ZONE.CI 全球网

Go1.27.4和1.26.11版本修复了12个安全漏洞，包括Cgo构建时代码执行漏洞，建议开发者升级并重新构建。

星宇Sec发布了一篇关于HVV实战的文章，但前两天发布的govhw实战系列文章因某些原因暂时下架，并计划过段时间重新上架。未发布的文章将视情况而定。

网络安全AI训练集免费开放，包含30+领域数据，但存在版权争议、许可自相矛盾、夹带真实恶意样本等问题，需谨慎使用。

通过蜜罐捕获的攻击，分析溯源发现攻击者利用php2shell漏洞进行攻击，通过AI发现漏洞，最终通过维护脚本提权至root权限，并成功溯源至攻击者QQ号。

菲律宾证券交易委员会发生数据泄露，涉及用户个人信息，包括姓名、手机号、电子邮箱等，官方未披露细节，已有黑客论坛声称售卖记录。近期菲律宾多个政府机构也发生数据泄露事件。

OpenSSL发布安全公告，修复五个漏洞，影响QUIC、AES-GCM-SIV和CMS协议，修复代码已进入GitHub仓库，正式版本预计12月1日发布。

星宇Sec测试了CYBER平台，该平台是一个自动渗透测试平台，无需人工干预即可进行渗透测试，支持多种场景和模式，并通过黑盒和白盒测试发现多个安全漏洞。

《失守》系列微电影揭露了利用钓鱼邮件、仿冒下载站等手法的社会工程学攻击，强调员工安全意识的重要性，并提供预防措施。

欧洲近期遭受网络攻击，G7外长将讨论应对亲俄黑客活动，同时报道了洛杉矶富人俱乐部等多家企业的数据泄露事件，白宫IP地址被用作代理服务器，日本必客家美乐集团客户信息泄露，皇后区公共图书馆遭受勒索软件攻击，黑客通过伪装游戏链接传播信息窃取器，OpenSSH发布紧急修复程序，ChatGPT锁定模式被绕过窃取聊天记录。

本文详细介绍了在阿里淘宝应用中补环境和逆向分析的过程，包括环境检测、JNIHook、插件加载、签名验证等环节，并针对遇到的难题和解决方案进行了详细说明。

本周安全资讯包括LLMJacking攻击、俄罗斯统计局数据泄露、多个软件漏洞和金融事件，以及数据泄露事件，涉及多个知名机构和品牌。

文档为TimelineSec团队第八期SRC培训课程推广，聚焦AI时代白帽子挖洞面临的十大困惑，包括SRC红利期、AI挖洞提效、模型能力对比、自动化工具、撞洞避免等，邀请专家Aedoo直播分享经验，并推广第八期AI+SRC赏金猎人实战培训课程，含双十一优惠活动。

韩国总统提议设立政府级网络安全统筹机构以加强安全建设。文档同时汇总多项安全事件：潜伏16年的UEFI高危漏洞可致ring0代码执行；漏洞利用已成数据泄露主因；SquareTrade与MarathonHealth发生大规模数据泄露；WorkOS遭AI攻击框架入侵；Langflow与西门子IoT设备存在严重漏洞。建议优先修补边缘设备漏洞并加强身份验证。

本文披露Discuz!X5.0（20260320至20260501版本）存在严重认证绕过漏洞（CVE-2026-49952），源于UCenter集成与数据库备份API共享加密密钥，攻击者可通过username参数注入恶意payload，未授权访问数据库备份和恢复功能。文章提供资产收集语法（body特征）及漏洞复现的POST/GET请求示例，建议相关站点立即升级或限制dbbak.php访问权限。

本文为第十届强网杯全国网络安全挑战赛初赛PWN方向Writeup，由星宇Sec发布。文章开头阐述了比赛背景及指导思想，但正文内容被截断，未能展示具体解题过程。作为CTF比赛解题报告，对参赛者具有参考价值，但内容不完整，无法提供详细技术分析。

本文为第十届强网杯全国网络安全挑战赛初赛Web与Reverse方向的解题思路分享，由星宇Sec发布。文章基于比赛背景，围绕网络安全人才培养模式创新，提供Web安全与逆向分析方向的实战WP内容，对CTF参赛者具有技术参考价值。

SecWiki周刊第661期汇总2026年10月26日至11月1日安全技术资讯，涵盖网络安全威胁年中报告、基于大语言模型辅助的安全漏洞静态分析工具IRIS，以及以提示词注入反击AI驱动网络攻击的取证分析等，涉及提示词注入、大语言模型、污点分析、静态分析、自主渗透智能体等关键主题。

BlockSec推出支付安全保障方案，针对AI时代支付机构面临的安全挑战，围绕资金安全、数据安全、业务安全三大重点，提供安全评估、审计渗透测试、攻防演练与持续监控等全链路防护服务，并面向部分机构开放免费安全体检及举办线上研讨会，以帮助支付机构提升安全防护能力。

本文讲述了作者在Mac上使用外置固态硬盘时遇到的问题，包括硬件选择、分区管理和数据备份的挑战，并通过AI助手解决了APFS分区在线无损扩容的问题，最终提高了存储空间利用率。

本文分享一次渗透测试实战：目标为ThinkPHP框架老系统，先尝试nday未果，发现登录接口图形验证码为前端校验可爆破弱口令。利用AI辅助发现SQL注入漏洞，通过account参数数组形式传入exp表达式实现登录绕过，成功以管理员身份进入后台。随后发现未授权文件上传漏洞，可直接上传PHP文件并执行，最终获取服务器权限。文章强调AI辅助漏洞挖掘的高效性。

本文为第十届强网杯全国网络安全挑战赛初赛Misc与Crypto方向题解合集，详细解析了宇宙微波背景辐射等题目的解题思路与过程，涵盖MKV容器分析、隐藏视频轨提取、时间相关性分析等技术方法，并附有完整PoC代码，对CTF参赛者具有较高参考价值。

360泷羽红队实验室在香港DPO攻防演练中斩获第二名，拿下11900分。该演练是香港特区政府最高级别官方实网攻防演习，对标内地护网行动。泷羽Sec团队6名成员入职360数字安全，其中4名参与本次演练。

文档报道360数字安全红队实验室在香港网络安全攻防演练中取得第二名成绩，拿下11900分。该演练是香港特区政府最高级别官方实网攻防演习，对标内地护网行动。泷羽Sec团队6名成员入职360，其中4名参与本次演练。

文档报道360数字安全红队实验室在香港DPO攻防演练中取得第二名，获得11900分。该演练是香港特区政府最高级别官方实网攻防演习，对标内地护网行动。泷羽Sec团队有6名成员入职360数字安全，其中4名参与本次演练。

Jenkins于2026年10月28日修复15个安全漏洞，其中多个可致远程代码执行，13个高危2个中危。攻击者仅需低权限即可执行代码、读写文件或接管管理员账户，部分漏洞可致供应链暴露。建议立即升级至Jenkins2.588或LTS2.580.2，并检查用户权限及启用CSP缓解措施。