唐纳德·特朗普总统签署了一项行政令，要求战争部制定新规则，用于绘制和保护关键国防供应链，包括国家安全系统中使用的软件、服务和技术。虽然该行政令主要侧重于关键材料的国内采购，但其中包含多项与网络安全团队相关的条款，特别是那些负责软件供应链安全、第三方风险和国防承包商合规的团队。 消息来源：securityweek.com；
本文由 HackerNews.cc 翻译整理，封面来源于网络；
转载请注明“转自 HackerNews.cc”并附上原文...

7-Zip 修复了一个漏洞，该漏洞可能让攻击者通过诱骗用户打开恶意的 XZ 压缩归档文件来执行代码。7-Zip 发布了 26.02 版本，以修复其处理 XZ 压缩数据时的一个远程代码执行漏洞。该漏洞由研究人员 Landon Peng 发现，可通过特制的归档文件触发。如果用户打开该恶意文件， 消息来源：securityaffairs.com；
本文由 HackerNews.cc 翻译整理，封面来源于网络；
转载请注明“转自 HackerNews.cc”并附上原文...

专业服务巨头 Ernst & Young (EY) 已开始通知其客户，他们的个人和财务信息在一次数据泄露事件中遭到泄露。该事件于 4 月 23 日被发现，涉及 EY 用于支持其代表客户执行的税务相关工作的一个第三方服务管理平台。"通过该平台提交的支持工单可能包含包含客户税务信息的文件， 消息来源：securityweek.com；
本文由 HackerNews.cc 翻译整理，封面来源于网络；
转载请注明“转自 HackerNews.cc”并附上原文...

Ostium 交易平台宣布，上周一名攻击者在入侵了用于向协议提供价格数据的链下基础设施后，从其流动性提供者金库中窃取了 2375 万美元。根据该平台昨日发布的最新消息，攻击者提交了伪装成有效报告的虚假价格报告，然后迅速开仓和平仓大量头寸，以产生虚假利润。该公司澄清称，交易者的抵押品存放在单独的合约中， 消息来源：bleepingcomputer.com；
本文由 HackerNews.cc 翻译整理，封面来源于网络；
转载请注明“转自 HackerNews.cc”并附上原文...

两个最近披露的 SonicWall SMA1000 漏洞在零日攻击中被利用了数周，使威胁行为者能够在易受攻击的 VPN 设备上安装定制恶意软件。上周，SonicWall 警告称，威胁行为者正在利用一个漏洞链积极利用两个此前未披露的漏洞， 消息来源：bleepingcomputer.com；
本文由 HackerNews.cc 翻译整理，封面来源于网络；
转载请注明“转自 HackerNews.cc”并附上原文...

化妆品巨头 Estée Lauder 正在通知客户一起数据泄露事件，此前黑客利用该公司用于人力资源（HR）运营的 Oracle E-Business Suite 中的一个漏洞。该公司表示，上个月它识别出一起发生于 2025 年 8 月 9 日的入侵事件， Estée Lauder 是一家总部位于纽约的化妆品巨头，年收入达 143 亿美元。它是全球第二大化妆品公司，拥有 57,000 名员工，在全球运营线上和实体店。尽管 Estée Lauder 的通知未披露入侵中利用的漏洞，...

至少有一个俄罗斯情报机构正在系统性地劫持欧洲和乌克兰境内联网的安全摄像头，利用视频流监视军事运输路线、运往基辅的武器 shipments 以及乌克兰部队的位置。这是荷兰民用和军事情报机构 AIVD 和 MIVD 于 7 月 10 日发布的一份网络安全公告中的发现，该公告称该行动仍在进行中。在乌克兰， 这些机构表示，他们尚未观察到摄像头获取的情报被用于乌克兰以外的军事攻击。这种威胁之所以具有可移植性，是因为这两个环节都如此普通：入口通常只是一个默认登录，而价值由摄像头恰好指向的位置决定。一个被入侵的摄像头为对手提供了对物理操作的实时读取——卡车何时移动、谁进谁出&mdash...

F5 已发布针对一个严重 nginx 漏洞的修复程序，该漏洞允许远程未认证攻击者通过精心构造的 HTTP 请求在 worker 进程中触发堆缓冲区溢出。CVE-2026-42533 已于 7 月 15 日在 nginx 1.30.4（稳定版）和 1.31.3（主线版）以及 NGINX Plus 37. Shaw 自己的扫描器可以自动跨配置进行检查，跟踪 include 文件，并仅标记可利用的顺序；它不会利用任何漏洞，但作为报告者的工具，它并非供应商产品。这是大约两个月内披露的 nginx 表达式求值代码中的第三个堆溢出漏洞，...

一个高级威胁行为者正在滥用 ViPNet 私有网络产品套件的更新机制，以攻击俄罗斯组织，包括政府机构。该行动被命名为 HelloNet，至少从 5 月开始活跃，部署了一个恶意 payload，充当代理和加载器以投放更多恶意软件。根据 Kaspersky 研究人员的说法， 消息来源：bleepingcomputer.com；
本文由 HackerNews.cc 翻译整理，封面来源于网络；
转载请注明“转自 HackerNews.cc”并附上原文...

影响 WordPress Core 的严重 "wp2shell" 远程代码执行漏洞的公开利用代码已发布，管理员必须立即修补其网站。wp2shell 攻击由两个漏洞组成，编号为 CVE-2026-63030 和 CVE-2026-60137，可被串联利用，在运行 6.9.x 和 7.0. 该公司警告，这些缓解措施应仅作为临时措施，直到系统可以更新为止。Cloudflare 也宣布，已为其所有计划（包括免费账户）中代理在其平台后的网站部署了针对这两个漏洞的 Web Application Firewall（WAF）防护。根据 Cloudflare 的说法，...