-
新浪云宣布永久关停！国内最早云服务商之一谢幕，主机吧曾是其忠实用户
发布时间：2026-06-24 | 作者：主机吧 | 类型：行业评论 / 回忆录** 核心摘要：2026 年 6 月，新浪云发布公告，将于 9 月 16 日 24 时起永久终止全部服务——停止注册、停止开通、停止充值，所有已开服务需在截止日前完成数据迁出备份。作为国内最早的云服务提供商之一，新浪云曾以独特的"云豆"计费模式和创新的产品设计吸引大量个…- 0
- 0
- 502
-
网站莫名跳转 BC 网站？宝塔面板 Nginx Lua 后门 ngxd.lua 深度分析与防护
核心摘要：近日论坛曝光多起网站访问时自动跳转 BC 违规网站案例，站长检查代码、解析、域名均无异常，最终定位为宝塔面板 Nginx 目录被植入 ngxd.lua Lua 后门。本文深度还原该攻击链路，提供 5 步清理流程 + 8 项加固措施 + 百度云防护 WAF 推荐方案，帮助站长彻底防御此类隐蔽后门攻击。 一、事件回顾：百变鹏仔站长的真实经历 某站长（百变鹏仔）在…- 0
- 0
- 679
-
宁波博太科 BTEPS 智能安防管理平台弱口令漏洞分析（CNVD-2026-22999）
更新时间：2026-06-21 | 漏洞编号：CNVD-2026-22999 | 危害级别：中危 一、漏洞概述 近日，国家信息安全漏洞共享平台（CNVD）公开披露了宁波博太科智能科技有限公司 BTEPS 智能安防管理平台存在弱口令漏洞（CNVD-2026-22999）。攻击者可利用该漏洞登录系统后台，获取敏感信息，对企业安防体系构成直接威胁。 项目详情CNVD-IDCNVD-2026-22999公…- 0
- 0
- 182
-
Vite 两枚高危信息泄露漏洞同日曝光（CNVD-2026-23504 / 23505）：影响 ≤ 8.0.8 所有版本，企业前端资产面临泄露风险
摘要：2026 年 6 月 20 日，国家信息安全漏洞共享平台（CNVD）同日公开收录两枚 Vite 开发工具高危漏洞——CNVD-2026-23504（高危）与 CNVD-2026-23505（中危）。两枚漏洞影响 Vite ≤ 8.0.8 的所有版本，攻击者可利用漏洞获取服务器敏感信息，包括源码、配置文件、API 密钥等。Vite 官方暂未发布修复版本，建议企业使…- 0
- 0
- 497
-
HTTP 新增 QUERY 方法正式成为标准：API 只读查询不再”伪装 POST”，企业该如何应对？
摘要：2026 年 6 月 16 日，互联网工程任务组（IETF）正式发布 RFC 10008 标准文档，定义了一种全新的 HTTP 请求方法——QUERY。该方法属于互联网标准跟踪文档（Standards Track），目前处于"提议标准"阶段。QUERY 方法填补了 GET 与 POST 之间长期存在的语义空白：它允许在请求体中携带复杂查询参数（类似 P…- 0
- 0
- 496
-
Rokarolla 安卓银行木马深度解析：137 条指令实现设备完全接管
一个名为 Rokarolla 的新型安卓银行木马正在悄然蔓延。它伪装成 TikTok 或 Chrome，通过恶意网站诱导用户安装，一旦得手便能对 217 款银行和加密货币应用发起攻击，实现近乎完全的设备控制。 一、 威胁概览：137 条指令的“超级木马” 安全公司 Zimperium 旗下 zLabs 团队于 2026 年 6 月 17 日披露了这款名为 Rokarolla 的安卓银行木马（名称源…- 0
- 0
- 196
-
WordPress 插件 Doctreat Core 高危漏洞预警（CVE-2025-6254）：可注册为管理员，请立即处置
摘要：2026 年 6 月 15 日，国家信息安全漏洞共享平台（CNVD）公开收录 CNVD-2026-24205 / CVE-2025-6254——WordPress 插件 Doctreat Core plugin ≤ 1.6.8 存在权限绕过漏洞。攻击者可利用 doctreat_process_registration 函数未正确限制用户注册角…- 0
- 0
- 175
-
史上第二大数据泄露事件曝光：240 亿条记录、8.3TB，企业如何应对？
摘要：2025 年 6 月 12 日，Cybernews 研究人员发现一个暴露在公网的 Elasticsearch 集群，内含 240 亿条记录、8.3TB 数据，规模仅次于 2024 年的"泄露之母"（MOAB）事件。该数据库主要由信息窃取软件（infostealer）日志构成，包含邮箱、用户名、明文密码、登录 URL 及来源标注，涉及 36 个数据源。本文梳理事件…- 0
- 0
- 182
-
uBidAuction 跨站脚本漏洞（CNVD-2026-24100）：多个管理模块参数未过滤，攻击者可窃取会话或植入恶意脚本
2026 年 6 月 15 日，国家信息安全漏洞共享平台（CNVD）收录了 uBidAuction 的一个跨站脚本漏洞（CNVD-2026-24100）。攻击者无需任何身份认证，仅通过构造包含恶意脚本的 GET 请求，即可在受害者浏览器中执行任意 JavaScript 代码，导致会话劫持、凭证窃取或钓鱼攻击。该漏洞影响 uBidAuction 2.0.1 版本，涉及 auctions/manage…- 0
- 0
- 139
-
JeecgBoot 逻辑缺陷漏洞（CNVD-2026-23150）：低权限攻击者可获取敏感信息，官方暂无补丁
JeecgBoot 作为国内广泛使用的低代码开发平台，近期被曝出一个逻辑缺陷漏洞（CNVD-2026-23150）。攻击者可利用该漏洞获取系统敏感信息，虽然危害级别被评定为“低”，但结合 JeecgBoot 近期的多个安全缺陷，企业仍需引起重视。目前官方尚未发布修复补丁，部署百度云防护 WAF 可在网络层拦截恶意请求，提供“虚拟补丁”级的即时保护。 一、 漏洞核心信息 项目详情CNVD 编号CNV…- 0
- 0
- 229
-
WordPress 十余款插件集中曝高危漏洞：CSRF、XSS、文件包含、权限提升，官方补丁缺失，百度云防护 WAF 可虚拟补丁拦截
2026 年 6 月 12 日，国家信息安全漏洞共享平台（CNVD）集中收录了 十余款 WordPress 插件的安全漏洞，涉及 跨站请求伪造（CSRF）、跨站脚本（XSS）、任意文件包含、权限提升、支付状态篡改 等多种高风险类型。这些插件包括 WP-Ultimate-Map、WpMobi、WP Emoticon Rating、WP Meta Sort Posts、WP GDPR Cookie C…- 0
- 0
- 225
-
Apache OFBiz 授权绕过漏洞（CNVD-2026-24144）：攻击者无需凭证即可模拟登录
2026 年 6 月 15 日，国家信息安全漏洞共享平台（CNVD）收录了 Apache OFBiz 的一个授权问题漏洞（CNVD-2026-24144）。攻击者可利用该漏洞绕过身份验证，在无需任何凭证的情况下直接登录系统后台，甚至模拟合法用户，对企业的 ERP、CRM、电子商务等核心业务构成严重威胁。受影响版本为 Apache OFBiz 24.09.06 之前的所有版本。官方已发布修复版本，在…- 0
- 0
- 247
-
Apache HTTP Server 连曝多个高危漏洞：缓冲区溢出、内存错误引用、无限循环可致 RCE 或 DoS，速升 2.4.68 或部署百度云防护 WAF
2026 年 6 月 10 日，国家信息安全漏洞共享平台（CNVD）集中收录了 四个 Apache HTTP Server 的高危漏洞，涉及 缓冲区溢出、内存错误引用、无限循环和内存分配过大 等严重缺陷。这些漏洞影响 2.4.0 至 2.4.67 的广泛版本，攻击者可利用它们实现远程代码执行（RCE）、服务崩溃（DoS）或信息泄露。官方已发布 Apache HTTP Server 2.4.68 修…- 0
- 0
- 122
-
百度云防护 WAF 6 月 11 日新增 40+ 条安全规则：覆盖 MLflow、Next.js、赛普 EAP、天问物业 ERP 等数十款应用漏洞
2026 年 6 月 11 日，百度云防护 WAF 内置规则库再次迎来大规模更新，新增及优化 40 余条安全规则，累计规则总数持续攀升。本次更新聚焦文件读取、路径遍历、SQL 注入、命令执行等高风险漏洞，覆盖 MLflow、Next.js、Ghost CMS、PrestaShop、SolarView Compact 等主流开源项目，以及 赛普 EAP、顺景 ERP、易思物流、天问物业 等国内企业级…- 0
- 0
- 141
-
百度云防护上线“流量防护”：按流量阈值自动拦截大流量攻击
传统的CC防护主要基于请求频率（如每秒请求数），但某些攻击（如大文件下载刷流量、视频盗链）单次请求量极大，频率却很低，传统规则难以识别。百度云防护全新上线 「流量防护」 功能，支持基于流量阈值（例如 10 秒内超过 500 MB）触发处置动作，有效应对带宽耗尽型攻击。本文将详细介绍功能原理、配置步骤及典型应用场景。 一、 功能概述：从“频率限速”到“流量限速” 流量防护是百度云防护 WAF 在“W…- 0
- 0
- 133
-
如何利用百度云防护，精准拦截“慢速”CC攻击？
有一种攻击，它不像洪水猛兽那样瞬间冲垮你的带宽，而是像“温水煮青蛙”一样，与服务器建立大量连接后，每隔几秒才发送一两个字节。这种慢速CC攻击，伪装性极强，传统基于请求频率的防御规则很难察觉。等到服务器线程池被耗尽、内存占满时，网站早已无法响应正常用户。 面对这种“慢性子”的攻击，百度云防护提供了一套从连接行为、工具指纹到IP信誉的立体防御体系。本文将手把手教你如何配置，让慢速CC攻击无处遁形。 一…- 0
- 0
- 103
-
Linux 内核高危漏洞 CVE-2026-23111：一个感叹号写错，普通用户直接提权 root
Linux 内核的 nf_tables 子系统中，一个错误的感叹号（!）导致了引用计数逻辑颠倒，攻击者可利用该漏洞触发 use‑after‑free，将普通用户权限提升至系统最高权限 root。该漏洞编号 CVE-2026-23111，影响大量 Linux 发行版，目前主流内核已修复。本文将详细拆解漏洞原理、危害范围，并提供完整的修复与临时防御方案。 一、 漏洞速览：一个字符的代价 项目详情CVE…- 0
- 0
- 160
-
百度云防护 WAF 6月9日大规模规则更新：新增 60+ 条安全规则，全面覆盖路由器、IoT、CMS 高危漏洞
2026 年 6 月 9 日，百度云防护 WAF 内置规则库再次迎来重磅升级。本次更新新增及优化了 超过 60 条 安全规则，累计内置规则总数突破 1100 条。新规则重点覆盖 路由器、网络摄像头、IoT 设备、OA 系统、CMS 框架 等场景的命令注入、代码执行、SQL 注入、SSRF、文件上传等高危漏洞。无论你的网站是使用 WordPress、ThinkPHP，还是企业内部部署了网络设备，百度…- 0
- 0
- 104
-
三个 WordPress 插件连环爆漏洞，官方均无补丁！站长请立即自查
2026 年 6 月上旬，国家信息安全漏洞共享平台（CNVD）连续收录了三个 WordPress 插件的安全漏洞，涉及 跨站请求伪造（CSRF）、跨站脚本（XSS）以及访问控制缺陷。这三个插件分别是 auto making JSON-LD、Animate Your Content、Account Manager for WooCommerce。更令人担忧的是，截至目前，官方均未发布任何修复补丁。如…- 0
- 0
- 73
-
Kuicms Php EE 跨站脚本漏洞（CVE-2020-37222）：影响 2.0 版本，官方无补丁，建议禁用评论或部署 WAF
2026 年 6 月 8 日，国家信息安全漏洞共享平台（CNVD）收录了 Kuicms Php EE 的一个跨站脚本漏洞（CVE-2020-37222）。Kuicms Php EE 是一套基于 PHP 的内容管理系统，适用于企业网站、个人博客等。该漏洞影响 2.0 版本，攻击者可通过在 bbs 回复端点提交特制内容，注入恶意脚本，导致管理员 Cookie 被窃取、页面被篡改等后果。目前官方尚未发布…- 0
- 0
- 95
-
blooFoxCMS 跨站请求伪造漏洞（CVE-2020-37241）：影响 0.5.2.1 版本，官方尚无补丁，建议限制后台访问或部署 WAF
2026 年 6 月 8 日，国家信息安全漏洞共享平台（CNVD）收录了 blooFoxCMS 的一个跨站请求伪造漏洞（CVE-2020-37241）。blooFoxCMS 是一款基于 PHP 的轻量级文本内容管理系统，主要面向个人博客、小型资讯站。该漏洞影响 0.5.2.1 版本，攻击者可利用 CSRF 漏洞在管理员不知情的情况下执行非授权操作（如修改配置、删除内容）。目前官方尚未发布修复补丁，…- 0
- 0
- 94
-
AI中转站涉嫌违法：国家安全部发布警示，数据裸奔、恶意植入风险不容忽视
2026年6月8日，国家安全部发布安全提示，直指当前“AI中转站”市场的乱象。随着人工智能应用需求的爆发式增长，批量提供海内外大模型访问服务的“AI中转站”在国内迅速走红。然而，部分中转站运营资质缺失、安全防护薄弱，用户隐私泄露、数据倒卖、恶意植入后门等问题频发。国家安全部提醒广大用户：切勿使用无来源、无资质、无保障的“三无”AI中转平台，避免个人隐私、商业机密甚至国家秘密外泄。 一、 什么是“A…- 0
- 0
- 496
-
WordPress 隐藏风险：一个 15 年的链接竟指向菠菜网站，站长紧急排查
近日，有站长在论坛发帖求助：“刚接到服务商的电话，让我清理非法内容，打开一看，果然啊！打开 feed，xmlns:wfw='http://wellformedweb.org/CommentAPI'，wellformedweb.org 已经被菠菜接管了！” 这条帖子迅速引发热议，不少站长纷纷自查，发现自己使用了十几年的 WordPress 网站，竟然也默默包含了这个指向菠菜（博彩…- 0
- 0
- 299
-
豆包的“应用生成”，说没就没了
2026 年 5 月底，有用户发现：豆包 App 里那个“应用生成”的入口，不见了。随后官方在 App 内页面简单提示“应用生成功能已于 2026 年 5 月 31 日停止服务，历史创建的应用仍可在豆包会话中查看、复制、下载和分享”。没有公告、没有预告，更没有长篇的告别信。 如果说天涯重启是互联网 20 年情怀的续命，那豆包应用生成的关停，更像是 AI 时代一声温和但真实的叹息——做应用的人，没有…- 0
- 0
- 984
