ZONE.CI 全球网

HollowByte漏洞允许未认证攻击者通过11字节payload耗尽OpenSSL服务器内存，触发拒绝服务。攻击者利用TLS握手中的内存分配信任问题，发送声明大消息体的恶意输入，导致服务器分配大量内存并碎片化，即使连接断开后内存也无法回收。OpenSSL已在4.0.1及向后移植版本中修复，建议立即升级。

海康威视发布2026半年度报告，营收达468.23亿元，同比增长11.97%，归母净利润78.96亿元，同比增长39.57%。业绩增长源于坚持技术创新、深化人工智能融合及优化供应链管理，主业产品收入占比超70%。本文仅为财务数据简述，无实质安全技术内容，对安全从业者参考价值有限。

看雪学苑推出企业防火墙漏洞挖掘课程，覆盖Fortinet等10+主流厂商，精选30+高危漏洞，引入基于langgraph的自动化挖掘工作流，从固件分析到漏洞利用全链条教学，旨在培养独立挖掘0day能力，适合安全研究人员进阶学习。

ESET研究人员发现11款老旧、带有微软签名的UEFIShim引导加载程序存在漏洞，攻击者可利用它们绕过安全启动，在系统启动阶段执行任意代码并部署恶意软件。这些Shim程序基于0.9及更早版本，影响所有信任微软UEFICA2011证书的设备。漏洞编号CVE-2026-8863和CVE-2026-10797，微软已在2026年6月补丁日吊销相关证书。建议用户更新固件和吊销列表以防范风险。

上海市通信管理局通报通信网络安全防护管理情况，回头看检查发现11家单位仍未落实要求。上述单位须在10个工作日内完成威胁整改，3个月内完成定级备案与安全风险评估，逾期将依法处置。截至7月，沪上已有68家安全评测机构完成备案。相关企业应迅速对照合规要求开展整改，以免受到监管处罚。

本文介绍HCLAppScanStandard10.11.0特别版下载，这是一款企业级AI辅助漏扫工具，更新包括特权升级检测增强、DAST-IFA智能分析升级、CVSS4.0支持等。文章提供破解安装方法并引导关注公众号获取软件，属于软文广告性质，需注意法律风险。

该文档为中国电信安全网关产品线发布的系列文章第11期，标题为人人都要学大脑，内容以图片为主，缺乏实质技术论述或可操作建议，主要展示编辑团队信息及往期推荐链接，属于企业内宣或品牌推广性质的内容。

Coldcard硬件钱包在2026年7月30日发生大规模安全事件，攻击者在41分钟内利用自动化工具清空了1196个比特币地址，转移约1082.65BTC（价值约7020万美元）。攻击发生在官方漏洞公告前30小时，特征包括固定30sat/vB手续费、无找零输出、多BIP路径扫描和快速资金归集。分析认为攻击源于私钥泄露而非区块链漏洞，建议用户立即迁移资金至全新生成的钱包，并采用多签等增强安全措施。

CVE-2026-61511是vBulletin论坛系统的严重未授权远程代码执行漏洞，PoC已公开。漏洞源于runMaths()方法中过滤不严的输入传入eval()函数，攻击者可通过ajax/render路由利用。影响6.2.1及更早版本和6.1.6及更早版本。建议立即升级至6.2.2或应用安全补丁。

该文档介绍了一个开源的WiFi渗透测试知识库，包含14个模块和4周学习路径，覆盖从802.11基础到企业级EAP/RADIUS评估的完整攻击流程。核心工具链包括aircrack-ng、hashcat等，并强调硬件要求和合法使用。建议在隔离环境中练习，可作为OSWP等认证的备考资料。

本文为AI赋能内部审计实战研修班招生广告。课程面向内审与IT审计人员，通过四天实操教授大模型选型、提示词工程、审计Agent搭建及本地化RAG知识库构建。聚焦投资决策与工程审计场景，助力实现从人找疑点到AI自动预警的转型，确保数据不出域。建议有数智化审计需求的企业安排人员参训。

CVE-2026-48611是phpBB默认配置下的认证绕过漏洞，攻击者无需凭据即可通过构造POST请求获取管理员会话，进而实现RCE。影响phpBB3.3.0至3.3.16及4.0.0-a2测试版。修复版本为3.3.17，建议立即升级并检查访问日志中auth\\_provider=apache的请求。

2026年8月10日全球安全动态涵盖AI系统、身份认证与软件供应链攻击事件。关键发现包括Kimsuky利用离线AI技术栈提升钓鱼能力、新型Passkey攻击可恢复同步私钥绕过防钓鱼MFA、TrueConfServer漏洞被利用替换客户端安装程序实施供应链攻击、SolidityProVSCode扩展窃取加密货币钱包和凭据。建议关注相关漏洞补丁并加强MFA与供应链安全审查。

该文档为政策板块日报，但内容仅包含标题、作者、日期及图片占位符，缺乏实质性的政策信息或技术内容，无法提取有效要点。

Coldcard硬件钱包因固件缺陷导致私钥生成使用弱伪随机数生成器yasmarang，有效熵仅约40bit，攻击者通过离线枚举破解私钥，导致约1.11亿美元比特币被盗。漏洞源于硬件RNG被关闭且降级为软件PRNG，种子可预测。建议用户升级固件至修复版本。

该文档详细描述了一种利用Windows即插即用(PnP)安装机制的攻击方法，通过模拟USB设备或利用RDPUSB重定向，无需用户交互即可实现从无权限到SYSTEM权限的提权。攻击链串联了SierraWireless和SonyFeliCa等供应商驱动的低严重性漏洞，以及IntelRealSense驱动的DLL劫持，展示了密码学信任与逻辑安全之间的差异。建议加强USB设备管理和RDP安全配置，并审计供应商驱动的安装逻辑。

HuggingFaceAccelerate至1.14.0版本存在目录遍历漏洞CVE-2026-69112，攻击者可利用…/序列读取任意文件或造成拒绝服务。该漏洞危害评级为高危，已在野利用，官方已发布修复补丁。建议受影响用户立即升级至最新版本。

HackerNews摘要涵盖多项科技新闻：tl;dv会议平台因Firestore集合缺少租户隔离导致18万场会议数据可被任意查询，漏洞修复拖延半年；Docker推出基于microVM的AIAgent沙箱提供更强隔离；Meta开源30B参数本地Agent模型MuseGlimmer；Cactus发布14MB设备端Agent模型Needle2；赏金猎人批评HackerOne平台偏离社区价值；SonicPiv5发布；研究显示出租车司机阿尔茨海默病风险较低；Parametron计算机历史回顾；Squeak6.1发布

公安部发布第176号令《公安机关网络空间安全监督检查办法》，自2026年10月1日起施行，监管从互联网安全升级为网络空间安全。新规新增数据处理者等检查对象，首次将算法安全纳入检查，并明确11项重点检查内容。企业应开展自查，完善等保测评档案，建立应急预案，加强算法安全管理，以提前做好合规准备。

该文档是一篇AI大模型工程师培训课程的推广软文,通过展示字节员工转岗agent开发后月薪11万+的案例,以及校招AI工程师高薪数据,吸引读者报名课程。课程由大厂专家主讲,承诺就业薪资保障(应届生年薪30万起,在职人员涨幅40%-50%),并提供分期付款和免费试听。内容核心是推销课程,缺乏技术深度。