Claude被入侵：完全远程执行代码与组织API密钥窃取事件
Check Point Research（CPR）披露了这些安全漏洞，Anthropic 在公开披露前已完成所有漏洞修复。
Anthropic 公司开发的AI命令行工具 Claude Code 存在严重安全缺陷。攻击者能够利用项目配置文件实现远程代码执行（RCE），并窃取 Anthropic API 密钥。
Check Point Research（CPR）披露的这些问题显示，Anthropic 在公开前已完成修复。这些漏洞凸显了AI辅助开发工具带来的攻击面扩大问题——存储库控制的配置文件可能被武器化，用于入侵开发者设备和共享工作区。
Claude Code 允许开发者直接从终端委派任务。为促进团队协作，该工具通过存储在代码库中的 .claude/settings.json 文件支持项目级配置。由于克隆存储库时会继承此文件，任何具有提交权限的贡献者都可修改它。CPR 发现恶意配置可能触发开发者设备上的意外操作，使被动配置文件变成执行载体。
漏洞1：通过不受信任的项目钩子实现RCE
Anthropic 的"Hooks"功能允许用户定义在 Claude Code 生命周期特定节点自动执行的命令（如编辑后格式化代码）。这些钩子定义在存储库控制的 .claude/settings.json 中。CPR 发现当克隆配置了恶意 SessionStart 钩子的不可信存储库时，Claude Code 会在初始化时立即执行命令。
虽然工具会显示通用信任对话框，但未明确警告钩子命令已在后台未经用户确认运行。这使得攻击者可执行任意 shell 命令，例如建立反向 shell。
漏洞2：利用 MCP 同意绕过实现RCE（CVE-2025-59536）
Claude Code 支持通过 .mcp.json 文件配置的模型上下文协议（MCP）与外部工具交互。在 CPR 初始报告后，Anthropic 为 MCP 初始化添加了警告对话框。但 CPR 发现可通过 .claude/settings.json 中的两个设置实现绕过：
enableAllProjectMcpServers 和 enabledMcpjsonServers
利用这些设置自动批准 MCP 服务器后，CPR 在用户与信任对话框交互前就通过运行 claude 执行了恶意命令，再次实现 RCE。
漏洞3：API 密钥泄露（CVE-2026-21852）
对 .claude/settings.json 的进一步调查显示，环境变量也可被定义。CPR 针对控制 Claude Code API 通信端点的 ANTHROPIC_BASE_URL 变量。通过将此 URL 指向恶意服务器，攻击者可拦截工具的初始 API 请求。
CPR 观察到即使用户尚未与信任对话框交互，Claude Code 就已通过授权标头以明文传输完整 Anthropic API 密钥。窃取 API 密钥后，攻击者可实施账户欺诈或访问共享 Claude 工作区。虽然手动上传后无法下载工作区文件，但 CPR 通过代码执行工具重新生成文件使其可下载，从而暴露敏感团队资源。
这些漏洞带来严重的供应链风险，恶意配置可能通过拉取请求、蜜罐存储库或受感染的内部账户注入。Anthropic 已通过以下措施解决问题：增强对不可信配置的警告对话框；确保无论自动批准设置如何，MCP 服务器都需用户批准才能执行；推迟所有网络操作（包括 API 密钥传输）直至获得明确用户同意。开发者应立即更新至 Claude Code 最新版本，并以审查可执行代码的同等严格程度对待项目配置文件。
相关攻略
就在“Copy Fail”漏洞的余波尚未平息之际，Linux内核安全领域再次遭遇重击。一个被命名为“Dirty Frag”的本地权限提升漏洞被公开披露，其威胁等级被安全专家评估为“核弹级”。与需要复杂前置条件的漏洞不同，任何本地用户理论上都可以通过运行一个利用程序，在短时间内获得系统的最高管理员权限
Linux 安全警报：一个稳定、隐蔽且极易利用的本地提权漏洞 最近，Linux安全领域曝出一个必须拉响最高级别警报的漏洞。它的代号是“Copy Fail”，编号CVE-2026-31431。这可不是那种需要复杂前置条件、利用起来看运气的“理论型”漏洞，而是一个能在本地稳定触发、一击即中的权限提升漏洞
关于ThinkPHP近期安全漏洞的全面解析：代码执行风险与修复方案 近日，ThinkPHP官方紧急发布安全更新，修复了一个涉及控制器验证机制的高危远程代码执行漏洞（俗称getshell）。该漏洞源于框架对控制器调用路径的过滤不严谨，导致攻击者可构造恶意请求直接执行系统命令，严重威胁服务器安全。 受影
讯时系统(XUAS)最新通杀漏洞0Day图文说明 在网络安全领域，对特定内容管理系统（CMS）的漏洞研究一直是攻防演练的重点。近期，讯时系统（XUAS）中的一个0Day漏洞引起了广泛关注。这个漏洞利用链非常直接，从信息泄露到最终获取后台权限，步骤清晰，成功率颇高。下面，我们就来详细拆解一下这个漏洞的
MS07-029 DNS服务器漏洞：利用原理与攻防实战深度解析 在网络安全攻防史上，MS07-029是一个具有里程碑意义的Windows DNS服务器高危漏洞。该漏洞的官方定义为Windows域名系统（DNS）服务的RPC（远程过程调用）管理接口堆栈缓冲区溢出漏洞。成功利用此漏洞需要两个基本前提：一
热门专题
热门推荐
过去24小时全球主要交易所比特币流向分化明显，整体净流出5740 82枚。其中CoinbasePro流出约5457枚，币安、Gemini分别流出1023枚和504枚；而OKX则逆势录得约530枚净流入。
《魔力宝贝》中“狗洞”即“奇怪的洞窟”，位于亚留特村西南方向黄色传送石处，是12至20级玩家高效练级地点。前往路线为：从法兰城至伊尔村，向北进入哈巴鲁东边洞窟击败“熊男”，穿越后抵达亚留特村，再向西南探索即可找到入口。洞内怪物等级较高，建议携带“风地”属性水晶提升生存能力。
时隔七年，贾跃亭以CEO身份重掌法拉第未来（FF）帅印，并成功为公司注入了关键的发展动力。近期，FF累计完成了高达7000万美元的机构融资。这笔至关重要的资金，被贾跃亭定位为驱动公司机器人业务实现第一阶段战略目标的“核心粮草”。 随着资金与团队就位，贾跃亭的信心显著增强。他公开立下目标：将用两年时间
任务需修复两条水道。首先跟随指引找到NPC并进入幻境，使用号角对准壁画激活飞鸟幻影，触碰并跟随其路径即可修复第一条水道。第二条水道位于洞xue内，跟随萤火虫找到入口，重复使用号角并借助弹跳水母到达高处，跟随飞鸟完成修复。完成后可获得奖励并推进剧情。