CVE-2013-4786 已有 13 年历史，仍有 24,650 台 BMC 在登录前暴露其 IPMI 哈希值
Lava 在 2026 年 5 月扫描了网络：发现了 36,872 个暴露的 BMC 接口，其中 24,650 个仅通过 RAKP 请求即可泄露 IPMI 哈希。一个存在 13 年之久的规范漏洞，无法修补，Supermicro、HPE iLO 和 Dell 位列首批受影响者。
Jul 28, 2026 12 3
Kimi K3 在显微镜下：AISI/CAISI 研究所评估其网络能力，Redis RCE PoC 浮现
新增证据加入“进攻性大语言模型”档案：在 Hugging Face 数据泄露事件和 OpenAI 沙盒突破后，英国人工智能安全研究所（UK AISI）与加拿大人工智能安全研究所（CAISI）发布了对 Kimi K3 的初步评估报告——该中国开放权重模型参数量达 2.8 万亿。与此同时，一位研究人员通过该模型获取最新 Redis 服务器后，公开了一个可用的漏洞利用代码。
Jul 25, 2026 7 2
Steam Frame：Valve 将其“欢迎之旅”添加至 Steam 后端——发布日益临近
Valve的PC VR头盔仍未公布正式发布日期和价格，但后端准备工作正在加速。继在贝尔维尤收到三批大宗货物后，服务器端最近又出现了“Welcome Tour”教程。
Jul 25, 2026 2 1
Bing Images：两个陷阱SVG，ImageMagick在Microsoft服务器上执行SYSTEM代码
CVE-2026-32194 与 CVE-2026-32191，均为 CVSS 9.8。两个针对 Bing 图像搜索流程的命令注入漏洞：只需一个 SVG 文件，其 `image` 属性以「|」开头，即可触发 ImageMagick 在 Microsoft 服务器端执行 shell 命令。该漏洞由自主创业公司 XBOW 发现，已于 2026 年 3 月修复，今日公开披露。
Jul 24, 2026 4 2
Azure DevOps MCP：PR 中的隐形评论会误导 AI 审核代理
一个隐藏在Azure DevOps拉取请求中的简单评论，可能会让AI代码审查助手反噬其主——并让其窃取攻击者原本无权访问的项目。该漏洞藏身于微软官方MCP服务器中。
Jul 22, 2026 8 2
克拉托斯：德国警方拆除钓鱼即服务工具包，一名嫌疑开发者在印度尼西亚被捕
超过200台服务器被摧毁，一名疑似开发者在巴厘岛被逮捕：德国警方在国际联盟协助下，终结了名为“Kratos”的按日租用钓鱼套件，该套件专门针对欧洲银行账户。
Jul 22, 2026 8 2
「半秒」：XZ 后门终于在一本书中讲述了它的故事
Le récit détaillé de XZ Utils 攻击以书籍形式发布。回顾这一险些危及大多数 Linux 服务器的事件——以及这本书似乎带来的启示。
Jul 19, 2026 8 2
OpenSSL HollowByte：仅需 11 字节即可冻结 TLS 服务器的内存
一条仅11字节的TLS请求就能令OpenSSL服务器的内存膨胀至拒绝服务。一种可怕的非对称DoS攻击。
Jul 18, 2026 2 1
wp2shell：WordPress 核心中的严重漏洞允许未经身份验证的远程代码执行
WordPress 核心中的排污缺陷允许未经身份验证的攻击者在服务器上执行任意代码。立即修补。
Jul 18, 2026 3 1
为让Steam运转，黑客将SSD塞入游戏机外壳重制墨盒
一位模组玩家将旧游戏卡带的外壳改造成 Steam 游戏 SSD 的收纳盒。这个充满怀旧情怀的物件重现了实体媒介的魔力——无需破解 DRM，也无需联网服务器。
Jul 18, 2026 6 2
「Debian vanilla 很一般」：这句热门言论重新点燃了发行版之战
本周发表的一篇评论文章重新引发了一个老话题：纯粹的Debian是否还值得与其衍生版本相提并论？对一个敏感话题的深入分析。
Jul 17, 2026 18 3