ZONE.CI 全球网

Coldcard硬件钱包在2026年7月30日发生大规模安全事件，攻击者在41分钟内利用自动化工具清空了1196个比特币地址，转移约1082.65BTC（价值约7020万美元）。攻击发生在官方漏洞公告前30小时，特征包括固定30sat/vB手续费、无找零输出、多BIP路径扫描和快速资金归集。分析认为攻击源于私钥泄露而非区块链漏洞，建议用户立即迁移资金至全新生成的钱包，并采用多签等增强安全措施。

CVE-2026-61511是vBulletin论坛系统的严重未授权远程代码执行漏洞，PoC已公开。漏洞源于runMaths()方法中过滤不严的输入传入eval()函数，攻击者可通过ajax/render路由利用。影响6.2.1及更早版本和6.1.6及更早版本。建议立即升级至6.2.2或应用安全补丁。

该文档介绍了一个开源的WiFi渗透测试知识库，包含14个模块和4周学习路径，覆盖从802.11基础到企业级EAP/RADIUS评估的完整攻击流程。核心工具链包括aircrack-ng、hashcat等，并强调硬件要求和合法使用。建议在隔离环境中练习，可作为OSWP等认证的备考资料。

本文为AI赋能内部审计实战研修班招生广告。课程面向内审与IT审计人员，通过四天实操教授大模型选型、提示词工程、审计Agent搭建及本地化RAG知识库构建。聚焦投资决策与工程审计场景，助力实现从人找疑点到AI自动预警的转型，确保数据不出域。建议有数智化审计需求的企业安排人员参训。

CVE-2026-48611是phpBB默认配置下的认证绕过漏洞，攻击者无需凭据即可通过构造POST请求获取管理员会话，进而实现RCE。影响phpBB3.3.0至3.3.16及4.0.0-a2测试版。修复版本为3.3.17，建议立即升级并检查访问日志中auth\\_provider=apache的请求。

2026年8月10日全球安全动态涵盖AI系统、身份认证与软件供应链攻击事件。关键发现包括Kimsuky利用离线AI技术栈提升钓鱼能力、新型Passkey攻击可恢复同步私钥绕过防钓鱼MFA、TrueConfServer漏洞被利用替换客户端安装程序实施供应链攻击、SolidityProVSCode扩展窃取加密货币钱包和凭据。建议关注相关漏洞补丁并加强MFA与供应链安全审查。

该文档为政策板块日报，但内容仅包含标题、作者、日期及图片占位符，缺乏实质性的政策信息或技术内容，无法提取有效要点。

Coldcard硬件钱包因固件缺陷导致私钥生成使用弱伪随机数生成器yasmarang，有效熵仅约40bit，攻击者通过离线枚举破解私钥，导致约1.11亿美元比特币被盗。漏洞源于硬件RNG被关闭且降级为软件PRNG，种子可预测。建议用户升级固件至修复版本。

该文档详细描述了一种利用Windows即插即用(PnP)安装机制的攻击方法，通过模拟USB设备或利用RDPUSB重定向，无需用户交互即可实现从无权限到SYSTEM权限的提权。攻击链串联了SierraWireless和SonyFeliCa等供应商驱动的低严重性漏洞，以及IntelRealSense驱动的DLL劫持，展示了密码学信任与逻辑安全之间的差异。建议加强USB设备管理和RDP安全配置，并审计供应商驱动的安装逻辑。

HuggingFaceAccelerate至1.14.0版本存在目录遍历漏洞CVE-2026-69112，攻击者可利用…/序列读取任意文件或造成拒绝服务。该漏洞危害评级为高危，已在野利用，官方已发布修复补丁。建议受影响用户立即升级至最新版本。

HackerNews摘要涵盖多项科技新闻：tl;dv会议平台因Firestore集合缺少租户隔离导致18万场会议数据可被任意查询，漏洞修复拖延半年；Docker推出基于microVM的AIAgent沙箱提供更强隔离；Meta开源30B参数本地Agent模型MuseGlimmer；Cactus发布14MB设备端Agent模型Needle2；赏金猎人批评HackerOne平台偏离社区价值；SonicPiv5发布；研究显示出租车司机阿尔茨海默病风险较低；Parametron计算机历史回顾；Squeak6.1发布

公安部发布第176号令《公安机关网络空间安全监督检查办法》，自2026年10月1日起施行，监管从互联网安全升级为网络空间安全。新规新增数据处理者等检查对象，首次将算法安全纳入检查，并明确11项重点检查内容。企业应开展自查，完善等保测评档案，建立应急预案，加强算法安全管理，以提前做好合规准备。

该文档是一篇AI大模型工程师培训课程的推广软文,通过展示字节员工转岗agent开发后月薪11万+的案例,以及校招AI工程师高薪数据,吸引读者报名课程。课程由大厂专家主讲,承诺就业薪资保障(应届生年薪30万起,在职人员涨幅40%-50%),并提供分期付款和免费试听。内容核心是推销课程,缺乏技术深度。

本文介绍了Windows11本地提权漏洞CVE-2025-60710，该漏洞存在于HostProcessforWindowsTasks中，利用符号链接解析缺陷实现提权。影响Windows1125H2及24H2特定版本，利用简单，执行exe即可从普通用户提权至System。建议用户通过Windows更新或手动下载补丁修复。文章还推广了知识星球，提供POC脚本和其他漏洞分析。

CVE-2026-26119是WindowsAdminCenter的认证缺陷漏洞，允许已认证的低权限用户通过网络提升权限，影响WinREST的PowerShellinvokeCommand接口。该漏洞CVSS评分8.8，PoC已公开，补丁于2026年2月发布。建议立即升级版本并收紧低权限账号对管理入口的访问。

2026年个人信息保护系列专项行动取得阶段性成效，累计对2万余款App、SDK进行核查检测，公开通报1100余款违法违规App、SDK，对400余款采取下架等处置措施。行动还针对个人信息处理规则、个性化广告关闭等问题进行整改，并加强个人信息违法犯罪打击力度。下一步将继续推进专项行动，加强治理和宣传教育。

第六届开源情报技术大会将于2026年11月14-15日在贵阳召开，聚焦开源情报行业应用、采集技术、智能处理、安全对抗及合规治理等议题。同期举办第四届全国大学生开源情报数据采集与分析挑战活动，面向全国高校学生，分为初级和终极挑战，旨在提升学生数据采集与分析能力。活动不收取费用，报名截止9月16日。

本文分析了一位工作七年、字节L3职级、年薪120万的Agent开发工程师跳槽腾讯T11的可行性。核心观点是L3冲T11属于向上跳级，难度较大，薪资高不能直接证明能力匹配专家级职级。Agent开发经验是加分项，但需有实际业务成果支撑，而非仅搭Demo。结论是有机会但不稳，建议冲T11同时考虑T10。

本文披露某金融集团直播平台严重未授权访问漏洞。无认证的getuserinfo接口直接返回用户虚拟资产与手机号，结合未授权的SearchUser接口分页遍历，可批量拉取约1191万用户资产数据。建议强制校验Token、剥离未授权响应敏感字段，对遍历接口强制登录与限频，杜绝默认信任调用方的隐患。

中国信息安全测评中心发布2026年第11号测评公告，介绍其作为国家信息安全权威测评机构的职能，包括信息技术安全测评、漏洞分析、风险评估、服务与人员资质测评等，并依据国家授权定期向社会公布测评结果。