ZONE.CI 全球网

phpBB论坛软件存在一个已存在10年的高危认证绕过漏洞(CVE-2026-48611),攻击者无需密码即可通过发送特定HTTP请求冒充任意用户(含管理员)登录,影响版本为3.3.16及以下和4.0.0-a2开发分支。官方已在3.3.17版本修复,建议立即升级并禁用未使用的认证方式。临时缓解措施包括通过Nginx/Apache拦截恶意路由或在ucp.php文件头部增加拦截代码。

本文介绍了五个CTF逆向练习题的解密过程，涉及Java跑酷游戏jar包中的SQL注入和异或加密、PE文件中的花指令混淆与rol8加密、以及多个二进制程序中的异或、TEA和魔改RC4加密算法。通过静态分析工具（如jd-gui、IDA）和Python/C语言脚本，成功提取并还原了各题目的flag。

暗网出现美国求职者简历数据库泄露事件，数据量约1TB，包含超过1100万份简历，时间跨度超20年。泄露数据包括姓名、邮箱、电话、地址等个人信息及完整简历文件，涉及技术、管理等多种岗位。该事件具有较高情报价值，提醒用户注意个人信息保护。

腾达多款路由器存在CVE-2026-11405身份验证后门漏洞，攻击者可绕过密码校验获得管理员权限。漏洞位于/bin/httpd的login()函数，通过比对sys.rzadmin.password值实现。受影响型号包括FH1201、W15E等。厂商未发布补丁，建议立即禁用远程管理并更改LANIP地址。

研究人员公开了SharePoint远程代码执行漏洞CVE-2026-33112的PoC，该漏洞CVSS评分8.8，影响本地部署版本。攻击者仅需站点成员账户即可利用XSD架构导入绕过此前补丁实现远程代码执行。微软已在5月补丁中修复，建议立即应用更新并阻止服务器向不受信任主机发起出站连接。

今日网安早报涵盖多个热点：LurkingLizard通过虚假VPN和7-Zip安装程序构建代理网络；Ryuk勒索软件成员Vardanyan在美国认罪面临15年监禁；亲俄黑客组织Noname057(16)和Z-Pentest作出反应；多国跟进社交媒体年龄禁令；医疗保健企业遭攻击数量翻倍；U-Boot发现六个新漏洞可导致设备崩溃或代码执行。建议关注VPN安全、医疗数据保护及固件漏洞修复。

该文档为2026年7月11日暗网快讯，报道了多起数据泄露事件，涉及西班牙交通执法技术提供商、教育平台ClassDojo、加密货币服务CoinPayments、流媒体Paramount+、游戏平台Ubisoft等，威胁行为者售卖或泄露用户数据、源代码、数据库等。建议关注此类威胁情报，加强数据安全防护。

本周网络安全事件频发：全球首个全自动AI勒索攻击JADEPUFFER曝光，无需人工操控且付赎金难恢复数据；美国政府机关支付百万美元平息勒索；多起重大漏洞遭利用，包括Joomla外挂满分漏洞(CVE-2026-48908等)、Linux内核16年历史KVM逃逸漏洞(CVE-2026-53359)及思科ClamAV二十年漏洞；埃森哲、日本保险公司等发生大规模数据泄露；新型恶意软件活跃，如Android银行木马RedWing、跨平台QuimaRAT及针对研究人员的ChocoPoC；钓鱼攻击手法升级，滥用Micr

安天AVLSDK反病毒引擎于2026年7月11日发布周度更新，本周新增可检测恶意代码家族22个、变种5,674个。重点防范与Lazarus组织关联的Trojan/JS.NpmSteal\\[PSW\\]木马，该病毒伪装成开源工具以窃取开发者凭据和钱包数据。防护建议包括安装反病毒软件、加强口令管理、及时更新系统补丁及关闭高危端口等。

2026年7月11日发布的数据泄露情报显示，美国移民律师事务所LawOfficesUS、俄罗斯民宿平台azur.ru及医疗EDI清算所Infinedi发生重大数据泄露，涉及1.5TB客户移民档案、员工财务数据及医疗账单信息，包含护照、SSN、银行流水等高度敏感信息。情报指出这些数据可用于店铺注册、人脸识别绕过及B2B获客，但需警惕其非法用途。

太原警方破获411万元电诈洗钱案。嫌疑人利用社交平台实施杀猪盘诈骗，资金经白酒、黄金、废钢三条实体链洗白。警方抓获七人，揭露虚假黄金交易等洗钱手法。该案警示公众警惕网络投资骗局，提升防范社会工程学攻击的意识，商户亦应严控异常交易防沦为洗钱工具。

2026年7月11日网络安全文章汇总，涵盖HVV期间内存马检测方法、CTF中JWT敏感信息泄露、全栈AIWeb流量分析、DVWA弱会话ID漏洞、AI与云安全事件周报、ThinkCMF漏洞全解析及fast-mcp-telegram漏洞。文章提供了实战指南和漏洞分析，强调了安全检测、防御加固和应急响应的重要性。

CVE-2026-33112是SharePoint中一个绕过补丁的漏洞，攻击者利用XmlValidator未检查外部schema导入的缺陷，通过PerformancePoint服务的TestConnection方法触发ExcelDataSet反序列化，实现低权限RCE。关键发现是微软补丁仅修复了类型名解析，忽略了XMLSchema的schemaimport功能。可操作建议包括监控PPSAuthoringService.asmx调用、限制服务账户出站HTTP请求、审查反序列化类型白名单。

该文档为HumanoidEurope2026中欧人形机器人与物理AI科技大会的推广文章，宣布大会将于2026年11月5-6日在德国慕尼黑举行，聚焦人形机器人、具身智能及物理AI前沿技术，涵盖规模化灵巧操作、电池管理、安全保障等核心议题，并设有供需对接与商业合作环节，旨在推动中欧产业生态落地与商业化。

默安科技智能体通过四层智能研判模型，从5700条NIDS告警中剥离78%业务噪音，聚焦11条真实横向攻击威胁；蜜罐事件压缩30.2%且零漏判，并捕获MCP协议等未知攻击。该方案将分析师研判工时从4小时缩短至30分钟，实现运营效率、响应速度与威胁可见性的三重提升，形成可持续进化的闭环防御体系。

本周蓝军技术推送涵盖终端对抗、漏洞相关、AI安全、社工钓鱼和云安全等领域。关键发现包括微软修复570个漏洞、WasmForge工具用于EDR绕过、TuxBotv3僵尸网络、AI代理漏洞等。建议关注这些漏洞和工具，加强防御措施。

江西鹰潭警方破获特大侵犯公民个人信息案。嫌疑人徐某自2021年起低价购入超1100万条泄露邮箱账号，利用脚本批量养号后卖给未成年人规避防沉迷系统，获利50余万元。警方查扣大量设备与公民信息。此案警示企业须强化数据防护，防范黑产滥用。

OpenSSL披露HollowByte漏洞，允许远程未认证攻击者通过11字节恶意载荷触发拒绝服务攻击。漏洞利用TLS握手阶段预分配内存的设计缺陷，导致内存碎片化，影响Web服务器、语言运行时及数据库等广泛基础设施。修复版本已发布但未分配CVE编号，建议安全团队无视CVE状态立即升级至OpenSSL4.0.1或对应向后移植版本，并审计嵌入的OpenSSL版本。

文章调侃护网行动中误封公共DNS服务器地址(如114.114.114.114)的现象，讽刺面试时声称精通设备但实际操作不严谨，强调封禁前应仔细核对白名单。

海城警方在2026年世界杯期间破获一起网络赌球案，抓获22人，查扣赌资11万余元。警方通过巡查发现线索，成立专案组研判后于7月8日集中收网，缴获作案手机一批。涉案人员已被采取强制措施，案件正在深挖中。