache Warmer 1.11.12+
参考链接：
Sansec 漏洞深度分析
CISA KEV 收录公告 (TheHackerNews)
NVD 详情

2. CVE-2026-3055 --- Citrix NetScaler SAML IDP 越界读取 RCE

CVSS 评分：9.8（严重）
漏洞类型：越界读取 / 远程代码执行（CWE-125）
受影响组件：Citrix NetScaler ADC & Gateway（13.1 < 62.23, 14.1 < 60.58）
利用条件：无需认证，设备配置为 SAML IDP 时可远程触发
在野利用 ：🔴 Fortinet 确认大规模在野利用，持续进行中
修复方案 ：立即升级至 Citrix 官方安全公告 CTX696300 中列出的修复版本
参考链接：
Threat Modeling 深度分析
BleepingComputer 报道

3. CVE-2026-5076 --- ARMember Premium WordPress 不安全密码重置

CVSS 评分：9.8（严重）
漏洞类型：不安全密码重置（明文存储重置密钥）
受影响组件：ARMember Premium WordPress 插件（≤ 7.3.1）
利用条件：攻击者可直接重置任意用户密码并接管账户
在野利用：未确认
修复方案：立即升级至 ARMember Premium 7.3.2+
参考链接 ：Vulnerability Intelligence Report --- June 3, 2026

4. CVE-2026-41089 --- Windows Netlogon CLDAP 栈溢出 RCE

CVSS 评分：9.8（严重）
漏洞类型：CLDAP 协议栈溢出 / 远程代码执行
受影响组件：Windows Server Netlogon 服务
在野利用 ：🔴 比利时 CCB 确认在野利用，CISA KEV 收录
修复方案 ：安装 Microsoft 2026年6月安全更新
参考链接：
CISA KEV 目录
Threat Modeling 情报报告

5. CVE-2026-45829 --- ChromaDB 认证绕过 RCE

CVSS 评分：10.0（严重）
漏洞类型：认证绕过 / 远程代码执行
受影响组件：ChromaDB API 服务器
利用条件：API 服务器暴露至互联网时，攻击者可绕过认证执行任意代码
修复方案：禁止将 ChromaDB API 服务器直接暴露至互联网，升级至最新版本
参考链接 ：Threat Modeling 情报报告

🟠 高危漏洞（CVSS 7.0--8.9）

6. CVE-2026-23479 --- Redis 阻塞客户端 Use-After-Free RCE

CVSS 评分：8.8（CVSS 3.1）/ 7.7（CVSS 4.0）
漏洞类型：Use-After-Free（CWE-416）/ 远程代码执行
受影响组件：Redis 7.2.0--7.2.13 / 7.4.0--7.4.8 / 8.2.0--8.2.5 / 8.4.0--8.4.2 / 8.6.0--8.6.2
发现方式 ：由自主 AI 安全工具 Xint Code（Theori 开发）发现，潜伏代码库超过 2 年
利用条件：需已认证会话，但大多数云环境 Redis 未设密码，默认用户拥有完整利用权限
在野利用：未发现
修复方案 ：升级至对应分支修复版本（7.2.14 / 7.4.9 / 8.2.6 / 8.4.3 / 8.6.3），详见 GitHub Security Advisory GHSA-8ghh-qpmp-7826
参考链接：
TheHackerNews 详细报道
ZeroDay.Cloud 技术分析
NVD 详情

7. CVE-2026-23631 --- Redis Lua 脚本 Use-After-Free RCE

CVSS 评分：8.1（高危）
漏洞类型：Use-After-Free / 远程代码执行
受影响组件：Redis 7.2.0--7.2.13 / 7.4.0--7.4.8 / 8.2.0--8.2.5 / 8.4.0--8.4.2 / 8.6.0--8.6.2
利用条件：需认证 + Lua 脚本启用 + 从节点可写 + 主从复制开放
PoC/EXP：✅ 已公开，奇安信安全研究员已成功复现
在野利用：未发现
修复方案：升级至 7.2.14 / 7.4.9 / 8.2.6 / 8.4.3 / 8.6.3
参考链接：
奇安信 CERT 风险通告
阿里云 AVD 详情
GitHub Security Advisory

8. CVE-2025-48595 --- Android 整数溢出本地权限提升

CVSS 评分：8.4（高危）
漏洞类型：整数溢出 → 本地权限提升（LPE）
受影响组件：Android 14 及更高版本（所有厂商）
在野利用 ：🔴 Google 确认在野利用 ，CISA KEV 新增收录
KEV 截止日期：2026年6月5日
修复方案：安装 2026年6月 Android 安全补丁
参考链接 ：CISA KEV 目录

9. CVE-2022-0492 --- Linux 内核 cgroups v1 权限提升

CVSS 评分：7.8（高危）
漏洞类型：不当认证 / 权限提升 / 容器逃逸
受影响组件：Linux 内核 cgroups v1
在野利用 ：🔴 CISA KEV 新增收录
KEV 截止日期：2026年6月5日
修复方案：升级内核并禁用 cgroups v1，切换至 cgroups v2
参考链接 ：CISA KEV 目录

10. CVE-2026-5073 --- ARMember Premium SQL 注入

CVSS 评分：7.5（高危）
漏洞类型 ：SQL 注入（order 参数）
受影响组件：ARMember Premium WordPress 插件（≤ 7.3.1）
修复方案：升级至 7.3.2+
参考链接 ：Threat Modeling 情报报告

二、最新漏洞 PoC

1. CVE-2026-23479 --- Redis 阻塞客户端 UAF RCE（AI 工具发现）

漏洞概述 ：Redis src/blocked.c 中 unblockClientOnKey() 函数的 use-after-free 漏洞，由自主 AI 安全工具 Xint Code 发现，完整三阶段利用链已公开。

利用步骤：

bash 复制代码

# 1. 克隆 Redis 源码（目标版本）
git clone --branch 7.2.13 --depth 1 https://github.com/redis/redis.git
cd redis && make

# 2. 启动目标实例（禁用密码以模拟默认部署）
./src/redis-server --port 6379 --replica-read-only no --protected-mode no

# 3. 阶段一：堆地址泄露（通过 Lua 脚本）
redis-cli EVAL "return tostring(redis.call)" 0

# 4. 阶段二：堆布局操控与 UAF 触发
# 通过调整 client 内存限制、停放膨胀 client、降低限制触发释放，
# 再用流水线化 SET 命令回收槽位写入伪造 client 结构

# 5. 阶段三：GOT 覆写实现 RCE
# 利用 updateClientMemoryUsage() 中的越界递减操作，
# 将 strcasecmp() GOT 表项重定向到 system()，
# 下一条 Redis 命令将作为 shell 命令执行

来源链接 ：

2. CVE-2026-23631 --- Redis Lua 脚本 UAF RCE（Dark Replica）

漏洞概述：Redis Lua 脚本引擎的内存管理缺陷，利用主从数据同步机制在可写从节点上触发 use-after-free，实现远程代码执行。PoC 和 EXP 均已公开。

利用步骤：

bash 复制代码

# 1. 准备环境：搭建 Redis 主从架构，从节点设置 replica-read-only no
# 2. 获取 Redis 认证凭据（或目标未设密码）
# 3. 利用复现脚本（基于公开 PoC）
git clone https://github.com/Threekiii/Awesome-POC.git
cd Awesome-POC

# 4. 按照漏洞详情页的复现步骤操作：
# - 连接目标 Redis 实例
# - 利用 SLAVEOF 将目标设为攻击者控制的从节点
# - 执行精心构造的 Lua 脚本触发内存错误引用
# - 获取 RCE 权限

利用条件 ：

Redis 启用了 Lua 脚本功能（Functions 或 Scripting）
从节点可写（replica-read-only no）
攻击者拥有认证权限
主从复制端口/配置开放

来源链接 ：

3. CVE-2026-45247 --- Mirasvit Cache Warmer PHP 对象注入 RCE

漏洞概述 ：Mirasvit Cache Warmer 扩展在每次前台请求时从 CacheWarmer Cookie 读取值并使用 unserialize() 反序列化，未限制可实例化的类，结合 Magento gadget chain 实现 RCE。

利用步骤：

bash 复制代码

# 1. 克隆研究资料
git clone https://github.com/alan-turing-institute/cyber-threat-observatory.git
cd cyber-threat-observatory

# 2. 查看漏洞分析报告
cat reports/2026-05-26/TIER_2_CVE-2026-45247.md

# 3. 构造恶意 Cookie 发送至目标 Magento 站点前台页面
# Cookie 名: CacheWarmer
# Cookie 值格式: CacheWarmer: + Base64编码的序列化 PHP 对象
# 利用 Magento 已有 gadget chain（如 Guzzle/Fiddler）实现 RCE

# 4. 示例请求
curl -k -b "CacheWarmer=CacheWarmer:TzoyMjoiR3V6emxlXFJlcXVlc3RcUXVvd..." \
  https://target-store.com/

检测特征 ：Cookie 值匹配 CacheWarmer:(Tz|Qz|YT) 模式

来源链接 ：

三、网络安全最新文章

1. 🌐 HTTP/2 Bomb：新型远程 DoS 攻击影响全球主流 Web 服务器

来源：TheHackerNews
摘要：研究人员发现一种名为"HTTP/2 Bomb"的新型远程拒绝服务攻击，结合压缩炸弹与 Slowloris 风格持久连接技术，针对 HTTP/2 的 HPACK 头部压缩方案。仅凭单台机器 100Mbps 带宽即可在数秒到数十秒内拖垮 NGINX、Apache HTTPD、Microsoft IIS、Envoy 和 Cloudflare Pingora 等主流 Web 服务器（32GB 内存可在 10 秒内耗尽）。Apache 已分配 CVE-2026-49975 并在披露当日修复，其他厂商修复进度不一。
链接：阅读原文（TheHackerNews）

2. 📱 FlagLeft：Microsoft 365 Android 应用遗留调试标志导致账户令牌泄露

来源：TheHackerNews
摘要：Microsoft 365 多款 Android 应用（Word、PowerPoint、Excel、Copilot、Loop、OneNote）的生产版本中遗留了一个开发调试标志，导致账户令牌共享验证机制失效。同一手机上的任意应用均可获取已登录用户令牌，进而读取邮件、文件、日历并发送消息，无需密码或权限提示。该漏洞被命名为"FlagLeft"，影响数十亿用户，Microsoft 已发布服务端缓解措施。
链接：阅读原文（TheHackerNews）

3. 🔑 GitHub Dev 一键攻击窃取完整 OAuth 令牌

来源：TheHackerNews
摘要：安全研究员 Ammar Askar 披露 VS Code GitHub.dev 的一键式攻击，攻击者可通过在不受信任 webview 中执行恶意 JavaScript，利用 postMessage 机制模拟按键事件打开命令面板，安装攻击者控制的恶意扩展，窃取用户具有所有仓库（含私有仓库）完整读写权限的 GitHub OAuth 令牌。Microsoft 已在服务端缓解该问题，VS Code Desktop 不受影响。
链接：阅读原文（TheHackerNews）

4. 🤖 AI 工具发现 Redis 两年隐藏 RCE 漏洞

来源：TheHackerNews
摘要：自主 AI 安全工具 Xint Code（Theori 开发）在 Redis 代码库中发现了一个潜伏超过两年的 use-after-free RCE 漏洞（CVE-2026-23479），该漏洞由 2023 年两次提交共同构成，单独均不危险。完整三阶段利用链（堆地址泄露 → 堆布局操控 → GOT 覆写 RCE）已公开，大部分云环境 Redis 未设密码，风险尤为突出。
链接：阅读原文（TheHackerNews）

5. 📧 Google DoubleClick 滥用于传播 DesckVB RAT 的新型恶意垃圾邮件

来源：TheHackerNews
摘要：研究人员发现新型恶意垃圾邮件活动，利用 Google DoubleClick 合法域名绕过安全检测，通过动态个性化诱饵页面（使用受害者邮件地址、公司品牌和位置信息）投递 DesckVB RAT。该方法无需为每个目标定制工具包，大幅提升攻击可扩展性。
链接：阅读原文（TheHackerNews）

6. 🪟 Windows Search URI 漏洞导致 NTLMv2 哈希泄露

来源：TheHackerNews
摘要：研究人员披露 Windows search: URI 处理程序中的一个未修补漏洞，攻击者可诱导用户点击特制链接使计算机连接到攻击者控制的 SMB 服务器，泄露用户的 NTLMv2 哈希值，进而冒充该用户进行身份验证。
链接：阅读原文（TheHackerNews）

7. 📱 WhatsApp/Slack 通知可劫持 Android 上的 Google Gemini

来源：TheHackerNews
摘要：SafeBreach 研究员发现，来自 WhatsApp、Slack、SMS、Signal、Instagram 或 Messenger 的恶意通知可劫持 Android 上的 Google Gemini 语音助手，使其执行打开窗口、伪造消息、发起 Zoom 通话或污染长期记忆等操作，无需在手机上安装恶意应用。Google 已修复。
链接：阅读原文（TheHackerNews）

8. 🎮 Weedhack MaaS 活动针对 Minecraft 玩家，CountLoader 感染 8.6 万台设备

来源：TheHackerNews
摘要：McAfee Labs 披露针对 Minecraft 玩家的恶意软件即服务（MaaS）活动"Weedhack"，自 2026 年 1 月起活跃，通过 YouTube 和 SEO 投毒传播，已发现 3820 个恶意 JAR 文件和 240+ 分发 URL，配备企业级控制面板管理窃取的凭据和系统信息。
链接：阅读原文（TheHackerNews）

9. ⚖️ 美国司法部打击东南亚加密货币欺诈网络，冻结 380 万美元

来源：TheHackerNews
摘要：美国司法部宣布"Disruption Week"行动（2026年5月18日起）成果，打击东南亚跨国网络犯罪集团，关闭数百万个社交媒体、电子邮件及网络访问账户，私营企业冻结超过 380 万美元涉案加密货币。
链接：阅读原文（TheHackerNews）

10. 🔐 通过身份可见性缩小 IAM 攻击面

来源：TheHackerNews
摘要：企业 IAM 面临碎片化危机，46% 的企业身份活动发生在集中式 IAM 可见范围之外（"身份暗物质"），包括非托管应用、本地账户和过度授权的非人类身份，AI Agent 的兴起进一步加剧了这一问题。
链接：阅读原文（TheHackerNews）

四、今日 CISA KEV 截止提醒（6月3日-4日）

CVE 编号	受影响产品	漏洞类型	截止日期
CVE-2025-48595	Android 14+	整数溢出 LPE	6月5日
CVE-2022-0492	Linux 内核	容器逃逸 LPE	6月5日
CVE-2026-41091	Microsoft Defender	本地权限提升	6月3日
CVE-2026-45498	Microsoft Defender	拒绝服务	6月3日
CVE-2024-21182	Oracle WebLogic	T3/IIOP 未授权访问	6月4日
CVE-2026-34926	Trend Micro Apex One	预认证 LPE	6月4日
CVE-2025-34291	Langflow	CORS + Token 窃取	6月4日

五、重点行动建议

🔥 最紧急：Citrix NetScaler 用户立即修补 CVE-2026-3055（CVSS 9.8，大规模在野利用中）

🔥 紧急：Magento 电商站点立即升级 Mirasvit Cache Warmer 至 1.11.12+

🔥 紧急：Windows 管理员安装 6 月安全更新（Netlogon CVE-2026-41089 在野利用）

⚠️ 高优先：Redis 管理员升级至修复版本（同时修复 CVE-2026-23479 和 CVE-2026-23631）

⚠️ 高优先：Android 设备推送 6 月安全补丁（CVE-2025-48595 零日利用）

⚠️ 高优先：Linux 容器主机验证内核已修补 CVE-2022-0492

⚠️ 注意：WordPress 站点检查并升级 ARMember Premium 插件

📢 免责声明：本报告仅供安全研究和防御参考，漏洞利用代码仅用于授权测试环境。请遵守所在地区法律法规，未经授权的渗透测试属于违法行为。