Multiple Internet to Baseband Remote Code Execution Vulnerabilities in Exynos Modems

CVE-2026-93485 是 WordPress 核心 wpautop() 渲染逻辑中的未认证存储型 XSS：攻击者提交构造评论后，在块主题渲染时页面加载即触发零点击 XSS，并可借管理员会话上传插件升级为 RCE。该漏洞已在 WordPress 7.1.1 修复并回溯支持至 4.7.36 分支。

Google Project Zero（Ian Beer 与 Samuel Groß）对 NSO Group 零点击 iMessage 利用链（FORCEDENTRY）的深入分析，本文聚焦其中的远程代码执行环节。

缓解措施本身也是攻击面：三星 Android 内核中一处内存破坏缺陷的分析。

Project Zero 讲解如何绕过 Samsung 的实时内核保护（RKP）：击破基于 hypervisor 的完整性校验机制。

在 Android 设备上做模糊测试时发现 libutils 中的 CVE-2016-3861：该严重漏洞可经多种攻击路径触达，既能远程代码执行，也能提权进入高权限的 system_server SELinux 域。

Project Zero 对三星 Galaxy S6 Edge 开展安全研究，发现并报告 11 个高影响安全问题；本文讨论研究动机、漏洞挖掘方法与收获。