本周VMware修补一系列与虚拟化平台有关的资安漏洞，皆来自漏洞挖掘竞赛Pwn2Own参赛者的研究，且影响范围相当广泛，包含ESXi、Workstation、Fusion，以及Windows版虚拟机器公用程式VMware Tools，用户都应尽速套用相关更新因应。
另一个相当值得留意的情况，是WordPress网站有关的资安威胁加剧，在我们昨天报导有人
近年来使用WordPress架设而成的网站很多，此内容管理平台丰富的外挂程式，也成为骇客锁定的目标，但大多数事故是利用外挂程式的资安漏洞来攻击网站，如今有一起事故引起资安业者注意，因为骇客攻击开发外挂程式的软体公司得逞，从而在外挂程式植入恶意软体。
例如，由软体业者RocketGenius打造的表单外挂程式Gravity Forms，上周就出现这类资安事故。事件的揭露的过程，是有人在7月10日从官方网域gravityforms.com下载此外挂程式，却发现里面的gravityforms/common.php档案有问题，会向gravityapi.org网域发出恶意HTTP请求，通报此事的人士之所以察觉异状，是因为他们透过监控系统看到速度极为缓慢的请求。他们通报RocketGenius并未及时得到回应，于是找上了资安业者Patchstack寻求协助，才使得这起供应链攻击事故曝光。
对此，RocketGenius也在7月11日发布公告证实此事，并表示用户若是在7月9日至10日期间，透过他们的Gravity Forms帐号手动下载2.9.11.1或2.9.12版外挂程式，就有可能下载到有问题的档案。该公司也说明他们的因应措施，并提供用户检测网站的方法。
锁定macOS用户的恶意软体攻击近年来有增加的趋势，其中一款自2021年出现的后门程式ZuRu，最近再度有新的活动引起研究人员的注意。
资安业者SentinelOne最近透过部落格文章指出，他们在今年5月下旬，发现有人利用木马化的SSH用户端工具Termius来散布ZuRu，由于一年前骇客是假借提供盗版软体的名义来散布这款恶意软体，这代表他们现在将目标转向了开发人员与IT专业人士。
资安研究团队The DFIR Report与资安业者Proofpoint联手，发现最新一波勒索软体骇客组织Interlock的攻击行动，骇客约从今年5月开始，针对已遭渗透的网站下手，在网页的HTML档案注入单行指令码，意图借此散播RAT木马程式Interlock RAT（也被称为NodeSnake），将JavaScript写成的恶意程式植入使用者电脑，而这也是FileFix首度被发现用于实际攻击活动的情况。
◆◆7月15日VMware针对旗下的虚拟化平台ESXi、Workstation、Fusion，以及虚拟机公用程式Tools发布软体更新，目的是修补一系列的资安漏洞CVE-2025-41236、CVE-2025-41237、CVE-2025-41238、CVE-2025-41239，值得留意的是，这4项弱点当中，有3项评为重大层级，且都源自漏洞挖掘竞赛Pwn2Own参赛者的发现。
这些漏洞影响的范围也相当广，涵盖所有7.0与8.0版VMware ESXi、17.x版VMware Workstation、13.x版VMware Fusion，以及Windows版本的VMware Tools。此外，搭载ESXi的Cloud Foundation、vSphere Foundation、Telco Cloud Platform、Telco Cloud Infrastructure平台，也可能曝险。
根据CVSS风险评分，最危险的漏洞包含了VMXNET3虚拟网卡整数溢位漏洞CVE-2025-41236、虚拟机器通讯介面（VMCI）整数下溢漏洞CVE-2025-41237、半虚拟化SCSI（PVSCSI）记忆体溢位漏洞CVE-2025-41238，一旦成功利用这些漏洞，攻击者就有机会于主机执行任意程式码。根据受影响应用程式，这些漏洞的危险程度也有所差异，严重评分介于7.4至9.3。
Google Gemini等在企业环境中可成为提升生产力的工具，但是研究人员发现，企业版聊天机器人的一项技术存在漏洞，可被用于在Gmail中显示诈骗内容。
研究人员Marco Figueroa发现Google Gemini for Workspace有项指令注入漏洞，让攻击者得以将恶意指令隐藏在电子邮件中。当企业用户使用Gemini时点击「摘要邮件内容」时，Gemini就会遵照骇客加入的提示，把看似钓鱼信件警语贴在Gmail信件后方，骗取Google Workspace用户上钩。研究人员在Mozilla发起的Odin专案中公布这项发现。
其他漏洞与修补