灵砚周刊·网络安全 2026-W36

SPEED READ

本周速览

公网可见的积木报表实例应立即升级或限制访问

THREADS

周线索

1. 积木报表RCE批量利用窗口已打开

8月31日，奇安信CERT发布JeecgBoot积木报表autoexport远程代码执行漏洞（QVD-2026-56805）的已复现安全风险通告，微步在线同日发布原创漏洞分析；9月1日，长亭安全课堂再次复现确认。三家机构两日内相继复现，说明该漏洞利用门槛低、前置条件少。JeecgBoot在国内政企系统部署面广，报表接口常随业务系统暴露公网，预警密集出现通常意味着PoC已开始流通，批量扫描与利用会紧随其后。运维应立即盘点公网可见的积木报表实例并按通告升级，暂时无法升级的先限制接口访问。

2026-08-31：奇安信CERT发布已复现风险通告，微步在线发布原创漏洞分析，均指向autoexport接口的远程代码执行。（奇安信CERT / 微步在线研究响应中心）
2026-09-01：长亭安全课堂复现该漏洞，三家机构预警齐备，处置窗口收紧。（长亭安全课堂）

阅读 1 阅读 2 阅读 3

BRIEFS

本周其余要闻

鲍曼泄露文件曝光GRU网络战人才梯队：建制化供给意味着俄系国家级威胁将更持久、更成规模。阅读 1
攻击者在开源项目PR评论投出10个毒包，官方来源证明不再等于安全：供应链扫描须覆盖讨论区。阅读 1
ServiceNow满分漏洞三连爆、接管门槛归零：持有相关实例的团队应立即核对版本、收敛暴露面。阅读 1 阅读 2
勒索团伙把Cursor装进工具箱，Aurora又误泄自家家底：AI编码工具已进攻击作业流，也成防守方取证线索。阅读 1
METR密钥三周被盗刷60万美元，AI密钥正成黑产提款机：额度告警与即时轮换是止损底线。阅读 1
Hugging Face入侵第三天，上千Agent互授权致刹车失灵：Agent间信任链需要最小权限与人工熔断。阅读 1
Fable 5.1发布即泄27万字提示词，护栏成软肋：提示词须按机密资产管理，泄露要有预案。阅读 1 阅读 2
AI把0-day熬成半日漏洞：披露到武器化的窗口压至小时级，零日不再保值，补丁与检测都得提速。阅读 1 阅读 2
网信办AI乱象治理二阶段查处4.9万账号：执法常态化，平台与Agent运营方的合规成本上升。阅读 1 阅读 2 阅读 3
宇树G1蓝牙劫持可蠕虫式传染，物理感染链成真：机器人物理层安全需纳入固件与近场通信防护。阅读 1
IDScan疑泄1.5亿份证照，身份验证层成单点故障：KYC供应商风险须纳入第三方评估与替代预案。阅读 1
Langflow接连沦为靶子、AI密钥成新战利品：编排工具上线先改默认配置、收敛暴露面，密钥落地即轮换。阅读 1 阅读 2
Sality跑满23年仍被拔除：P2P不是免死金牌，顽固botnet靠长期监测加协同执法也能清账。阅读 1
Chrome V8 0day已被野外利用，补丁窗口就是暴露窗口：浏览器更新与流量侧检测都在和时间赛跑。阅读 1 阅读 2
AI密钥猎杀第二天，CISA将LiteLLM拉进KEV：AI网关默认配置缺陷升级为联邦必修项，风向已明。阅读 1

SHELF

本周书架

【案例】字节实践 | Agent 提示词注入攻击：一场需要长期应对的安全挑战

借字节实战复盘搞清Agent提示词注入的攻击路径与长期防御思路，为智能体安全建设定优先级。

查看摘要与阅读入口

【案例】商业级加固 Native Loader 与 VMP 解释器逆向分析实战

拆解商业加固Native Loader与VMP解释器的实战逆向法，高强度混淆样本不再无从下手。

查看摘要与阅读入口

【教程】通过 AD CS RPC 端点将 IIS AppPool 提权至 NT AUTHORITY/SYSTEM

IIS失守后如何借AD CS RPC端点拿到SYSTEM：一条完整提权链，渗透与加固检测都能照做。

查看摘要与阅读入口

【案例】前沿 | 智能眼镜安全风险分析及对策建议——以Meta智能眼镜跨境数据泄露事件为例

以Meta眼镜泄密事件为样本，摸清可穿戴设备跨境数据风险，为硬件合规与防护定基线。

查看摘要与阅读入口

【教程】如何免费拥有一个.arpa域名

免费获取.arpa域名的实操步骤，红队搭基础设施、做DNS实验可直接省下注册成本。

查看摘要与阅读入口

RECALL

观察回收

更多主流Agent框架是否会被发现同类运行层缺陷？ → 未决：本周仅积木报表RCE批量利用线索，属BI组件，未涉及Agent框架运行层缺陷。
无线程后门技术是否会被更多恶意软件采用？ → 未决：本周无线程后门相关样本或分析线索，无证据支持或削弱该趋势。

NEXT WEEK

下周观察

积木报表漏洞是否出现大规模在野利用？（加强：蜜罐或客户日志监测到针对autoexport接口的批量扫描与利用请求。；削弱：公网暴露实例明显收敛，且无利用成功的事例报告。）
公开PoC是否开始扩散？（加强：代码托管平台或社群出现可运行的公开PoC与利用演示。；削弱：一周内无公开PoC，相关讨论热度回落。）