安佰视 · 网络安全博客
专注于AI安全、CVE漏洞、渗透测试、CTF技术与攻防实战分享
-
补丁修了个寂寞：Apache Tomcat CVE-2026-34486 漏洞完整复盘
2026年4月，Apache软件基金会紧急发布了Tomcat安全更新，修复了一个诡异的高危漏洞CVE-2026-34486。这个漏洞的特殊之处在于：它并非新发现的缺陷，而是官方在修复CVE-2026-29146（填充预言机攻击padding oracle attack）时意外引入的新问题。当EncryptInterceptor解密失败时，系统继续将未经验证的原始数据传递给反序列化流程，攻击者得以绕过认证、通过Java反序列化链执行任意代码。Tomcat 9.x/10.x/11.x的多个版本均受影响，CVSS评分7.5。
-
当AI读完一个网页，你的数据可能已经不属于你了
2026年4月15日，Forcepoint发布紧急报告：过去30天，全球超过120万个公共网页被植入恶意指令，攻击者利用1像素白色文本、HTML注释、零宽字符等手段，在正常页面中隐藏劫持指令。当用户让AI助手"总结一下这个网页"时，恶意代码已在上下文中悄然激活，执行数据窃取、邮件诈骗甚至横向感染。这不是实验室演示，而是正在互联网上大规模蔓延的现实攻击——间接提示注入（IPI）正在重写AI时代的安全边界。
-
官方应用商店的"免死金牌"失效了：木马同时入侵谷歌与苹果
2026年4月27日，卡巴斯基发布报告：名为SparkCat的特洛伊木马变种同时出现在谷歌Play商店和苹果App Store，至少3款应用被感染后下架。该恶意软件伪装成企业通讯或外卖应用，一旦安装便扫描手机相册，寻找加密货币钱包的恢复助记词截图。更罕见的是，其Android版本采用了代码虚拟化技术——这在移动端恶意软件中极为少见。攻击者正用越来越复杂的技术，挑战应用商店审核的最后一道防线。
-
伪基站攻陷多伦多：数万台设备断网，连911都打不通
2026年4月，多伦多警方破获加拿大首起伪基站诈骗案。三名嫌疑人驾车在城市中发射欺诈短信，导致数万台设备断网、1300万次网络中断，受害者连紧急电话911都无法拨打。伪基站攻击的技术原理与防护指南。
-
企业文件传输平台再成噩梦：3万服务器裸奔在互联网
2026年4月，网络安全机构 watchTowr Labs 披露 Progress ShareFile 两个严重漏洞，CVE-2026-2699 认证绕过（CVSS 9.8）和 CVE-2026-2701 预认证RCE（CVSS 9.1）可组合利用，无需任何账号即可完全控制服务器。补丁已于3月10日发布，但截至漏洞公开日，全球仍有700余台实例暴露公网，3万台设备受影响。这条沦陷史从 Accellion 到 MOVEit 再到 ShareFile，从未结束。
-
当企业雇了一个"全知助手"，然后发现陌生人也在听
# 当企业雇了一个"全知助手"，然后发现陌生人也在听 2026年3月10日，微软正式发布 Azure SRE 智能体——一个能访问服务器、读取日志、执行命令的 AI 运维助手。发布公告将它形容为"基础设施运维的未来"。一个月后，安全研究员 Yanir Tsarimi 在自己的博客里写下了另一段话： > "想象一下，你雇用了一位能够访问一切的助手——你的服务器、日志、密码、源代码。现在再想象一下...
-
一条GitHub评论，劫持了三大AI编程助手
2026年4月，安全研究员发现"Comment and Control"攻击：通过GitHub PR标题或Issue评论注入恶意指令，可劫持Claude Code、Gemini CLI和GitHub Copilot三大AI编程Agent，窃取API密钥和访问令牌。Claude Code被评CVSS 9.4，Copilot的三重运行时防护全部被绕过。同期Gemini CLI又被曝--yolo模式RCE漏洞。AI编程工具正在成为新的攻击面。
-
一个AI工具攻破了百万开发者的底座：Vercel供应链入侵全复盘
2026年4月，前端云平台Vercel遭黑客入侵。攻击者从一个AI工具Context.ai的OAuth应用入手，劫持员工账户，窃取580条员工信息、NPM令牌、GitHub令牌与内部部署凭证，并以200万美元在暗网兜售。这是一场没有零日漏洞、没有复杂漏洞链的入侵——全靠OAuth信任链的过度授权完成。
-
OpenSSH 15年漏洞：一个逗号拿下root权限
2026年4月，安全公司Cyera披露OpenSSH CVE-2026-35414漏洞：过去15年发布的版本存在证书解析缺陷，主体名中的逗号被错误解析为列表分隔符，导致低权限用户直接获取root访问权限。更危险的是，这种攻击在日志中完全不可检测——服务器会将其记录为合法认证。
-
藏在官方商店里的恶魔：NoVoice如何感染230万台安卓设备
2026年4月，Google Play商店53款应用被发现植入NoVoice Rootkit，感染超过230万台安卓设备。这款恶意软件集成22种漏洞利用技术，能够获得设备完全控制权，窃取所有数据、监听通话、控制摄像头。用户如何识别和防护？