Dify 中的四个漏洞暴露了跨租户数据、文档和 AI 对话。两个关键漏洞允许未认证访问和数据窃取。 Zafran Labs 的研究人员披露了 Dify 中的四个漏洞。Dify 是一个开源 AI 平台，被 Volvo 和 Maersk 等大公司用于在 60 多个行业中运行超过 100 万个应用程序。其中两个漏洞严重程度为“关键”，两个完全不需要身份验证， 第一个也是最严重的漏洞是 CVE-2026-41947（CVSS 评分 9.1），存在于 Dify 的追踪系统中，该组件负责记录消息和模型响应以进行监控和分析。...

网络安全公司 XM Cyber 演示了一种 macOS 攻击技术，允许标准的非管理用户账户静默禁用企业端点安全工具，包括 EDR 和 MDM 代理，而不会触发警报或需要内核漏洞利用。 一些底层原语，包括滥用弱验证的 XPC 连接以及将恶意载荷注入应用程序的 Interface Builder（NIB）文件，已被安全研究人员公开记录多年，并且 Apple 已部分解决。 然而，该研究引入了一种新颖的攻击链，利用了合法签名应用程序执行后内核代码签名信任缓存的持久性，允许攻击者注入冒充受信任应用组件的恶意载荷，并静默调用特权 XPC 方法。...

一次协调一致的执法行动，与包括 Bitdefender、Bitsight、ESET 和 Microsoft 在内的私营部门公司合作，成功瓦解了支撑 Amadey 和 StealC 的犯罪基础设施。 Europol 在一份声明中表示：“主要共同目标是破坏网络罪犯用于发起勒索软件、金融欺诈和针对关键基础设施攻击的‘装配线’。” 此次进展发生在荷兰、加拿大、德国和美国当局瓦解与 SocGholish 相关的恶意基础设施并清理了近 15,000 个受感染的 WordPress 网站几天后。...

美国网络安全和基础设施安全局（CISA）周二警告称，影响 Lantronix EDS5000 系列设备的一个关键安全漏洞正被积极利用，敦促联邦民事行政部门（FCEB）机构在 2026 年 6 月 26 日之前应用修复程序。 该漏洞编号为 CVE-2025-67038（CVSS 评分：9.8），是一个代码注入漏洞，可能导致以提升的权限执行任意命令。...

一位美国官员周二告诉美联社，Anthropic 的人工智能模型之一在一次测试演习中发现了高度敏感和安全的美国政府计算机系统中的漏洞。 这位不愿透露姓名的官员表示，Anthropic 已与美国情报机构合作，使用该公司的 Mythos 模型进行测试。该模型在数小时内识别出某些漏洞，但该官员表示，这并不意味着模型能够在那段时间内利用这些漏洞。...

据漏洞利用情报公司 Defused 称，影响 Cisco Unified Communications Manager（Unified CM）产品的一个最近修补的漏洞正在攻击中被利用。 Cisco 于 6 月 3 日宣布了针对该漏洞的补丁，该漏洞编号为 CVE-2026-20230。该公司表示，该关键安全漏洞可被未认证的远程攻击者利用，进行 SSRF 攻击、向底层操作系统写入任意文件，并将权限提升至 root。利用需要启用 WebDialer 服务，该服务默认是禁用的。 在宣布修复时，Cisco 指出 PoC 漏洞利用代码已经可用，但表示未发现任何野外利用。...

Tata Electronics 在给 BleepingComputer 的一份声明中确认，它是一次网络攻击的目标，该攻击影响了其部分 IT 基础设施。 该公司强调其运营继续正常运行，未受该事件影响。 Tata Electronics 的一位发言人告诉 BleepingComputer：“几周前，Tata Electronics 发现我们部分系统上发生了一起网络安全事件。”...

“Scattered Spider”网络犯罪集团的两名成员承认于 2024 年入侵伦敦交通局（TfL）系统。 这两名个人，Thalha Jubair（20 岁）和 Owen Flowers（18 岁），在 2024 年 8 月 31 日至 9 月 3 日期间侵入了伦敦交通服务系统的系统，造成了数百万英镑的损失。 Jubair 和 Flowers 此前否认参与该事件，但在 Woolwich 刑事法院审理的第一天改变了 plea，认罪。...

医疗科技公司 Xsolis 表示，在一次钓鱼攻击中，近 140 万人的敏感数据遭到泄露，该攻击使攻击者得以访问其网络。 尽管该公司未发现任何试图滥用已泄露信息的迹象，但它警告受影响个人保持警惕，防范潜在的有针对性的攻击。 Xsolis 是一家总部位于美国的医疗保健公司，开发由 AI 驱动的软件，被 600 多家医院和健康保险公司用于利用率管理、医疗必要性审查、患者状态判定、出院规划和报销决策。...

一个以经济利益为驱动的俄语初始访问经纪人（IAB）被评估为名为 FortiBleed 的大规模凭证窃取行动的幕后黑手，该行动已针对全球超过 43 万台 FortiGate 防火墙。 该活动自 2026 年 2 月以来一直活跃，涉及收集凭证列表、搜索暴露的服务、暴力破解可访问的系统，以及在受感染的防火墙上部署定制嗅探器。 SOCRadar 在一份新报告中表示：“一旦部署，这些嗅探器会从流经受感染设备的流量中捕获明文和哈希凭证。然后，行为者针对 Active Directory 域和其他暴露的服务破解、验证和重用这些凭证。”...