当前位置：首页 > IDC > 安全 > 文章列表

Next.js两个漏洞不用登录就能执行代码，没有绕开办法，只能升级

Next.js在10月14日发了两个补丁版本，16.4.1和15.5.28，修的是三个问题，其中两个评为Critical。这批修复本来排在9月的安全版本里，因为上游依赖没跟上才单独发了一次带外更新。两个Critical的编号是GHSA-673q-mjm6-r5xr和CVE-2026-96889，查公

2026-10-22 14:18
next.js 远程代码执行
Nginx这次修5个漏洞，三个是内存问题，先看配置符不符合

Nginx在10月14日发布1.30.6与1.31.7两个维护版本，一次修掉五个安全漏洞。三个属于内存访问类问题，评分最高的一项达到9.2。评分描述后果，不描述难度9.2分对应的是内存被破坏之后可能造成的后果，评分只衡量后果，不衡量触发难度。这五个漏洞都需要特定配置才能走到出问题的代码路径：加载了哪

2026-10-20 10:40
nginx安全更新
修复漏洞的PR刚提交几分钟，探测请求就出现在日志里了

剑桥大学计算机科学教授、OCaml编译器核心维护者AnilMadhavapeddy最近写了一篇文章，讲的是他自己修一个路径遍历漏洞的经历。补丁本身并不复杂，按老规矩，流程该是私下修好、通知受影响的用户，之后再发公开安全公告。但他注意到，把修复这个问题的拉取请求提交上去之后，才过了几分钟，Web服务器

2026-10-14 15:48
漏洞披露开源安全
fail2ban装完之后，服务器被反复试密码这事就不用你手动封IP了

把一台服务器放到公网上，用不了几个小时，日志里就会堆起大量来自各地的登录失败记录。它们不是针对你，而是自动化脚本在全网扫端口，看到远程登录端口开着就一路试下去，字典里装着几万个常见用户名和密码组合。你什么都没做错，只是门开着，而门外有人在挨个拉门把手。这些尝试大多来自固定的几类脚本，它们扫描全网、批

2026-10-10 16:25
fail2ban 防爆破服务器安全日志封禁
钓鱼邮件伪装成会议邀请，装完MSP360再顺手投一个ScreenConnect

A5站长网10月1日消息，微软披露了一起尚未归因的钓鱼活动：攻击者把合法的MSP360远程监控与管理软件安装程序伪装成别的文件投递给目标，等它装好之后，再借这个工具给自己开一条第二远程通道。这条链路的关键不在于用了什么漏洞，而在于用的全是正版软件、合法签名和系统自带能力。入口是钓鱼邮件，伪装成会议邀

2026-10-01 10:12
钓鱼邮件
Zimbra邮件服务器漏洞正被利用，构造的SMTP请求无需登录即可执行命令

A5站长网10月1日消息，微软安全研究团队披露，攻击者正在利用Zimbra邮件服务器（ZCS）中一个已经修复的漏洞投放网页后门并读取邮箱数据。漏洞编号为CVE-2026-73570，CVSS评分8.9，属于无需认证的操作系统命令注入，可导致远程代码执行。漏洞本身在7月发布的10.1.20版本中已被修

2026-10-01 10:12
zimbra邮件服务器 webshell
AI记忆框架MemTensor遭投毒，npm和PyPI包里藏了窃密程序

A5站长网9月27日消息，安全公司StepSecurity发出告警：开源AI记忆框架MemTensor的软件包遭到供应链投毒。攻击者先偷走了MemTensor在GitHubActions里的发布令牌，接着在9月23日把带毒版本推送到npm包仓库和PyPI仓库。被投毒的npm包是@memtensor/

2026-09-27 13:41
memTensor遭投毒 ai安全
公开表单骗过Agentforce，SalesBleed把客户资料顺着DNS送走

安全研究机构ZenityLabs在9月24日披露了SalesBleed漏洞链，攻击目标直指Salesforce的AI智能体Agentforce。攻击者不需要登录、也不需要骗到任何员工点击，只要往企业公开的Web-to-Lead表单里塞进一段看似正常的留言，里面藏着发给Agentforce的隐藏指令。

2026-09-27 13:38
ai安全提示词注入 salesbleed漏洞链
cPanel一次修补三个漏洞：一个主机账户就能拿到root

A5站长网9月24日消息，主机面板的cPanel漏洞被一次修补了三个，全部影响cPanel&WHM的120及以后版本，其中最严重的那个能提权到root。cPanel在公告里的描述很直接：任何拥有一个cPanel主机账户的人都能以root身份运行代码，取得对服务器的完全控制。三个漏洞按危险程度排。CV

2026-09-24 14:03
cpanel漏洞
GitLab修复满分漏洞，未认证用户可读取服务器任意文件

A5站长网9月20日消息，GitLab修复了一个评分满分的路径遍历漏洞，编号CVE-2026-85706，CVSS评分为10分。问题出在仓库提交接口上，路径限制不当与认证校验缺失同时存在，未认证的攻击者可以构造请求跳出预期目录，读取服务器上的任意文件。漏洞影响18.7到19.1.8之前、19.2到1

2026-09-20 17:27
gitlab修复漏洞
Brevo供应链攻击复盘：仿冒验证页与WordPress后门

9月17日，邮件营销与CRM服务商Brevo（原Sendinblue）发布事件复盘，说明9月14日发生的一起供应链攻击。攻击者获取了Brevo一个拥有账户完整权限的CloudflareAPI密钥，该密钥以硬编码形式长期存放在应用源码中；随后攻击者创建了恶意的CloudflareWorker、路由与D

2026-09-19 17:27
cloudflare worker 恶意插件
BIND9修复14个漏洞，单个 DoH请求即可致named崩溃

A5站长网9月19日消息，互联网系统协会发布BIND9.20.29与9.21.26，修复14个安全漏洞。BIND是使用范围最广的开源DNS服务器软件之一，此次更新覆盖当前稳定分支与开发分支，安全预览版本9.20.29-S1同步获得修复。官方表示目前没有发现这些漏洞被在野利用，也没有提供绕过方案，建议

2026-09-19 17:26
安全漏洞 bind 9
CC 攻击与小流量打压应急：limit_req 与 fail2ban 联动

深夜CPU飙高，access.log里同一个IP一秒十几个请求，全是打首页或某个重接口——这就是CC攻击的典型画面：不需要大带宽，用看似正常的请求把你的PHP进程池和数据库耗干。小站被CC打压太常见了，好在防护组合拳很成熟：Nginx的limit_req做第一道限流，fail2ban盯着限流日志封I

2026-09-07 11:30
cc攻击服务器故障排查
被CC打挂之前先做这三步：SYN Flood内核参数调优实战

SYNFlood的原理一句话：攻击者狂发TCP握手第一个包（SYN），但不回第三次握手的ACK，服务器傻等，半连接队列被占满，正常用户的握手请求进不来，表现为网站打不开但机器负载并不高。这种攻击成本极低，一个脚本就能打，站长几乎人人会遇到。先确认是不是这个病：ss-s看一眼，或者netstat-an

2026-08-30 10:35
php教程服务器安全
看日志全是爆破IP？fail2ban 自动封禁，还你一个清净的 auth.log

SSH换了密钥登录确实安全了，但日志里成千上万条爆破记录看着还是烦，而且这些扫描流量本身也占资源。对付暴力破解还有更主动的武器：fail2ban，盯着日志看谁在反复试错，超过阈值自动封IP。字典攻击对它毫无办法。#安装yuminstall-yepel-release&&yuminstall-yfai

2026-08-28 15:29
服务器一开机就有爆破记录？SSH 加固三步走，把扫描者挡在门外

随便找台开了22端口的服务器看下日志，lastb命令刷出来一屏又一屏的失败登录，全是脚本在扫弱口令。密码登录是当前云主机被打穿的头号入口，加固只需三步，半小时搞定，收益却是终身的。第一步，改用密钥登录。本机生成密钥对，公钥放到服务器：#本机生成（一路回车，或设个口令更稳）ssh-keygen-ted

2026-08-28 15:08
服务器安全
波士顿科学遭网络攻击：全球业务运营中断，订单处理与发货受影响

8月26日，全球知名医疗器械公司波士顿科学向美国证券交易委员会提交8-K文件，披露公司于8月25日检测到一起网络安全事件。事件导致部分IT系统网络中断，全球业务运营受到干扰，包括订单处理和发货能力。公司表示“全面恢复的时间表尚不明确”，目前尚未确定事件是否会造成重大财务影响。波士顿科学主要生产心脏起

2026-08-27 19:58
网络安全网络攻击
CSRF不是别人的故事：二十行代码给表单上token

攻击者做一个页面，里面藏一个自动提交的表单，目标是你网站的转账或改密接口。用户恰好登录着你的站，浏览器带着cookie把请求发出去了，服务端一看登录态有效，照办。整个过程攻击者碰不到cookie一个字节——这就是CSRF。防御核心是让攻击者猜不到的东西出现在请求里：一次性token。表单里埋一个随机

2026-08-27 17:20
Web
PHP session劫持离你不远：四个配置项今晚就查

拿到用户的sessionid就等于拿到登录态，劫持者不需要密码。sessionid主要从cookie里来，而cookie默认配置相当裸奔：脚本可读、明文传输、无严格归属校验。四个ini配置补齐这些洞。;php.inisession.cookie_httponly=1;JS读不到cookie，防XSS

2026-08-27 12:10
php教程 php建站系统
五个HTTP安全响应头：一次配置，常年免受常见攻击

安全测评报告里总有几条跨站脚本、点击劫持的隐患，其实大部分不是代码漏洞，是响应头没配。五个安全头一次加齐，十分钟后生效，属于性价比最高的加固动作。#nginxserver块里直接加add_headerX-Content-Type-Options"nosniff"always;add_headerX-

2026-08-27 10:10
https协议
别只会tail：用awk五分钟从访问日志揪出异常IP

服务器被打了、被采集了、被扫描了，证据全在access.log里躺着。多数人的操作是tail-f盯屏幕，看完一千行记住的没几条。日志分析的正确姿势是聚合统计，awk就是干这个的，装都不用装。第一件事，统计访问量最高的前二十个IP，看有没有异常大户。#取访问量Top20的IPawk'{print$1}

2026-08-27 09:32
服务器安全
ssl证书如何安装到服务器

安装SSL证书到服务器需要通过几个关键步骤：登录SSL证书控制台下载证书，生成并提交证书请求文件(CSR)，将证书上传至服务器，并在服务器配置文件中启用SSL，最后重启服务器并测试证书的有效性。Rak小编为您整理发布ssl证书如何安装到服务器。

2024-09-18 09:16
ssl证书
ssl证书有什么作用

SSL证书的主要作用是确保网络数据传输的安全性和验证服务器身份。在互联网的世界中，SSL证书发挥着重要的角色，它不仅保护数据的安全传输，还确立了用户与网站间的信任关系。SSL证书为互联网通信提供了一层必要的安全屏障，使得在线交易和传输敏感信息成为可能。Rak小编为您整理发布ssl证书有什么作用。

2024-09-11 11:46
ssl证书
ssl证书申请流程及详细操作步骤

SSL证书的申请流程通常包括几个关键步骤，这些步骤涉及选择CA机构、申请证书、验证域名所有权以及安装和配置SSL证书。下面rak小编将详细解释每个步骤的操作流程和注意事项。

2024-09-11 11:46
ssl证书申请流程
派拓网络安全防为先 | 胜兵先胜而后求战，谋定安全始于预见

知天知地，胜乃可全—《孙子兵法》当办公方式发生改变从写字楼集中作业到家庭式分散办公无处不在的风险令人担忧而更大的担忧是企业不知道风险在哪里要想拿到网络攻防战的主动权掌握制胜关键对网安形势、企业资产了如指掌尤为重要正如你无法保护你看不见的东西提高对资产的可见性才能构建良好的风险管理能力胜兵先胜，而后求

2024-09-03 09:26
电竞申奥成功，网络威胁日益凸显，安全防护至关重要

今年8月以来，我国电子游戏领域佳讯不断。先是8月12日，在2024年电竞世界杯《街霸6》项目总决赛中，中国35岁“老将”曾卓君逆转击败日本选手夺冠!后有8月20日，中国、乃至全球华语玩家期待四年的单机游戏“黑神话:悟空”上线，创造了STEAM平台220万玩家同时在线、全平台超450万份的销售奇迹。可

2024-08-28 11:42
如何通过Check Point Harmony DLP 确保 AI 时代的数据安全

CheckPointHarmonyDLP（数据丢失防护）是一款先进的数据安全解决方案，专为AI驱动型工作场所而设计保护AI时代数据资产在当今的数字化环境中，无论规模大小与业务领域，数据已成为企业的战略性资产。随着生成式AI工具被快速用于提高生产力，企业内的数据分享也达到了前所未有的水平。尽管这场AI

2024-08-16 12:01
中国在线反欺诈市场代表性厂商，瑞数信息再获IDC认可

随着数字化转型浪潮不断推进，企业和个人在享受数字业务系统带来的便捷与高效的同时，也面临着日益严峻的网络欺诈威胁。网络钓鱼、恶意软件、勒索软件等欺诈手段层出不穷，并且随着人工智能技术的滥用，欺诈行为愈发难以识别和防范。近日，IDC发布《AI助力下的中国在线反欺诈市场洞察（2024）》报告，深入分析中国

2024-04-25 16:32
AI驱动网安未来---Check Point 中国区用户和合作伙伴大会成功举办

突破性的本地化平台和战略洞察力将进一步提升网络安全新格局中国，上海-2024年4月18日，领先的云端AI网络安全平台提供商CheckPoint软件技术有限公司（纳斯达克股票代码：CHKP）今日宣布“AI驱动网安未来”—CheckPoint中国区用户及合作伙伴大会在上海顺利召开！在本次大会中，超过40

2024-04-22 11:35
反勒索，怎样才是真正有效的数据备份？

一直以来，勒索软件就是企业的心头大患，2024年还将持续困扰各行各业。在CNCERT国家工程研究中心发布的“2024年七大网络安全威胁”中，第一个就是勒索软件。新的一年，勒索软件将呈现出哪些新的技术方向和组织形式，又演变出哪些勒索手段？面对这些新挑战，企业反勒索手段该何去何从？2024年勒索软件呈现

2024-04-10 17:20