NVIDIA Merlin框架存在反序列化漏洞，可致AI管道遭RCE攻击

NVIDIA已针对其Merlin框架发布重要安全更新，修复了可能允许攻击者在AI推荐系统管道中执行恶意代码或篡改敏感数据的高危漏洞。此次补丁主要修复运行在Linux系统上的两个关键组件——NVTabu

FreeBuf甲方群帮会礼遇季：整合焕新，尽享三重福利

FreeBuf甲方群帮会礼遇季FreeBuf亲爱的FreeBuf用户，您好！为打造更聚焦、高效、资源丰富的帮会交流平台，现将FreeBuf甲方群、FVIP CISO及FreeBuf甲方数据安全交流圈三

研究人员发现未加密的16TB数据库泄露43亿条专业记录

Part0116TB开放数据库暴露43亿条专业记录一个未加密的16TB MongoDB数据库暴露了约43亿条专业记录（主要为LinkedIn风格数据），可能引发大规模AI驱动的社会工程攻击。研究员Bo

SHADOW-VOID-042组织冒充趋势科技发起钓鱼攻击，意图渗透关键基础设施

一个复杂威胁组织利用网络安全巨头的声誉发起定向鱼叉式钓鱼攻击，通过冒充趋势科技（Trend Micro）入侵国防、能源和化工领域的关键机构。趋势科技最新报告显示，2025年11月，被追踪为SHADOW

网络操纵黑产调查：灰产SIM卡如何豢养虚拟水军操控舆论

Part01灰产SIM卡催生虚拟水军产业链剑桥大学最新研究揭示，一个庞大的国际SIM卡灰产市场正在大规模助长网络操纵与欺诈行为。研究团队发现，SMSActivate、5Sim、SMShub和SMSPV

AI剧透 | 火山引擎×斗象科技：安全垂类大模型·闭门预览会

12.20 上海@火山引擎 × @斗象科技：AI 安全垂类大模型·技术成果闭门预览会🔥 源自斗象安全社区的真实攻防语料🔥 基于火山引擎基础大模型的深度对齐🔥 融合大规模算力与实战运营反馈的持续迭代共同

新型01flip勒索软件袭击亚太关键基础设施

网络安全领域出现了一个手法老练的新型勒索软件组织，该组织使用专门构建的跨平台攻击武器，将亚太地区关键基础设施作为攻击目标。这款完全采用Rust编程语言编写的"01flip"勒索软件家族，能够以同等破坏

每周PDF资源：IOT安全手册；社交媒体安全实务指南；渗透测试面试题合集；网络数据安全风险评估办法；API安全测试指南

苹果0Day漏洞遭利用，针对特定iPhone用户发起复杂攻击

苹果公司修复了两个WebKit 0Day漏洞，这些漏洞已被用于针对运行iOS 26之前版本的特定iPhone用户发起复杂攻击。2025年12月12日发布的iOS 26.2和iPadOS 26.2更新修

React再曝新高危漏洞，可致拒绝服务攻击与源代码泄露

在修复关键远程代码执行（RCE）漏洞不到一周后，React 团队又披露了影响 React Server Components（RSC）的三个新增安全缺陷。安全研究人员在尝试绕过此前"React2She

FreeBuf周报 | 大学生出售Webshell入侵5200余政府教育网站；Notepad++漏洞可被利用劫持更新植入恶意软件

各位 Buffer 周末好，以下是本周「FreeBuf周报」，我们总结推荐了本周的热点资讯、一周好文，保证大家不错过本周的每一个重点！🧑‍🏫大学生为赚学费出售"白码"无检测Webshell，已入侵52

军用级ValleyRAT失控：内核Rootkit构建工具泄露引发全球攻击激增

一款曾用于定向间谍活动的高级网络武器现已失控——其构建工具公开泄露后，该恶意软件正在全球威胁环境中迅速扩散。Check Point Research（CPR）最新报告显示，被称为Winos的模块化后门

赠书福利 | 《白话AI安全：32个故事带你读懂AI的攻防博弈》免费送

关注我们丨文末赠书如今，AI已为人类的生活带来巨大的改变，我们在享受着AI带来便利的同时，却很少想过：如果它失控怎么办？诺贝尔物理学奖、图灵奖得主，“AI教父”杰弗里·辛顿（Geoffrey Hint

紧急补丁：Notepad++ WinGUp漏洞可被利用劫持更新植入恶意软件

安全研究人员近日在开源文本及代码编辑器Notepad++中发现漏洞，攻击者可借此在特定地区劫持网络流量、污染更新过程，从而在受影响设备上安装恶意软件。该漏洞已在Notepad++ v8.8.9版本中完

新型ClickFix攻击：macOS信息窃取木马利用ChatGPT官网传播

网络安全研究人员发现一种针对macOS用户的新型攻击活动，攻击者通过ChatGPT官方网站传播恶意软件。该攻击采用名为ClickFix的技术，在合法域名chatgpt.com上发布虚假安装指南来传播A

FreeBuf培训站，带这两个标签的课，可以放心选！

上新啦细心的师傅们可能已经发现，近期FreeBuf培训站的课程页面，出现了一些新变化。我们为课程新增了「平台赔付保障」与「信誉讲师」两大核心标签。这不是简单的页面美化，而是一套我们深思熟虑后推出的 “

公共组件的安全管理经验分享；网络安全法等法规的合规落地探讨 | FB甲方群话题讨论

各位 Buffer 晚上好，FreeBuf 甲方群话题讨论第260期来了！FB甲方社群不定期围绕安全热点事件、前沿技术、运营体系建设等话题展开讨论，Kiki 群助手每周整理精华、干货讨论内容，为您提供

Windows PowerShell 0Day漏洞可导致攻击者执行恶意代码

微软已发布安全更新，修复一个危险的Windows PowerShell漏洞（CVE-2025-54100），该漏洞允许攻击者在受影响系统上执行恶意代码。该漏洞于2025年12月9日公开披露，对全球企业

React2Shell漏洞遭大规模利用：攻击者投放加密货币挖矿程序与新型恶意软件

根据Huntress最新研究，React2Shell漏洞正持续遭到大规模利用，攻击者通过React Server Components（RSC）中的高危安全缺陷投放加密货币挖矿程序及多个此前未记录的恶

Gemini零点击漏洞可致攻击者窃取Gmail、日历及文档数据

Google Gemini Enterprise（前身为Vertex AI Search）中存在一个被命名为"GeminiJack"的高危零点击漏洞，攻击者可借此轻松窃取Gmail、日历和文档中的企业

利用AI自动化工具发现零检测的GhostPenguin后门攻击Linux服务器

Part01新型Linux后门程序被发现研究人员发现了一个名为GhostPenguin的Linux后门程序，该恶意软件在过去四个月中成功规避了安全检测。这款采用C++编写的多线程恶意软件通过加密UDP

朝鲜黑客组织利用React2Shell漏洞部署新型EtherRAT恶意软件

与朝鲜有关联的黑客组织近期开始利用React服务器组件（RSC）中新披露的关键安全漏洞React2Shell，部署一种此前未公开记录的远程访问木马EtherRAT。云安全公司Sysdig在周一发布的报

Burp Suite扫描工具新增关键React2Shell漏洞检测能力

PortSwigger公司通过最新升级ActiveScan++扩展，增强了Burp Suite的扫描能力，新增了对关键React2Shell漏洞（CVE-2025-55182和CVE-2025-664

AI安全的“上海时刻”：GDPS这场前沿交锋至关重要

我们已站在AI的“转折元年”。智能体正走出虚拟，深入现实，从工具演化为能够直接干预物理世界的“行动者”。然而智能体的“反噬”，往往只源于一个未被察觉的漏洞。技术越前进，风险越迫近。一个根本命题已然浮现

三大关键能力，让 XDR 从“看到攻击”变成“搞定攻击”

过去几年，你可能已经听烦了各种安全术语：EDR、XDR、SOC、AI 检测、NDR、All-in-One……但很多安全负责人心里其实只有一个问题：“这些东西，到底能不能真正帮我挡得住攻击、少掉点坑？”

大学生为赚学费出售"白码"无检测Webshell，已入侵5200余个政府/教育网站

安全研究人员发现了一起规模庞大的僵尸网络活动，其幕后黑手并非国家资助的APT组织，而是一名试图赚取学费的孟加拉国大学生。Cyderes Howler Cell逆向工程团队的最新报告详细披露了"白码"（

英伟达与Lakera AI联合提出AI Agent系统安全统一框架

随着人工智能系统自主性不断增强，其与数字工具及数据的交互能力带来了复杂的新型风险。英伟达与Lakera AI的研究人员合作发表最新论文，针对这类先进"Agentic"系统的安全性提出统一框架，旨在解决

Dscan：全方位自动化攻击面管理与漏洞扫描平台

在企业安全建设中，攻击面管理（ASM）一直是防御体系的第一道防线。如何快速发现暴露在公网的资产，并及时检测其中潜藏的漏洞，是安全团队面临的日常挑战。不过现在不用担心，Dscan 能解决这些问题。Dsc

Next.js发布扫描工具，可检测并修复受React2Shell漏洞影响的应用

Next.js近日发布了名为fix-react2shell-next的专用命令行工具，帮助开发者快速检测并修复高危"React2Shell"漏洞（CVE-2025-66478）。这款新型工具提供单行命

智能汽车遭远程锁死，俄罗斯数百辆保时捷出现大规模瘫痪

Part01卫星安全系统故障致数百辆保时捷瘫痪俄罗斯数百名车主和经销商报告称，由于原厂安装的卫星安全系统发生故障，导致当地大批保时捷车辆无法正常行驶。据经销商集团Rolf透露，多个俄罗斯城市的驾驶员报