T00ls公开频道 | T00ls.com | 低调求发展，潜心习安全！
الذهاب إلى القناة على Telegram
⭐ T00ls官方Telegram 频道，分享中文网络安全圈最新安全资讯，剖析有关黑客攻击的技术研究。 📨 邮箱：admin@t00ls.net 🌐 网站： https://www.t00ls.com
إظهار المزيد4 334
المشتركون
+224 ساعات
+377 أيام
+16830 أيام
أرشيف المشاركات
新型 wp2shell WordPress 核心漏洞可让未认证攻击者执行任意代码（作者：ranran）
WordPress 修复了一个代号 wp2shell 的核心高危漏洞，攻击者无需身份验证即可通过匿名 HTTP 请求在默认安装环境中实现远程代码执行（RCE），并无需安装任何插件即可受到影响。漏洞由 Assetnote 研究员发现，并影响 WordPress 6.9.0–6.9.4 和 7.0.0–7.0.1，但已分别在 6.9.5 和 7.0.2 中修复。研究人员暂未公开 PoC，而是提供在线检测工具，希望为网站管理员争取更多升级时间。由于漏洞尚未分配 CVE 编号，目前依赖 CVE 的安全扫描工具无法检测该漏洞，官方建议用户尽快升级至最新版本。
安全公司曝光Cursor AI编码助手安全漏洞 通报超过7个月未修复只能选择公开曝光（作者：sasser）
又是草台班子：安全公司公开曝光 SpaceX Cursor AI 编码助手安全漏洞，通报漏洞 7 个月始终无人回应且漏洞没有修复。该漏洞非常简单，Cursor 因为逻辑问题会在开发者打开项目仓库时自动执行 git.exe，如果仓库里包含的 Git 文件是恶意的，那也会被自动执行。正常情况下 IDE 应该从系统路径里或开发者配置的可信任路径查找 Git，Cursor 的做法完全违反安全原则。更可气的是，从去年 12 月开始通报，到现在 Cursor 发布 70 多个版本更新，漏洞始终未修复，也没人回应这事儿。
Progress Software已紧急通知其ShareFile客户要求ShareFile客户因安全威胁关闭存储区控制器（作者：kalio）
ShareFile客户的存储区控制器被未授权访问攻击，该公司证实，此举是为了应对一起外部安全威胁。
新思路！游戏(帝国时代II)也可以触发远程代码执行 黑客可以获得系统控制权（作者：sasser）
新思路！游戏也可以成为攻击入口：安全研究员在经典游戏《帝国时代 II》中发现漏洞，创建特定大厅并邀请玩家加入即可触发 RCE。该漏洞已经在 4 月修复，不过直到本周微软才分配 CVE 编号并公布漏洞，微软对漏洞的评分为 8.8 分，即属于高危级别的漏洞。
密码管理器厂商LastPass紧急警告用户 小心最近一直以来的针对该平台用户的网络钓鱼攻击（作者：beiank）
攻击者通过发送伪造的安全通知，企图引诱用户访问欺诈性网站。
SonicWall 警告 SMA1000 漏洞已遭到零日攻击的利用（作者：ranran）
SonicWall 警告，攻击者正在利用 SMA1000 系列设备中的两个零日漏洞（CVE-2026-15409 和 CVE-2026-15410）发起实际攻击，并敦促受影响的用户立即安装最新热修复程序。官方建议管理员检查已公布的入侵指标（IOC），如确认设备遭到入侵，应重新部署设备并更换所有相关凭据，以降低进一步被攻击的风险。
微软的 “7 月补丁星期二” 披露 622 项漏洞（作者：ranran）
Microsoft 在 2026 年 7 月 Patch Tuesday 发布了 622 项漏洞的修复信息，其中包括创纪录的 416 项 Windows 漏洞。
日本最大的出租车运营商在遭受网络攻击后关闭系统（作者：kalio）
日本最大的出租车运营商日本出租汽车公司宣布其系统在一次网络攻击中被攻破，迫使其关闭部分基础设施。
事件发生在周末，星期六早上，影响了公司的出租车调度系统，该系统至今仍无法正常使用。
日本最大的出租车和私人司机（雇佣）运营商是日本出租汽车公司（Nihon Kotsu），年收入约为10亿美元（1550亿日元）。
猫尔特曼：SpaceX和星链官方账号被盗 用来转发Q版山寨奥尔特曼发布的诈骗迷因币（作者：sasser）
猫尔特曼：SpaceX 和星链官方社交账号被盗，用来转发猫头版萨姆奥尔特曼发布的诈骗迷因(MEME)代币。这个诈骗团伙非常有意思，使用的账号仿冒萨姆奥尔特曼，但使用的头像是 Q 版猫头，账号名称叫萨姆猫尔特曼。恰逢昨天马斯克与奥尔特曼在 X 上撕逼，这个时候盗号掺和进来看起来是不嫌事大。
勒索组织Unsafe声称 TA们 已窃取德意志银行内部数据（作者：beiank）
并在其勒索网站上发布了看似属于该银行员工数据库的记录，以此作为实施勒索的证据。
