Fnet 云网安 260728

️ NSOC（网络·安全·云一体化运营中心）
7×24主动监控与专家值守，网络可用性99.99%，安全事件100%闭环，云资源一站式管理

今日热点 Top 5

S1 Hermes AI Agent被用于泰国财政部无人值守后渗透：攻击自动化开始接管入侵流程

核心内容

Hunt.io与研究人员在暴露目录中发现585个文件、约470MB攻击者数据，包括凭证、WebShell、漏洞扫描记录、LinPEAS枚举结果和Hermes调用日志。日志显示，开源AI Agent在“无人值守”模式下完成内核漏洞扫描、递归文件遍历和敏感资料访问。

AI Agent 无人值守攻击 凭证泄露 后渗透

为什么重要

• 攻击者把AI从辅助分析工具变成了持续运行的入侵操作员，人工确认点明显减少

• 暴露目录同时保存工具、日志和窃取数据，说明攻击链的自动化基础设施本身也可能成为取证入口

• 企业不能只监控恶意文件，还要识别异常的自动化枚举、凭证调用和跨主机连续动作

• 建议立即检查AI Agent、脚本账号和自动化平台的高权限范围，给无人值守任务设置时限与人工闸门

顾问金句

这次事件的变化不在于攻击者用了一个新工具，而在于“入侵节奏”开始由机器维持。过去安全团队追踪一次攻击动作，现在要追踪一套会自己继续推进的行为链。建议企业把自动化账号、Agent工具调用和高风险动作纳入同一条审计链。

S2 Claude Cowork沙箱逃逸：CVE-2026-46331可突破本地虚拟机访问Mac文件

核心内容

研究人员披露，Claude Cowork本地执行模式可通过Linux内核漏洞CVE-2026-46331完成权限提升，再利用VirtioFS共享路径访问宿主Mac文件。披露材料称，风险涉及SSH密钥、云凭证及用户目录中的其他敏感数据，约50万本地会话用户曾处于影响范围。

Claude Cowork CVE-2026-46331 沙箱逃逸 凭证保护

为什么重要

• AI Agent的沙箱边界一旦与宿主机共享目录、凭证和可写挂载耦合，单个内核漏洞就可能放大为主机级风险

• 本地执行和云端执行的风险面不同，企业不能用同一套控制标准管理两种模式

• 开发者工作站往往同时存放代码仓库、云访问密钥和浏览器会话，失陷后的横向价值很高

• 建议禁用不必要的本地执行，收紧共享目录、用户命名空间和内核模块加载策略

顾问金句

AI Agent的“隔离”不能只看有没有虚拟机，还要看虚拟机能触碰宿主机什么。沙箱像门，挂载点和凭证才是门后的钥匙。建议企业把本地Agent视为高权限工作负载进行分级管理。

S3 vBulletin CVE-2026-61511公开未认证RCE利用：互联网内容平台进入快速暴露期

核心内容

7月27日公开的PoC可通过未认证请求触达vBulletin模板引擎中的PHP eval()路径，在无需账号和用户交互的情况下执行任意代码。受影响版本包括6.2.1、6.1.6及更早版本，已修复版本为6.2.2。

vBulletin CVE-2026-61511 PoC 未认证RCE

为什么重要

• 公开PoC把漏洞从“厂商公告”推向可直接复用的攻击阶段，暴露平台的响应窗口被压缩

• 论坛、社区和客户门户通常承载大量账号与业务数据，且常被互联网直接访问

• 未认证RCE不依赖钓鱼和内部权限，适合被自动化扫描器批量发现

• 建议企业立即盘点vBulletin版本、外网暴露面和WebShell迹象，并优先升级

顾问金句

公开PoC之后，漏洞管理的单位不再是“补丁周期”，而是“攻击者学会利用之后还剩多少时间”。建议企业把外网内容平台纳入高频暴露面核查，而不是等漏洞进入常规月报。

A4 n8n沙箱逃逸修复：已认证工作流用户可执行宿主机命令

核心内容

n8n修复了表达式沙箱逃逸漏洞GHSA-gv7g-jm28-cr3m（CVSS 8.7）。具备工作流创建或修改权限的已认证用户，可能绕过表达式限制，以n8n进程权限执行操作系统命令。修复版本为2.31.5和2.32.1。

n8n GHSA 沙箱逃逸 工作流安全

为什么重要

• 低代码自动化平台把业务连接器、凭证和脚本集中在一起，工作流权限往往比普通应用权限更接近执行层

• “已认证”不等于低风险，内部账号、被盗会话或供应链账号都可能成为入口

• n8n常被部署在企业内部并连接数据库、工单和云服务，失陷后横向价值高

• 建议核查版本、收紧工作流编辑权限、轮换平台凭证并审计最近新增工作流

顾问金句

自动化平台的风险，不只是它能不能跑流程，而是流程背后握着多少凭证和连接器。n8n漏洞提醒我们：工作流编辑权限本质上接近代码执行权。建议企业把低代码平台纳入特权访问和变更审计范围。

A5 Fastjson CVE-2026-16723被利用：看似安全版本仍可触发Spring Boot RCE

核心内容

研究人员披露，fastjson 1.2.83仍存在可利用链，攻击者可组合盲SSRF与/proc/self/fd临时文件读取，在Spring Boot fat-jar部署中实现远程代码执行。影响范围覆盖1.2.68至1.2.83，相关利用已被观察到。

Fastjson CVE-2026-16723 Spring Boot RCE

为什么重要

• “已升级到安全版本”并不代表风险结束，组件链和部署方式可能重新打开攻击路径

• Spring Boot服务常被广泛复制部署，一个基础组件缺陷可形成大面积同构风险

• 传统依赖版本号的治理需要补上运行时暴露面、配置和调用链判断

• 建议核查fastjson实际加载版本、禁用不必要的AutoType与SSRF路径，并检查异常请求和进程行为

顾问金句

Fastjson事件说明，版本号只是风险判断的起点，不是终点。真正需要回答的是：这个组件在哪里运行、能访问什么、异常请求能否到达高价值资源。建议企业把组件清单、运行时暴露面和异常行为放进同一套漏洞处置流程。

趋势分析

过去24小时的主线很清楚：AI开始进入攻击执行链，沙箱与工作流平台的执行边界被反复碰撞；与此同时，公开PoC和组件级RCE继续压缩企业补丁窗口。变化带来的影响是，传统“发现漏洞—排队修补”的线性流程越来越慢，企业需要把资产暴露面、Agent行为、凭证使用和补丁验证放进同一条持续运营链。眼下最实际的动作，是先盘点本地AI执行环境和自动化平台，再按互联网暴露、权限级别和在野利用重排修补顺序。