ZONE.CI 全球网

文档分析ARTEXAI渗透测试工具未认证RCE漏洞及利用该工具攻击韩国金融机构的事件。漏洞源于认证逻辑缺陷与MCP设计串联，攻击者可无凭据覆盖管理员密码获取JWT并执行命令。影响v0.1.0至v0.3.14版本，已导致韩国16家金融机构约10万条信息泄露。建议升级至v0.3.15并收敛暴露面。

该文档为好靶场平台于2026年10月21日发布的关于开展首期FDE专业能力认证培训的通知，地点位于四川。文档内容极为简短，仅包含标题、发布时间、地点及图片占位符，未涉及培训具体内容、课程安排、报名方式等实质性信息，更像是一则培训活动预告或推广公告，缺乏技术深度与可操作性建议。

该文档披露了DiviPlus插件svg\\_image参数存在任意文件读取漏洞CVE-2026-91136，影响版本<=2.4.0，攻击者可读取系统敏感文件。提供了FOFA测绘语法、POC请求示例及Nuclei检测命令，建议升级补丁并部署WAF防护。

作者回顾2002至2027年出版十一本安全著作的演进历程，揭示从案例堆砌到体系构建、再到单点纵深及组织级视角的思维跃迁，核心结论为技术会过期但安全判断力永不过时，建议从业者关注资产认知与组织判断力而非仅修补漏洞。

ARTEX工具已闭源，其最后一版开源版本存在漏洞，需用户自测修复。获取方式为后台回复artex。文档内容简短，主要起引流作用，技术细节有限，建议关注官方渠道获取最新版本信息。

中昊芯英联合创始人闯小明在2026CSA大会上分享国产TPU芯片研发与产业化实践，指出AI算力正从通用向专用演进，其新一代芯片须臾及泰则系统面向大模型训练推理优化，强调算力底座自主可控对AI安全可信的重要性，需将安全防线前置到底层硬件。

本文系统阐述智能体安全的五要素：身份安全解决智能体是谁的问题，需建立唯一身份与调用链关联；权限安全遵循最小权限与动态授权；行为安全记录任务链路并实时阻断异常；数据安全监管输入、处理、输出及流转全流程；供应链安全覆盖MCP、Skill、Tool等组件全生命周期。五要素需协同形成闭环，并建议建设统一监管平台实现资产统一管理。

360漏洞研究院发布安全预警，PHP存在两项严重远程代码执行漏洞，编号CVE-2026-109618和CVE-2026-109619，CVSSv4.0评分均为9.2，攻击面疑似指向会话上传进度功能，可能导致网站篡改、信息泄露或服务器失陷。官方计划于2026年10月21日22时发布安全更新，建议相关单位立即排查PHP资产并做好紧急更新准备。

本文从历史维度剖析芯片产业演化，指出其由冷战军需催生，后转向民用市场，经历全球化分工形成供应链依赖。核心结论是芯片是技术、资本、地缘政治交织的复杂系统，单点突破或完全依赖全球化均不可取，大国博弈根源在于供应链安全与效率的平衡。建议在产业效率与安全间寻求平衡。

今日安全资讯速递涵盖三大板块：国内论坛热点包括tvm-recover去虚拟化、KernelGPT写fuzz规则、SDC2026代码保护议题、高德SDK逆向及国密签名实战；X平台工具更新涉及Dopamine3.0.12、Frida17.24.3、ios-sweet项目、S26Ultrakexec实验、reverse-skill及BinaryNinja6.0R2；事件热点包括PHPCVSS9.2紧急补丁预告及eMudhra证书私钥熵不足问题。内容均为公开信息整理，供学习参考。

本期统计20个网络安全采购项目，合计预算3354.39万元。国家税务总局网络与信息安全运维项目占比最高，达2199.75万元。项目类型以等保测评与密码评估为主，共8个。采购覆盖税务、党校等多系统及10个省级区域，北京金额最高。安全规划与咨询类项目为零。

PHP官方发布紧急安全更新预告，修复两项CVSSv4.0评分9.2的严重远程代码执行漏洞（CVE-2026-109618和CVE-2026-109619），可能导致网站被篡改、敏感信息泄露或服务器失陷。攻击面疑似指向PHP5.4引入的会话上传进度功能，存在释放后使用风险。建议相关单位立即开展PHP资产排查，关注互联网暴露业务系统，并等待官方更新发布后及时升级修复。

公安部176号令于2026年10月1日施行，取代151号令，监管范围从互联网安全扩展至网络空间安全，检查对象从两类增至八类，新增数据处理者、个人信息处理者等。新规明确检查频次、远程检测门槛及约谈制度，并列出11项检查内容。政企单位需自查等保、数据分类分级、算法安全等，并建立应急响应预案。

本文介绍AIWorker标准，定义AI员工、AI团队与AI组织，强调将岗位职责、知识、技能与SOP、记忆和协作关系作为组织可积累、可复用、可迁移的数字资产，与模型和运行环境解耦，支持跨平台迁移。文章提出七类员工属性、SOP及团队协作机制，并公开标准规范以促进方法复用，建议组织按业务需求独立维护AI团队资产。

中航大网安协会成员柏秋彤、朱李涛组成的Air2top队伍在首届全球具身智能应用创新挑战赛暨2026中国机器人大赛漏洞挖掘挑战赛赛道中荣获国家级二等奖。团队通过深入探索精准定位，成功挖掘多个安全漏洞，技术方案获评委高度认可。协会计划以此为新起点，围绕漏洞挖掘、系统安全等方向持续发力，鼓励成员投身实战型科研项目。

奇安信CERT发布Oracle2026年10月关键安全补丁集合更新通告，涉及WebLogicServer及MySQLServer等多产品高危漏洞，其中三个远程代码执行漏洞影响较大。建议用户尽快应用官方补丁，并禁用T3和IIOP协议以降低风险。

本文是APT情报技术体系连载的首篇，解析美国网空作战的战略架构与组织协同，涵盖NSA、USCYBERCOM与CIA的职能分工，以及从被动监听到主动操控的演进路线。内容基于公开泄露文件与逆向报告，旨在帮助蓝队理解对手工程哲学以构建有效防御，后续将拆解监控体系与精确打击架构。

D&X安全实验室提供全国长期驻场岗位汇总，专注渗透测试技术，发布最新网络攻击技术信息。

禾盾安全应急响应中心发布PHP高危漏洞预警，涉及CVE-2026-109618与CVE-2026-109619，影响PHP5至8.5版本，攻击者可远程执行代码，可能导致网站篡改、信息泄露或服务器失陷。官方计划于2026年10月21日22时发布安全更新，目前暂无修复版本。建议用户清点资产、建立版本台账，优先处置暴露于互联网的Web服务，并遵循最小权限原则。

众智维科技亮相2026物理AI与世界模型大会，展示其AI+算力硬件+机器人安全大脑全栈安全能力，推出红鲸RedOps平台及三大战略新品，覆盖机器人、具身智能等终端安全防护，已服务金融、运营商等头部客户，致力于为物理AI时代筑牢智能安全基座。

本文介绍全链哨兵渗透测试Agent系统v2.1.0新增的监督模式，采用LLM2监督Agent1工作过程，通过Hook工具调用反推Agent行为并给出攻击方向建议，避免空转和重复测试。工具支持Web、小程序、APP全流程渗透测试，已开源在GitHub。文章提供使用配置方法和实战监督建议示例，对渗透测试自动化有一定参考价值。

本文预警PHP两项严重漏洞CVE-2026-109618与CVE-2026-109619，CVSSv4.0评分均为9.2，可能涉及远程代码执行风险。官方计划于2026年10月21日22时发布安全更新，技术细节尚未公开。建议提前排查PHP资产，明确运行时与维护方，补丁发布后及时更新并验证，关注官方公告与后续技术细节。

文章分析俄乌战局新变化：俄军歼灭2000乌军并年内拿下310个居民点，标志进攻全面提速。欧洲因经济压力态度松动，德国已掏1000亿欧元难以为继，法国政客也表态不支持。特朗普为自身利益施压停火，客观上推动和谈进程。作者认为战场筹码将成谈判秤砣，战争最终由掏钱方先认输。

文档介绍粉红大象效应在AI提示词工程中的应用，指出负面禁令反而会让模型更关注被禁止内容。作者开发开源工具pink-elephant，可扫描清理代码库中的负面禁令，将其改写为正面表述，并注入防粉红大象约束，帮助开发者优化AI提示词质量。

长亭应急响应中心披露PHPCore两处远程代码执行漏洞CVE-2026-109618/109619，CVSS9.2分，源于session上传进度处理机制UAF，可致远程代码执行。官方计划10月21日发布补丁，建议用户立即清点资产、准备补丁窗口，并采取关闭session.upload\\_progress.enabled等临时缓解措施，优先升级互联网暴露环境。