-
置顶 24000字企业开源安全治理最佳实践发布
写在前面 这篇最佳实践的内容取材于互联网、金融、运营商、智能制造、能源等领域数十家头部企业在过去近三年时间的实践经验总结，在编写这篇最佳实践的2个多月过程中，我又收到将近20家企业的应用安全专家及安全负责人的高质量建议，这其中包括来自小米的piaca、月胜、涂鸦智能的刘龙威、快手的廖师傅及非零解、百度的长林、知乎的维祥及夜明、传化物流的国超、某支付的刘奇及山…
-
置顶 近期大型攻防演练观感及未来攻防趋势判断
先说结论 今年大型攻防演练的观感： 1. 大量的国产商业软件供应链厂商的大量商业软件0day被用来攻击（以安全产品、OA、cms、办公软件为主） 2. 社工+钓鱼又玩出了新花样（红队这帮人估计去电诈团队培训回来的？） 3. 开源软件的Nday/0day漏洞及投毒仍然很实用（更多是Nday漏洞有更成熟的利用工具用来打点和内网渗透）未来攻防趋势判断： 1. 未来…
-
vLLM < 0.18.0 绕过安全设置RCE漏洞 (CVE-2026-27893)
漏洞类型 保护机制失效 发现时间 2026-03-27 漏洞等级 高危 MPS编号 MPS-vxa0-ywjp CVE编号 CVE-2026-27893 漏洞影响广度 一般 漏洞危害 OSCS 描述 vLLM 是一个开源的大语言模型高性能推理与服务引擎，用于在生产环境中部署和运行大规模语言模型，支持多种模型架构的高效推理。 受影响版本中，vllm/model…
-
Handlebars < 4.7.9 AST注入RCE漏洞 (CVE-2026-33937)
漏洞类型 使用不兼容类型访问资源（类型混淆） 发现时间 2026-03-30 漏洞等级 严重 MPS编号 MPS-th3l-nwyq CVE编号 CVE-2026-33937 漏洞影响广度 一般 漏洞危害 OSCS 描述 Handlebars 是一个流行的 JavaScript 语义化模板引擎，用于构建动态网页和 Node.js 应用。 受影响版本中，Han…
-
MLflow tar解压路径穿越漏洞 (CVE-2025-15036)
漏洞类型 路径遍历 发现时间 2026-03-30 漏洞等级 严重 MPS编号 MPS-8epm-6xq4 CVE编号 CVE-2025-15036 漏洞影响广度 一般 漏洞危害 OSCS 描述 MLflow 是一个开源的机器学习生命周期管理平台，用于管理端到端的机器学习工作流。 受影响版本中，mlflow/pyfunc/dbconnect_artifact…
-
React/Next.js最新远程代码执行漏洞实际影响有限，仅影响近一年应用
漏洞描述 12月4日，React 与 Next.js 官方披露了两个与 React Server Components（RSC）相关的远程代码执行严重漏洞：CVE-2025-55182（React） 与 CVE-2025-66478（Next.js），其根因都是由于react-server-dom系列的三个实验性对Flight协议的反序列化实现不当，这些组件…
-
SHA1HULUD蠕虫再现：超300NPM包被投毒、 2万仓库信息被窃取
一、概述 2025年11月24日，墨菲安全实验室检测到数小时内NPM仓库中超过300个组件被相同的方式投毒，这些包在NPM仓库中发布的新版本仿冒引入Bun运行时，引入 preinstall: node setup_bun.js，以及混淆的 bun_environment.js 文件。 在执行时会下载并运行 TruffleHog …
-
老白帽创业四年深度复盘：决策效率、组织变革与行业未来
写在前面 每一年都会记录一下自己创业过程的一些思考和总结，也分享给所有今天还在安全行业坚持创业、打拼和成长的大家，希望我的踩坑和迭代经验能给大家带来一些些帮助。 今年是创办墨菲安全的第四年，公司度过了早期的生死危机阶段，开始步入稳步发展阶段。 所以我主要的精力都花在思考如何在保持规模快速增长的过程中，同时保持整个组织效率的持续提升。 而组织效率的提升，最关键…
-
不同级别的安全运营
在企业安全体系中，安全运营岗位的进阶之路始终围绕 “能力升级” 展开。从基础的事件响应到高阶的战略统筹，每个职级都有其核心要求，也直接决定着从业者在安全领域的成长高度。 但很多人在职业发展中会困惑，各层级的能力边界到底如何划分？不同级别需要突破哪些关键瓶颈？ 我在近二十年的企业安全建设与管理工作中，见证过许多安全运营同学的成长轨迹，也大致梳理出了各职级的核心…
-
CEO为什么要重视企业安全？
企业安全的本质是帮助企业控制风险，而风险的本质是资产及其对应的脆弱性和威胁。 大多数时候，当风险没有真实发生时，业务或者公司的其他部门，他们是不会为控制风险（安全工作）去付出成本的，但是一旦风险真的发生，可能就晚了，实际上对公司已经造成了严重的损失。 所以，一把手（CEO）通常需要尽量控制可能导致公司严重损失的风险，为此决策并提前给予预算支持安全工作。 那么…
