Exposure Assessment Platforms Signal a Shift in Focus 嗯，用户让我总结一下这篇文章的内容，控制在一百个字以内。首先，我需要通读整篇文章，理解其主要观点和结构。 文章主要讨论了Gartner引入的Exposure Assessment Platforms（EAP）这一新类别，取代了传统的漏洞管理（VM）。传统VM方法在面对现代企业安全威胁时显得力不从心，因为它们无法有效处理大量CVE漏洞和持续的安全威胁。EAP通过持续威胁暴露管理（CTEM）模型，整合了资产发现、风险优先级排序和跨层可见性，帮助安全团队更高效地识别和应对实际的攻击路径。 接下来，我需要提取关键点：Gartner引入EAP的原因、传统VM的不足、EAP的新模型及其优势、市场成熟度以及对安全团队的影响。然后将这些信息浓缩成一个简洁的中文总结，确保不超过100字。 最后，检查语言是否流畅自然，并且没有使用“文章内容总结”等开头用语。 </think> Gartner引入Exposure Assessment Platforms（EAP）类别，取代传统漏洞管理方法。EAP通过持续威胁暴露管理模型整合资产发现、风险优先级排序和跨层可见性，帮助安全团队更高效地识别和应对实际攻击路径。... 2026-1-21 10:30:0 | 阅读: 0 | 收藏 | The Hacker News - thehackernews.com exposure security quadrant eaps attacker

Chainlit AI Framework Flaws Enable Data Theft via File Read and SSRF Bugs 好的，用户让我总结这篇文章的内容，控制在100字以内，而且不需要特定的开头。首先，我需要快速浏览文章内容，抓住主要信息。 文章主要讲的是Chainlit这个开源AI框架发现的安全漏洞，叫做ChainLeak。漏洞允许攻击者窃取敏感数据，比如API密钥和文件，甚至进行SSRF攻击。文章还提到了两个具体的CVE编号和评分，以及修复版本的信息。 另外，文章还提到微软的MarkItDown MCP服务器存在漏洞，称为MCP fURI，同样涉及SSRF和数据泄露的风险。修复建议包括使用IMDSv2、限制访问等。 接下来，我需要将这些信息浓缩到100字以内。重点包括Chainlit的漏洞、影响、CVE细节以及微软的问题和修复建议。 确保语言简洁明了，避免使用复杂的术语。同时，注意不要遗漏关键点：Chainlit的漏洞、攻击可能性、修复措施以及微软的问题。 最后检查字数是否符合要求，并确保信息准确无误。 </think> Chainlit开源AI框架被发现存在高危漏洞（ChainLeak），可导致敏感数据泄露、SSRF攻击及横向移动。研究人员披露了两个漏洞（CVE-2026-22218和CVE-2026-22219），分别涉及任意文件读取和SSRF攻击。修复版本已发布。此外，微软MarkItDown MCP服务器被曝存在MCP fURI漏洞，可引发SSRF和数据泄露风险。... 2026-1-21 09:10:0 | 阅读: 0 | 收藏 | The Hacker News - thehackernews.com mcp attacker ssrf chainlit

VoidLink Linux Malware Framework Built with AI Assistance Reaches 88,000 Lines of Code VoidLink是一种复杂的Linux恶意软件框架，由一人借助AI开发而成，具备隐身功能，并专门用于长期潜入Linux云环境。该恶意软件通过AI加速开发，在短时间内完成构建，并具备高度复杂性和功能性。... 2026-1-21 08:55:0 | 阅读: 0 | 收藏 | The Hacker News - thehackernews.com development voidlink llm trae security

LastPass Warns of Fake Maintenance Messages Targeting Users’ Master Passwords LastPass警告用户注意新的网络钓鱼活动，该活动伪装成LastPass服务以骗取用户的主密码。攻击者通过声称即将进行维护并要求用户在24小时内创建本地备份的钓鱼邮件引诱用户访问恶意网站。LastPass强调不会要求用户提供主密码，并正采取措施关闭恶意基础设施。... 2026-1-21 06:40:0 | 阅读: 0 | 收藏 | The Hacker News - thehackernews.com lastpass phishing maintenance backup passwords

CERT/CC Warns binary-parser Bug Allows Node.js Privilege-Level Code Execution 好的，我现在需要帮用户总结一篇文章的内容，控制在100字以内。首先，我得仔细阅读文章，抓住关键点。 文章讲的是一个npm库binary-parser的安全漏洞，编号是CVE-2026-1245。这个漏洞影响了所有2.3.0之前的版本，已经在2025年11月26日发布了补丁。binary-parser是一个流行的解析二进制数据的库，每周下载量大约13000次。 漏洞的原因是没有对用户提供的值进行足够的清理，比如解析器字段名称和编码参数。攻击者可能通过这些输入注入任意JavaScript代码，导致代码执行、数据泄露或系统命令执行。 安全研究员Maor Caplan发现了这个漏洞，并建议用户升级到最新版本，并避免将用户控制的值传递给解析器参数。 总结的时候，我需要涵盖漏洞名称、影响范围、原因、潜在风险以及建议措施。同时要控制在100字以内，语言简洁明了。 </think> popular npm library binary-parser has a security vulnerability (CVE-2026-1245) allowing arbitrary JavaScript execution due to unsanitized user inputs in dynamically generated parser code. All versions before 2.3.0 are affected; patches released on November 26, 2025. Users should upgrade and avoid untrusted input in parser definitions.... 2026-1-21 06:4:0 | 阅读: 0 | 收藏 | The Hacker News - thehackernews.com security 2026 attacker library 1245

North Korea-Linked Hackers Target Developers via Malicious VS Code Projects 朝鲜网络威胁行为者利用恶意VS Code项目作为诱饵植入后门程序。通过GitHub等平台分享恶意代码仓库诱导目标克隆并打开项目。任务配置文件被用于执行恶意负载如BeaverTail和InvisibleFerret。这些攻击针对软件工程师尤其是加密货币和金融科技领域人士以获取敏感信息和数字资产。... 2026-1-20 18:41:0 | 阅读: 0 | 收藏 | The Hacker News - thehackernews.com remote malicious repository victim vercel

Three Flaws in Anthropic MCP Git Server Enable File Access and Code Execution mcp-server-git存在三个安全漏洞（CVE-2025-68143、CVE-2025-68144、CVE-2025-68145），可能导致文件读取、删除及代码执行。攻击者可通过恶意提示注入利用这些漏洞。官方已修复问题并建议用户更新至最新版本以增强防护。... 2026-1-20 13:55:0 | 阅读: 0 | 收藏 | The Hacker News - thehackernews.com mcp repository security arising

Hackers Use LinkedIn Messages to Spread RAT Malware Through DLL Sideloading 好的，我现在需要帮用户总结一篇文章，控制在100字以内。首先，我得仔细阅读文章内容，抓住主要信息。 文章讲的是一个新的网络钓鱼活动，利用社交媒体的私信传播恶意软件。攻击者通过LinkedIn联系高价值目标，发送恶意文件。这些文件包括合法的PDF阅读器和恶意DLL，利用DLL侧加载技术来绕过检测。最终目的是部署远程访问木马（RAT），控制受害者系统。 接下来，我需要提取关键点：新的钓鱼活动、社交媒体私信、DLL侧加载、RAT、绕过检测、影响企业安全。 然后，我要把这些点浓缩成一句话，确保不超过100字，并且直接描述内容，不需要开头语。 最后，检查语言是否简洁明了，确保信息准确传达。 </think> 研究人员发现一起新型网络钓鱼活动，利用社交媒体私信传播恶意软件。攻击者通过LinkedIn联系高价值目标，发送包含合法PDF阅读器和恶意DLL的文件包。利用DLL侧加载技术绕过检测，在受害者系统中部署远程访问木马（RAT），实现持久控制和数据窃取。... 2026-1-20 13:46:0 | 阅读: 0 | 收藏 | The Hacker News - thehackernews.com malicious phishing reliaquest python security

The Hidden Risk of Orphan Accounts 嗯，用户让我用中文总结这篇文章，控制在100字以内，而且不需要特定的开头。首先，我需要快速浏览文章内容，抓住主要观点。 文章主要讲的是企业安全中的身份问题，特别是那些被遗留下来的账户。这些账户可能来自离职员工、承包商或系统服务，长期无人管理。传统IAM系统无法有效处理这些问题，导致非人类身份如服务账户、API等也难以管理。结果就是形成了未被追踪的身份暗物质，成为企业安全的隐患。 接下来，文章提到这些孤儿账户的风险，比如 Colonial Pipeline 和 Akira 勒索软件攻击中的案例。此外，并购后常常发现大量无效账户。合规性、运营效率和事件响应都会受到影响。 最后，文章提出解决方案：持续的身份审计，通过收集身份 telemetry、统一审计日志、角色映射和持续执行来消除孤儿账户。 总结时要涵盖问题、风险和解决方案。控制在100字以内，语言要简洁明了。 </think> 企业安全中存在大量未被追踪的身份账户（如离职员工、承包商和服务账户），传统IAM系统难以管理这些“孤儿”账户及其非人类身份（如服务账号、API等）。这些未被追踪的身份形成“身份暗物质”，成为企业安全漏洞。攻击者利用这些高权限但无主的账户进行入侵。为应对风险，企业需实施持续身份审计，通过身份 telemetry 和统一审计日志等手段消除孤儿账户隐患。... 2026-1-20 11:58:0 | 阅读: 0 | 收藏 | The Hacker News - thehackernews.com identities orphan ownership orchid security

Evelyn Stealer Malware Abuses VS Code Extensions to Steal Developer Credentials and Crypto 研究人员披露了一起针对软件开发者的恶意软件活动"Evelyn Stealer"，其通过滥用微软Visual Studio Code扩展生态系统传播。该恶意软件旨在窃取开发者的敏感信息（如凭证、加密货币数据等），并可作为入侵企业系统的跳板。活动目标为依赖VS Code及第三方扩展的企业，并利用DLL下载器注入合法进程以隐藏行踪。... 2026-1-20 11:48:0 | 阅读: 0 | 收藏 | The Hacker News - thehackernews.com stealer security developer cloud exfiltrate

Cloudflare Fixes ACME Validation Bug Allowing WAF Bypass to Origin Servers 嗯，用户让我帮忙总结一下这篇文章的内容，控制在一百个字以内。首先，我需要通读整篇文章，理解其主要内容和关键点。 文章讲的是Cloudflare修复了一个安全漏洞，这个漏洞影响了他们的ACME验证逻辑。ACME是自动颁发SSL/TLS证书的协议。漏洞允许攻击者绕过安全控制，访问源服务器。发现这个漏洞的是FearsOff，在2025年10月报告的。 接下来，我需要找出文章的主要信息：Cloudflare修复了什么漏洞，漏洞的影响是什么，谁发现的，什么时候修复的。然后把这些信息浓缩到100字以内。 要注意不要使用“文章内容总结”或“这篇文章”这样的开头，直接描述内容即可。同时，要确保信息准确且简洁。 可能的结构是：Cloudflare修复了ACME验证逻辑中的一个漏洞，该漏洞允许攻击者绕过安全控制访问源服务器。该漏洞由FearsOff于2025年10月发现，并在同月修复。 检查一下字数是否符合要求，并确保没有遗漏关键点。 </think> Cloudflare修复了其ACME验证逻辑中的一个安全漏洞，该漏洞可能导致攻击者绕过安全控制并访问源服务器。该漏洞由FearsOff于2025年10月发现，并在同月通过代码更新修复。... 2026-1-20 11:12:0 | 阅读: 0 | 收藏 | The Hacker News - thehackernews.com acme security serving addressed fearsoff

Why Secrets in JavaScript Bundles are Still Being Missed 嗯，用户让我用中文总结这篇文章，控制在100字以内，而且不需要特定的开头。首先，我得通读文章，抓住主要观点。 文章主要讲的是API密钥泄露的问题，以及传统检测方法的不足。Intruder团队研究了传统漏洞扫描器的覆盖范围，并开发了一种新的秘密检测方法。他们扫描了500万个应用，发现了42,000多个泄露的密钥，特别是在单页应用中存在大量未被现有工具检测到的秘密。 所以，总结时需要包括：API密钥泄露常见、传统检测方法的局限性、新方法的应用结果、以及问题所在。还要注意字数限制，所以要简洁明了。 最后，确保语言流畅自然，不使用任何格式化标记。 </think> 文章探讨了API密钥泄露问题及其检测挑战。传统方法如静态分析和动态扫描存在局限性，难以覆盖所有潜在泄露路径。研究团队通过扫描500万个应用发现42,000多个泄露密钥，揭示单页应用中存在大量未被现有工具检测到的秘密。文章强调需加强前端代码检测以防止敏感信息外泄。... 2026-1-20 10:45:0 | 阅读: 0 | 收藏 | The Hacker News - thehackernews.com dast intruder gitlab security exposures

Tudou Guarantee Marketplace Halts Telegram Transactions After Processing Over $12 Billion 好的，我需要帮用户总结这篇文章的内容，控制在100字以内。首先，我得通读整篇文章，抓住主要信息。 文章主要讲的是Telegram上的一个非法服务市场Tudou Guarantee关闭了。这个平台处理了超过120亿美元的交易，是第三大非法市场。它停止了公开群组的交易，但赌博业务还在继续。其他类似的平台如HuiOne和Xinbi也处理了大量交易，但被Telegram关闭了一些频道。 此外，文章提到Tudou的关闭可能与柬埔寨Prince集团的CEO陈志被逮捕有关。政府也在采取行动打击这些诈骗活动。 总结的时候要涵盖这些要点：Tudou关闭、交易金额、其他平台的情况、Telegram的行动、陈志事件以及政府的努力。 现在，我需要用简洁的语言把这些信息浓缩到100字以内。 </think> Telegram上的非法服务市场Tudou Guarantee关闭，曾处理超120亿美元交易。该平台停止公开群组交易，但赌博业务继续。其他类似平台如HuiOne和Xinbi也活跃于诈骗活动。Telegram去年关闭数千相关频道。Tudou的关闭或与柬埔寨Prince集团CEO陈志被捕有关。政府正打击跨国诈骗网络。... 2026-1-20 07:40:0 | 阅读: 0 | 收藏 | The Hacker News - thehackernews.com guarantee tudou huione elliptic marketplace

Google Gemini Prompt Injection Flaw Exposed Private Calendar Data via Malicious Invites 研究人员发现了一种利用间接提示注入攻击Google Gemini的安全漏洞，该漏洞可绕过授权限制，并通过Google日历作为数据提取机制。攻击者将恶意负载隐藏在日历邀请中，当用户询问日程时，AI会提取并存储用户的会议数据。尽管问题已解决，但凸显了AI功能可能带来的新安全风险。... 2026-1-19 17:21:0 | 阅读: 0 | 收藏 | The Hacker News - thehackernews.com security agents 2026 injection attacker

⚡ Weekly Recap: Fortinet Exploits, RedLine Clipjack, NTLM Crack, Copilot Attack & More 好的，我现在需要帮用户总结这篇文章的内容，控制在100个字以内。首先，我得通读整篇文章，抓住主要信息。 文章主要讨论了网络安全的现状和最近的事件。提到了一些关键漏洞，比如Fortinet FortiSIEM的CVE-2025-64155，还有VoidLink恶意软件、RedVDS犯罪服务被微软破坏等。此外，还涉及了一些趋势，比如攻击者利用自动化工具和供应链风险。 接下来，我需要把这些信息浓缩成一个简洁的总结。要涵盖关键点：漏洞、恶意软件、犯罪服务被破坏、攻击趋势和防御建议。 要注意用词简洁，避免重复。同时，确保不超过100个字。 最后，检查一下是否涵盖了所有重要信息，并且语言流畅自然。 </think> 文章指出，在网络安全领域，正常更新与严重事件之间的界限日益模糊。新的AI工具、连接设备和自动化系统不断为攻击者创造入口，安全团队往往难以及时应对。本周报道显示，小错误或隐藏服务可能迅速演变成真实入侵。攻击者利用现有系统而非新建攻击手段，速度超过多数组织的补丁或响应能力。从代码缺陷到动态变化的恶意软件，攻击更注重隐匿和控制而非速度。保护任何连接系统的组织需关注未来攻击方向而非过去事件。本周重点包括Fortinet漏洞遭活跃利用、VoidLink恶意软件提供长期访问、微软破坏RedVDS犯罪服务等案例。文章强调当今威胁不仅限于单一入侵事件，而是来自互联弱点的多方面风险。防御需将环境视为整体互联系统持续监控而非事后应对。... 2026-1-19 13:17:0 | 阅读: 0 | 收藏 | The Hacker News - thehackernews.com 2026 microsoft security cloud malicious

DevOps & SaaS Downtime: The High (and Hidden) Costs for Cloud-First Businesses 嗯，用户让我帮忙总结这篇文章，控制在一百个字以内。首先，我需要通读整篇文章，抓住主要内容和关键点。文章主要讨论了依赖DevOps SaaS平台的风险，比如GitHub、Jira等，这些平台频繁出现故障，导致大量停机时间。同时，文章还提到了共享责任模型下企业自身的责任，以及仅依赖云备份的不足之处。最后，作者建议企业采取多层数据保护策略，并推荐了GitProtect作为解决方案。 接下来，我需要将这些要点浓缩到100字以内。要注意用词简洁明了，涵盖主要问题、解决方案以及可能的影响。例如，可以提到停机时间增加、共享责任模型的风险、数据备份不足的问题，以及建议采取的措施。 最后，检查一下是否符合用户的要求：直接描述内容，不使用特定的开头词，并且控制在100字以内。确保信息准确无误，并且表达清晰。 </think> 文章指出DevOps SaaS平台频繁出现故障和停机问题，依赖云服务并非万无一失。共享责任模型下企业需自行承担数据安全责任，而仅依赖云备份无法完全解决问题。建议企业采用多层数据保护策略以增强韧性，并推荐使用GitProtect等工具提升数据安全与恢复能力。... 2026-1-19 11:55:0 | 阅读: 0 | 收藏 | The Hacker News - thehackernews.com backup cloud downtime jira costs

New StackWarp Hardware Flaw Breaks AMD SEV-SNP Protections on Zen 1–5 CPUs 好的，我现在需要帮用户总结这篇文章的内容，控制在100字以内。首先，我得通读全文，抓住主要信息。 文章讲的是德国CISPA团队发现了一个新的硬件漏洞，影响AMD处理器。漏洞名为StackWarp，允许恶意攻击者在受保护的虚拟机中运行恶意代码，绕过AMD的SEV-SNP安全机制。受影响的处理器包括Zen 1到Zen 5系列。 接下来，漏洞的细节：攻击者可以操控虚拟机的栈指针，导致远程代码执行和权限提升。AMD将此漏洞标记为CVE-2025-29943，严重程度为中等。修复方面，AMD已经发布了微代码更新，并计划在2026年发布AGESA补丁。 总结时要简洁明了，涵盖漏洞名称、影响范围、攻击后果以及修复措施。确保不超过100字，并且直接描述内容，不需要开头语。 </think> 德国CISPA团队披露AMD处理器新漏洞StackWarp，允许攻击者操控虚拟机栈指针，绕过SEV-SNP安全机制，在受保护VM中执行恶意代码。该漏洞影响AMD Zen 1至Zen 5处理器及多款EPYC系列芯片。AMD已发布微代码更新修复，并计划于2026年提供AGESA补丁。... 2026-1-19 11:31:0 | 阅读: 0 | 收藏 | The Hacker News - thehackernews.com processors epyc sev snp security

CrashFix Chrome Extension Delivers ModeloRAT Using ClickFix-Style Browser Crash Lures 研究人员披露了一个名为KongTuke的网络攻击活动,该活动利用伪装成广告拦截器的恶意Chrome扩展故意导致浏览器崩溃,并通过虚假修复提示诱使用户执行恶意命令,最终部署名为ModeloRAT的远程访问木马。该恶意软件通过多阶段感染链传播,主要针对企业环境和普通用户,利用多种技术规避检测并建立持久性控制。... 2026-1-19 09:9:0 | 阅读: 0 | 收藏 | The Hacker News - thehackernews.com kongtuke payload joined victim security

Security Bug in StealC Malware Panel Let Researchers Spy on Threat Actor Operations StealC是一款信息窃取软件，通过YouTube等平台传播。研究人员发现其控制面板存在XSS漏洞，可获取攻击者系统指纹和会话cookie，揭示其地理位置和硬件细节。该漏洞暴露了威胁行为者的基础设施弱点，并展示了恶意软件即服务（MaaS）模式的风险。... 2026-1-19 06:53:0 | 阅读: 0 | 收藏 | The Hacker News - thehackernews.com stealc youtube stealer security cyberark

Black Basta Ransomware Leader Added to EU Most Wanted and INTERPOL Red Notice 好的，我现在需要帮用户总结这篇文章的内容，控制在100字以内。首先，我得通读整篇文章，抓住主要信息。 文章讲的是乌克兰和德国执法机构逮捕了两名涉嫌为Black Basta勒索软件集团工作的乌克兰人。这个集团的头目Oleg Nefedov被欧盟和国际刑警组织通缉。Black Basta自2022年4月出现以来，已经攻击了500多家公司，赚取了数亿美元。他们利用内部聊天记录泄露的机会，揭示了集团的运作和成员情况。Nefedov据信与俄罗斯情报机构有联系，并曾被捕后获释。此外，Black Basta可能已经解散或转型为其他勒索软件集团。 接下来，我需要把这些信息浓缩到100字以内。要包括执法行动、嫌疑人身份、集团背景、攻击规模、内部泄露的影响以及可能的转型情况。 可能会这样组织：乌克兰和德国逮捕两名Black Basta成员，头目被通缉。该集团自2022年活跃，攻击数百家公司。内部泄露揭示其运作，并显示头目与俄罗斯有联系。该集团可能已解散或转型。 现在检查字数是否在限制内，并确保关键点都涵盖进去。 </think> 乌克兰和德国执法机构逮捕两名涉嫌参与Black Basta勒索软件活动的乌克兰人，该组织头目Oleg Nefedov被通缉。Black Basta自2022年活跃以来已攻击数百家公司，并通过内部泄露揭示其运作及头目与俄罗斯的关系。该组织可能已解散或转型为其他勒索软件活动。... 2026-1-17 16:26:0 | 阅读: 0 | 收藏 | The Hacker News - thehackernews.com ransomware basta nefedov authorities specialized