ZONE.CI 全球网

本周网络安全三大防线遭多重冲击，黑客滥用Cloudflare域名实施电话诈骗，AI代理协助劫持Linuxsudo窃取凭证，37年内核漏洞致OpenBSD提权，新型YuanKong木马窃取银行信息，iOS27完美越狱演示成功，AI代理入侵全球PaperCut服务器，谷歌自动绑定手机号引发隐私担忧，印度CERT-In警告AI加速攻击，MITRE新增9项AI相关攻击技术。

黑客利用NextcloudCollaboraOnline内置CODEServer应用中的CVE-2026-110447严重命令执行漏洞，自9月中旬起发起攻击，植入PHPwebshell以搜索密码数据库及加密货币钱包。该漏洞影响26.4.303之前版本，无需认证即可利用。建议管理员立即升级至26.4.303或更高版本，若不需要应移除该应用。文章还揭示了安全修复与CVE发布之间的时间差问题，以及AI辅助漏洞发现对CVE处理流程带来的压力。

该文档为红蓝对抗技术周报，汇总了漏洞利用、红队攻击技术、蓝队防御工具及安全工具。关键内容包括CVE-2026-85884权限提升漏洞、多种EDR规避技术、C2框架及凭据窃取工具。建议安全团队关注相关工具动态，加强对应防御措施。

本文介绍使用jadx-ai-mcp辅助分析某校园跑APP的安卓逆向实战。作者针对易盾加固的APP，通过配置jadx-ai-mcp插件与服务器，创建Xposed模块Hook应用加载的ClassLoader，拦截并分析真实上传的跑步数据，包括位置、步频、人脸验证等信息，为后续逆向修改做准备。文章提供了具体配置步骤和代码示例，具有较强的可操作性。

本文复盘HacktheboxProlabsMythicalCHAIN双域渗透全链实战，从已控DC01的beacon出发，经rsync匿名读取获取KeePass库并破解弱口令，利用ESC4将证书模板转化为ESC1，并绕过KB5014754强映射限制（SANURISID），获取域管权限；随后导出跨林信任密钥，利用信任账户进入EU域，最终通过MSSQLTRUSTWORTHY与SeImpersonate提权至SYSTEM。文章提供完整命令形态与防御视角，强调授权环境与脱敏原则，实操与教学价值高。

法国2026年抗议浪潮由教育条件不满引发，多阶层合流，归因于财政紧缩下公共教育供给退化，警务互动升级，TikTok等平台传播扩散，未发现外国实体人工助推。

CitizenLab披露名为AdFection的零点击攻击，以色列公司Discover-Tech伪装成正规广告商，通过在线广告供应链分发Candiru等雇佣间谍软件，用户无需点击即可被感染，影响半岛电视台、美国国防部等敏感机构。文章建议及时打补丁、部署移动威胁防护、监控异常流量、限制广告追踪并加强供应商尽调，强调监管需介入修补系统性风险。

隐雾安全团队发布文章，因误将他人赏金截图当作自己成果展示而道歉，随后补发自身漏洞赏金成果、学员漏洞收录评级及项目产出截图，并推广第11期SRC漏洞挖掘实战训练营课程，强调AI是普通人最大杠杆，引导用户咨询报名。

本文全面解析KaliLinux从入门到进阶的14大类108款安全工具，覆盖信息收集、漏洞分析、渗透测试、密码攻击等核心领域，为网络安全学习者和从业者提供系统化的工具选型参考与实践操作指南，有助于提升渗透测试与安全评估效率。

安信天行顺利通过ITSS三级资质监督审核，标志其安全运维服务体系标准化与规范化能力获权威认可。公司持有安全集成、安全运维等多项国家级资质，曾圆满完成北京奥运会、冬奥会等重大活动保障任务，未来将持续优化服务流程，护航政企网络安全。

本文披露某登录接口loginName参数存在Oracle布尔盲注漏洞，可未授权读取user表userPassword字段，获取管理员MD5哈希。因前端MD5提交且服务端直接比对哈希，导致管理员账号被接管。建议密码使用服务端加盐慢哈希存储、数据库账号最小权限、错误信息统一化并升级WAF规则。

上周（10月12日至18日）全国14个网络安全项目中标总额4846.55万元，其中海淀区政务网络安全监测服务项目以2335.5万元居首，由启明星辰中标；奇安信、深信服等供应商也有较大份额。项目集中在政务与医疗行业，安全监测与运营服务类占比最高。数据来自公开采购平台，可信度较高。

OpenCodeConsole遭入侵，1.4%用户存储的API密钥可能泄露，黑客利用被盗Key调用模型产生费用，账单由用户承担。官方确认事件并建议受影响用户轮换密钥。文章建议用户立即检查邮件通知、轮换密钥、为各厂商配置专用Key并设额度上限，同时盘点密钥存储位置。事件暴露了托管密钥模式的风险，企业应评估供应商安全。

某中国芯片制造企业被勒索组织威胁泄露内部数据，包括业务记录、员工工资和财务会计文档，潜在影响面大。报告基于暗网公开声称，未证实数据真实性。

这篇文章分享了为金融甲方编写数据服务规范的经验，区分了数据安全与数据服务概念，分析了金融公司缺乏专职数据服务部门的现状，参考国标行标编制规范，按DCMM标准评估达到第2级受管理级，建议小团队兼任起步逐步分离职责。

本文介绍开源项目HBC_SEC_MCP，一个将传统命令行安全工具包装为MCP协议服务的网关框架，使AI客户端能标准化调用安全测试能力。项目基于Flask实现，已集成sqlmap扫描和命令执行工具，支持MCP与HTTPAPI调用，并允许扩展开发新工具。文档提供详细架构说明和调用示例，但末尾含广告推广内容。

本文分享图片去水印经验，指出AI程序计算效果不佳，推荐使用Photoshop处理。核心方法为选中水印颜色作为前景色填充图层，叠加效果选变暗以中和水印颜色，合并后调用自动色调优化效果。操作简单实用，适合处理颜色与字体色不同的水印场景。

GitLab警告存在最高严重级别的代码执行漏洞CVE-2026-97229，源于CI/CD正则表达式编译器整数溢出，可能允许未经身份验证的攻击者通过精心构造的正则表达式在服务器上执行任意代码。已修复19.2.8、19.3.4、19.4.2之前版本，建议立即升级。近期GitLab还修复了多个高危漏洞，CISA已将其加入被利用漏洞目录。

本文介绍微信聊天记录作为证据的法律效力及实务操作。依据相关法律规定，微信记录属于电子数据证据，需满足真实性、完整性、关联性、合法性四重审查。文章列举了法院采信与不采信的情形，并给出转账备注、保存原始载体、申请官方凭证、公证存证等可操作建议，强调日常留痕的重要性。

本文档介绍大模型安全测试工具garak的搭建配置流程，包括使用llama.cpp部署本地模型、安装garak工具、配置参数及执行安全测试。文档详细说明了流式与非流式返回的处理方案，以及通过配置文件或自定义Generator插件对接非标准接口的方法。同时指出使用带思考过程的模型可能导致测试结果为空的问题，建议使用无思考过程的instruct模型。

俄关联组织UAC-0099使用新型ASHVEIN远控木马攻击乌克兰政府人员，该木马能提取浏览器凭据、截屏、检索文件，通过HTML隐蔽指令和GitHub备用渠道接收任务。文章指出这是持续获取入口、筛选目标并移交的前端作业系统，四年更换十余种工具，目标覆盖乌克兰政府、防务、边防和物流等领域。对我风险主要来自手法迁移，驻外机构、物流企业等可能成为目标，建议关注非浏览器进程读取凭据库等组合信号，并核查身份令牌、VPN会话等环境。

本文记录在鸿蒙PC上从源码编译安装openHiTLS0.4.0的完整流程，涵盖环境配置、CMake构建、ELF签名及运行验证，并提供一键构建脚本与项目集成示例，为鸿蒙原生安全库开发提供可操作参考。

中通安全应急响应中心发布通知，因双十一业务高峰，于2026年10月19日至11月14日暂停外部授权测试及漏洞收录。期间未经授权的测试将被视为违规，可能面临取消奖励、账号封禁等处置，严重者保留追责权利。暂停期结束后恢复正常收录，建议白帽子遵守规定，保障业务安全稳定。

本文探讨DDoS防护的就绪状态本质是可见性问题，强调需持续验证流量是否真正经过防护路径，而非仅依赖采购和配置。提出三项每日自检：流量宣告、连接健康与流量到达，并建议监控流量缺席而非仅关注激增。文章介绍Imperva的Connectivity仪表盘、GRE隧道性能监控及PoP流量监控等方案，以实现持续验证防护有效性，提升应急响应效率。

本文复现了针对NordicnRF51系列芯片PALL读保护的绕过攻击，通过标准SWD调试口结合GDB单步执行与寄存器修改，借壳CR0中已有load指令逐字节抽取受保护Flash固件，实验约54分钟完整提取256KB镜像。文章指出PALL仅阻止直接读Flash，但调试口无法关闭，寄存器读写与单步执行仍可用，构成攻击面。建议评估威胁模型时需考虑调试口暴露风险，产线应关注SWD焊盘暴露问题，选型时需确认调试口能否彻底关闭。