ZONE.CI 全球网

上海市网信办与数据局发布促进数据跨境流动便利化举措，涵盖制度衔接、负面清单管理、操作指引、线上服务、服务能级提升、赋能重点产业、完善基础设施、支持市场平台、培育服务生态及推动区域合作等十方面，旨在健全高效便利安全的数据跨境流动机制，推动高水平对外开放。

工信部通报2026年第6批共17款APP及SDK存在侵害用户权益行为，依据个人信息保护法等法规开展治理，要求相关企业整改，整改不到位将依法处置。

懂车帝删除大量关于尊界V800刹车踏板问题测试视频，三部门宣布调查后引起关注。

该通告披露Windows健康与优化体验服务(whesvc)存在权限提升漏洞CVE-2026-85884，影响多个Windows11版本。该服务以LocalSystem权限运行，在处理ETW事件时未充分验证事件来源，低权限攻击者可伪造事件加载并执行任意Lua模块，将权限提升至SYSTEM。官方已发布补丁，建议用户尽快通过Windows更新或手动安装修复。

OpenAI使用GPT-6系列模型维护代码库，通过提示词指导模型清理死代码和过期实验，两周内合并1400多个PR，删除80万行代码，并优化容器镜像和测试套件。文章强调了提示词中的取证标准和评审纪律的重要性，并展示了如何从小范围任务开始逐步扩大到整个代码库。

奇安信在CCF第41次全国计算机安全学术交流会获突出贡献单位称号。集团副总裁韩永刚发表主题演讲，指出AI已实现攻击全链路自动化，攻防能力出现代际差距，防御存在不够全、不够深、不够快三大短板。他提出从堵漏洞转向管路径的防御范式，并建议叠加AI安全层覆盖五个安全域，为政企机构应对AI时代安全威胁提供支撑。

观安信息阮子禅强调数据安全对AI应用的重要性，提出夯实AI应用根基的观点。

Nextcloud内置Collabora组件存在未认证命令注入漏洞CVE-2026-110447，位于proxy.php启动函数，攻击者利用Host头与URL经转义后拼入bash命令，通过$()替换实现注入，以www-data身份远程执行代码。影响26.4.303之前版本，2026年9月起已在野利用，建议用户立即升级修复。

本文为2025香港CTF二进制PWN方向Writeup，涵盖a_strange_rop、nofile、stop、filesystem、filesystem-revenge、compress等题目的解题思路与利用代码。涉及ROP链构造、格式化字符串盲打、缓冲区溢出、沙箱绕过ORW、命令注入及整数溢出劫持控制流等技术，最终实现获取flag。

中国软件评测中心于10月14日举办新任党支部委员党务工作实操培训，旨在帮助新委员熟悉党务规范、提升履职能力。培训围绕基层党建和数字党建平台操作进行讲解，解决上岗困惑。下一步将常态化开展培训，通过专题辅导、实操演练等方式提升基层党务工作规范化水平，以高质量党建引领评测事业高质量发展。

经纬信安凭借XDR与欺骗防御双领域能力入选数说安全《2026年中国网络安全市场全景图》，其纬将XDR主动防御与戍将攻击诱捕平台形成检测加诱捕的主动防御闭环，助力内网安全防护从被动告警转向主动防御，体现行业对其技术实力与市场表现的认可。

本文分析我国移动通信终端安全管控体系建设，指出当前管控能力不足，面临USIM卡复制、大规模终端被控制及eSIM漏洞等极端风险。建议构建国家协同、行业统一的终端管控体系，以手机eSIM商用为契机建立主动防护能力，并接入GSMAIMEIDB实现国际协同与情报共享，提升极端场景下的通信安全保障能力。

日本汉堡王约1118万条会员信息遭泄露，涉及姓名、邮箱、电话等十类数据，事件发生于2026年10月2日至7日，10月15日对外披露。文章梳理事件时间线，并提出加强访问控制、异常监测、个人信息最小化及应急响应等安全建议，强调会员信息管理系统需重点防护。

日本汉堡王确认发生数据泄露，约1118万会员记录受影响，泄露信息包括姓名、邮箱、出生日期、手机号等。公司已阻断未授权访问路径并启动应急响应，向监管机构通报。建议用户警惕钓鱼风险，勿点击可疑链接，及时修改密码。

本文介绍《红队实战指南:AI驱动的渗透测试、红队评估和漏洞挖掘》一书，聚焦AI与安全测试的交叉创新，涵盖从AI辅助信息收集到漏洞利用开发的前沿技术，结合传统安全方法论与新兴技术，为读者构建现代安全测试知识图谱，适合安全入门者、红队评估人员及漏洞挖掘研究人员阅读。

本文介绍ISC2企业AI风险聚合与决策支持课程，以虚构SaaS企业为背景，引导学员切换分析师与治理层双视角，演练评估冲突的AI风险评分、审查权限提升、评估自动化决策架构等四项AI治理难题。课程核心是确保受AI影响的决策可经受法律监管与审计核查，并获取CPE学分。

Next.js于10月14日紧急修复两个严重RCE漏洞（CVSS9.5）及一个高危DoS漏洞，影响16.0.0至16.4.0及15.5.27及更早版本。漏洞分别位于ReactServerComponents的usecache功能、librsvg图像处理及ServerActions。修复版本为16.4.1和15.5.28，需升级并确保sharp升至0.35.5以上。

本文为企业提供等保自测思路，指出等保并非一次性检查或证书，而是围绕信息系统开展的安全管理与技术建设。企业应从业务系统是否在线运行、数据敏感性与泄露影响、保密性完整性和可用性三要素、自身安全能力四个维度自测。若系统对外服务、承载业务流程或处理敏感数据，或客户投标监管有要求，应尽早启动定级建设与测评，先判断再定级后整改，将安全投入用在关键处。

本文探讨人工智能短视频产业化带来的法治治理挑战，指出量产化生产改变风险生成与传播方式，需强化生成标识与授权规则衔接、贯通真伪核验与来源认证、校准内容审核与规模化生产规制、实现行政监管与司法归责有效衔接，并提出分层治理与证据规则等具体建议。

ChatGPT的GitHub集成存在严重漏洞，攻击者可通过隐藏指令劫持AIAgent，将仓库审查操作转化为密钥窃取攻击，CVSS评分9.3。漏洞属间接提示注入场景，攻击者可诱导AI修改私有仓库并触发GitHubActions窃取密钥。防护建议遵循最小权限原则，限制仓库访问范围，排查异常工作流并轮换可能泄露的密钥。

中国人民银行就《金融信用信息基础数据库管理办法（征求意见稿）》公开征求意见，旨在规范金融信用信息基础数据库业务，强化金融监管，维护信息主体合法权益。意见反馈截止2026年10月30日，可通过电子邮件或信函方式提交。该办法对金融数据管理具有重要指导意义，相关机构应关注并积极反馈意见。

本文介绍StarMap星图，一个面向红队与安全工程师的本地化网络资产测绘平台。该平台支持公司名、域名、IP、ICP备案号等多类型输入，自动编排任务流，涵盖ICP备案查询、子域名枚举、空间测绘、端口扫描、Web爬虫及敏感信息识别，并产出XLSX/Word报告。平台还提供统一资产库、持续监测、AI辅助分析及可视化大屏展示等功能，旨在提升资产测绘与安全监测效率。

本文是DARKNAVY对StarlinkRev3用户终端天线的安全研究。团队拆解硬件并提取固件，发现大部分内容未加密，基于QEMU构建了模拟运行环境。分析发现STSAFE安全芯片提供独立信任根，并发现设备初始化时写入41个SSH公钥及以太网数据记录器程序。研究展示了卫星终端硬件攻击面与潜在安全风险。

文档探讨AI在渗透测试中的自主性发展，从纯文本推理到多agent协作再到RLVR训练，指出攻防本质是图上的搜索问题，并强调概率模型在不可逆动作上的失控风险，提出可控agent是下一块拼图，需平衡搜索最优与自主可控。