当你的 VPN 把内网暴露给公网：PAN-OS JWT 算法混淆漏洞

Wiz Research 基于 NordStellar 数据梳理信息窃取木马针对的凭据类型，剖析 Malware-as-a-Service 与 Initial Access Broker 组成的窃密供应链，揭示失窃密钥和会话令牌如何让攻击者进入 AWS、Azure、GitHub 及 AI 环境。

Wiz 在 Forrester 2026 年 Q3《Proactive Security Platforms》Wave 评估中获评领导者，在 21 项标准中的 8 项拿到 5.0 满分，涵盖云与应用可见性、暴露验证、修复增强等维度。Forrester 认为 Wiz 适合寻求云优先、具备图谱化上下文与代码到云可见性的主动安全平台的企业，这一评价也印证了行业正从单一 CNAPP 走向基于 CTEM、覆盖云、SaaS、AI 管道与本地环境的横向安全布局。

Bishop Fox 发布 CVE-2026-0265 检测工具：PAN-OS/Panorama 在认证配置挂载 CAS 时存在预认证 JWT 签名绕过，可伪造任意用户登录；单个匿名请求即可判定，修复或解绑 CAS 可缓解。

Bishop Fox 披露 PAN-OS CVE-2024-3400（GlobalProtect 预认证 RCE 链）的有限细节：成功绕过 Palo Alto 两项临时缓解措施，并指出新的 Threat Prevention 规则（TID 95187、95189、95191）是补丁前的有效缓解。

详解 XBOW 在漏洞赏金项目中于 Palo Alto GlobalProtect VPN 门户发现多个 XSS 漏洞（CVE-2025-0133）的经过：深入分析 XML 配置数据流入浏览器渲染的注入路径，并复盘失败尝试背后的推理。

Bishop Fox 演示如何绕过 .NET MAUI 的平台打包机制，从 Android 与 iOS 应用中提取可读的 C# 程序集，并借助 mauidll 工具分析共享业务逻辑中反复出现的典型漏洞模式：逆向一份共享程序集即可同时攻破双平台应用。