- Windows 内核提权漏洞：攻击者可借此获取系统最高权限
- Office 远程代码执行漏洞：可通
- 入侵是通过一个次要功能的侧边 API 实现
云托管平台 Vercel 于 4 月 19 日发布安全公告，确认内部系统遭遇未经授权访问。该公司表示已启动调查，聘请了安全事件响应专家，并通知了执法部门。
暗网出售声明几乎在同一时间，暗网论坛 BreachForums 上出现了一则出售帖，声称拥有 Vercel 的内部访问权限。卖家自称属于黑客组织 ShinyHunters，以 200 万美元的价格挂牌出售包含 API 密钥、NPM 令牌、GitHub 令牌在内的敏感数据，并展示了部分内部数据库结构和 Linear 项目管理系统的访问截图。
以太坊基金会「ETH Rangers」安全资助计划完成首期六个月工作，累计追回或冻结 580 万美元资金，处理 36 起以上事件响应，并报告 785 项漏洞及客户端错误。
其中最受关注的是：项目识别出约 100 名渗透至 Web3 组织的朝鲜 IT 从业者，涉及约 53 个加密项目。朝鲜利用虚假身份进入 Web3 公司获取薪资，再通过复杂洗钱网络将资金
360 集团宣布其自主研发的漏洞挖掘智能体发现了两项潜伏多年的重大安全漏洞——Windows 内核提权漏洞和 Office 远程代码执行漏洞，已上报国家漏洞库（CNNVD/CNVD）并完成修复。两项漏洞影响全球超 10 亿 Windows 及 Office 用户。
漏洞详情
4月14日凌晨2时48分，深圳市坪山区马峦街道一处立体车库发生火情。市区两级应急、消防等部门第一时间赶赴现场处置，目前火势已经扑灭，现场无人员伤亡。
据央视新闻报道，起火地点位于比亚迪坪山园区内。比亚迪方面随后回应确认，起火点为园区内的一处立体车库，该车库主要用于存放试验及报废车辆。
多名网友此前发布的视频显示，现场浓烟滚滚、火势明显，从远处可见大量黑烟从建筑物上方涌出。视
黑客组织 ShinyHunters 近日宣称已入侵 Rockstar Games 的数据环境，并设定 4 月 14 日为支付赎金的最后期限，要价 20 万美元。截至目前，ShinyHunters 已表示将公开所有窃取的数据。
Rockstar 发言人随后确认了此次入侵，称"少量非核心公司信息"遭到访问，"对本公司和玩家
谷歌 Chrome 浏览器在 Windows 版 146 更新中正式引入了 DBSC（Device Bound Session Credentials，设备绑定会话凭据），macOS 版本也将在后续更新中加入。该技术将身份验证会话与物理设备进行加密绑定，从根本上遏制 InfoStealer 恶意软件通过窃取 Cookie 劫持用户账户的攻击链路。
Cookie 盗取：当前最紧迫的认证威胁Web 认证模型依赖浏览器 Cookie 维持登录状态。一旦恶意软件（如 LummaC2、RedLine、Raccoon 等 InfoStealer 家族）感染用户设备，可在数秒内导出浏览器中存储的
知名 PC 硬件监测工具 CPU-Z 和 HWMonitor 的开发商 CPUID 证实，其官网在 4 月 9 日至 10 日凌晨期间遭到黑客入侵，入侵持续约 6 小时，导致部分下载链接被重定向至恶意服务器。
事件经过多名 Reddit 用户发现从 CPUID 官网下载的 CPU-Z、HWMonitor 被 Windows Defender 报毒。进一步调查后发现，官网的下载链接在入侵期间被随机重定向至其他服务器，被替换的 .exe 文件被植入了恶意代码。
官方回应CPUID 负责人 Doc TB 在 X 平台发文确认：
Claude 曝出"身份混淆"缺陷：AI 代理或因误认指令触发安全风险
Bug 描述开发者 Gareth Dwyer 近日发文披露，Claude 在使用 Claude Code 等自动化工具时会出现"身份混淆"（who said what）错误——模型将自己的内部推理或往期输出误认为是用户的当前指令，并基于这些虚假授权执行高危操作。
并非幻觉Dwyer 强调，这个 bug
Solayer 创始人 Chaofan Shou 联合 UCSB、UCSD 等机构发布论文《Your Agent Is Mine: Measuring Malicious Intermediary Attacks on the LLM Supply Chain》，揭示了 LLM 代理依赖的第三方 API 路由器存在系统性安全隐患。
核心数据研究团