ZONE.CI 全球网

ApacheActiveMQ存在高危远程代码执行漏洞CVE-2026-42588（CVSS8.1），认证攻击者可通过Jolokia接口构造恶意请求触发VM传输参数配置，利用Spring容器加载外部恶意配置文件实现任意命令执行。影响版本包括5.x系列低于5.19.7及6.0.0至6.2.6之前的版本。建议用户立即升级至5.19.7或6.2.6以上安全版本，360漏洞研究院已成功复现并提供相关检测支持。

文章讲述了驭势科技创始人吴甘沙的创业历程与战略选择。他在英特尔16年的经历，尤其是目睹诸多内部创新项目因技术激进或与市场脱节而失败，使其对创新失败保持高度警惕，并深刻影响了后续的创业决策。2016年创立驭势科技时，他避开了芯片和机器人领域，选择了自动驾驶赛道。其战略参考了`隆中对`模式，将业务分为两部分：一是聚焦机场等封闭场景建立根据地（`益州`），二是基于乘用车L2向L3、L4推进（`荆州`）。尽管因资源有限曾暂缓`荆州`战略，但凭借在垂直场景的深耕，公司最终实现了盈利并上市。文章强调，创业的成功往往在

本文基于2025年618大促数据，揭示电商黑灰产攻击链呈现前置化、协同化与AI化趋势，覆盖注册、领券、下单至售后全环节，导致营销预算消耗、风控模型失真及品牌信任透支，并提出需构建覆盖活动前预警、活动中拦截、活动后治理的全周期防控体系。

2026北京网络安全大会以AI时代攻防先行为主题，聚焦AI安全技术创新与产业生态建设。CNNVD通报收录114个AI漏洞，涉及MLflow、LangChain等主流项目，涵盖超危漏洞12个。同时披露RedHatnpm劫持、MetaAI客服逻辑漏洞等多起安全事件，提示需加强代码审计与身份验证机制。

文档汇总了2026年6月初的多项科技行业动态，包括孙正义因软银AI投资重返亚洲首富、xAI招募中文AI导师、Anthropic开放网络安全模型测试、腾讯云下调DeepSeek-V4价格、快手报告AI催生新职业、OpenAI演示无应用手机原型及英伟达CEO评论VeraCPU前景等，反映了AI技术在投资、就业、安全及硬件领域的快速发展。

本文披露了ClaudeCodeGitHubActions工作流中的高危供应链漏洞，攻击者可通过恶意GitHubApp绕过权限校验机制，利用OIDC令牌窃取与工作流串链实现从单个issue到仓库完全控制的攻击路径。关键发现包括无条件信任GitHubApp的设计缺陷、环境变量泄露风险及issue编辑攻击向量。Anthropic已通过禁用GitHubApp触发、关闭workflowsummary默认输出等措施修复，建议用户审计工作流配置并限制敏感权限。

扣子3.0核心升级在于通过多智能体协作实现项目化任务处理，支持在编程、视频制作等场景中通过@指令调度云端或本地专属Agent分工协作，并打通手机与电脑端实现远程文件调用与任务延续，将AI能力从单点问答推进至团队式工作流。

2026北京网络安全大会以AI时代攻防先行为主题，指出AI技术使网络攻击智能化升维、效率突破性增强、范围急剧拓展，导致攻防失衡。与会专家提出构建低位产品、中位智能体、高位大模型的三级协同防御体系，并强调通过数据安全、数学基础、国际合作等多维度发力应对新威胁。大会同步举办多项赛事和产业图谱发布，推动技术攻坚与生态共建。

CVE-2026-0257是PaloAltoPAN-OSGlobalProtect组件中的一个高危身份验证绕过漏洞，源于其`认证覆盖`cookie功能缺少签名完整性校验。该漏洞允许攻击者伪造任意身份（包括本地管理员）的认证cookie，从而绕过认证并接入内网。文章分析了该漏洞的机制、影响版本，并还原了两波真实世界攻击：第一波为广度探测，第二波则成功建立VPN会话。威胁行为体画像显示其技术能力中等偏上，运营能力中等，目标呈现广撒网式扫描，可能为商业入侵或初始访问获取。防御建议包括紧急升级补丁、关闭认证覆盖功

RedisLua脚本远程代码执行漏洞(CVE-2026-23631)为高危漏洞，CVSS评分8.1。攻击者可在禁用只读模式的副本服务器上通过主从同步机制触发内存管理缺陷实现远程代码执行。影响版本包括Redis7.2.0-7.2.14、7.4.0-7.4.9、8.2.0-8.2.6、8.4.0-8.4.3、8.6.0-8.6.3。建议立即升级至安全版本或临时禁用Lua脚本命令并强制从节点只读模式。

Anthropic玻璃翼计划利用ClaudeMythosPreviewAI模型扫描超1000个开源项目，发现约1万个关键高危漏洞，经人工验证后确认1500个有效漏洞。报告指出漏洞修复速度远落后于发现速度，维护者面临处理压力，建议企业加快补丁流程、调整防御策略并采用AI辅助审计。关键发现包括AI大幅降低漏洞发现成本，但补丁部署仍受人力限制。

该文档为火绒安全发布的公众号文章，核心内容包括高考季抽奖活动宣传和网络安全提醒。文章警示考生和家长警惕仿冒官方渠道的钓鱼链接与二维码，指出这些威胁可能窃取敏感数据或用于电信诈骗。同时推荐用户开启恶意网址拦截、文件实时防护等功能以保障电脑安全，并简要介绍了火绒安全公司的背景与服务理念。

CyberStrikeAI是基于Go语言开发的AI原生渗透测试平台，通过MCP协议集成安全工具、多智能体编排和角色化测试实现自然语言驱动的自动化攻击链。平台具备执行/认知/修复三大闭环，支持攻击链可视化、漏洞台账管理和分层审计留痕，有效解决传统渗透测试门槛高、质量不稳、难闭环等痛点。项目已获GitHub4000+Star并实现260+公网部署，兼具技术创新与落地价值。

全国首届文科生AI黑客松于2026年5月30日至31日在北京360集团总部举办，面向文科学子以AIAgent为核心，设置人类痛点终结者、个人IP打造者、信息真相猎人三大赛道。活动强调人文洞察与跨界思维，不要求编程能力而注重创意逻辑与落地性，最终评选出多项奖项并成立北京校园生态合作联盟，推动产学研结合。

惠普多款PolyVoIP电话存在严重缓冲区溢出漏洞CVE-2026-0826（CVSS9.2），攻击者可通过恶意SDP候选属性触发栈溢出实现远程代码执行。受影响设备包括VVX系列和TrioIP会议电话，漏洞可能被用于网络渗透、数据窃取甚至语音伪造攻击。建议管理员禁用ICE功能或更新至已修补固件版本。

美国CISA紧急指令要求联邦机构在6月4日前修复OracleWebLogicServer高危漏洞CVE-2024-21182，该无权限远程漏洞影响1592台公网主机，黑产已实战利用。建议政企立即按厂商方案修补，云业务参照BOD22-01处置，必要时停用服务。

ApacheActiveMQJolokia组件存在远程代码执行漏洞CVE-2026-42588，攻击者可通过Jolokia端点调用addNetworkConnector方法加载恶意Spring配置实现任意命令执行。漏洞影响5.19.7以下和6.0.0-6.2.6版本，利用复杂度低且EXP已公开。建议立即升级至5.19.7/6.2.6或通过禁用Jolokia、限制访问权限等措施临时缓解。

安全研究人员披露高危HTTP/2Bomb漏洞，影响Nginx、ApacheHTTPd、IIS、Envoy及CloudflarePingora等主流Web服务器。攻击利用HPACK头部压缩机制，通过发送单字节数据触发服务器内存大量分配，并配合零字节流量控制窗口锁定内存，导致家用宽带即可在数十秒内耗尽服务器32GB内存。部分厂商已发布补丁或提供临时禁用HTTP/2的缓解方案。

该课程系统介绍大语言模型在网络安全领域的应用开发，聚焦Deepseek等国产模型实战。课程涵盖提示词工程、Agent智能体开发、RAG知识增强三大核心模块，通过漏洞分析、威胁情报等实战场景教学，帮助学员掌握LangChain/LlamaIndex框架下的安全系统构建能力。课程包含10课时完整学习路径，旨在培养AI安全应用开发能力。

360数字安全集团发布了《AIAgent攻防演练指南2026版》，旨在帮助政企单位应对AI时代的新型安全挑战。随着AIAgent广泛应用于办公、运维等场景，传统的攻防演练对象已从系统、端口扩展到AI资产、智能体漏洞及调用链路。报告特别指出`影子智能体`（即未授权、未备案的AI工具）已成为新的安全盲区，并强调AI压缩了攻防时间窗口，使得前置风险发现成为防守关键。此外，攻击入口也正从AI本身转向其背后的工具、数据和业务系统。为此，360提出将安全能力融入AI应用全生命周期，并提供了涵盖演练前、中、后各阶段的实

TP-Link路由器存在高危漏洞CVE-2026-5509（CVSS8.5），影响ArcherBE450v1和BE7200v1型号。该已认证命令注入漏洞允许攻击者通过web管理界面执行任意系统命令，可能导致设备完全被控、敏感数据泄露。官方已发布固件更新，建议用户立即将版本升级至1.3.0Build20260416或更高以修复漏洞。

安全研究人员在XChargeC6电动汽车充电桩中发现多个严重漏洞，包括固件更新机制漏洞CVE-2026-9037（CVSS9.3）允许远程代码执行、物理接口缓冲区溢出漏洞CVE-2026-9038和默认凭据漏洞CVE-2026-9039。这些漏洞可使攻击者完全控制充电设备，威胁充电站网络安全。厂商已推送自动化修复补丁，建议管理员立即核实设备补丁状态并保持严格更新管理。

2026北京网络安全大会揭晓中国AI智能体领航者榜单，涵盖政务、金融、能源等20多个行业百余家企业。评选聚焦应用价值与安全可控并重，设关键能力、组织运营、行业应用、通用方向四大赛道，展现智能体在代码安全、威胁研判、政务办公等场景的规模化落地。该榜单标志中国AI从可用迈向好用阶段，为产业转型提供参考图谱。

2026年北京网络安全大会期间第十一届安全创客汇决赛落幕，亿格云获创业精英赛道冠军并获2000万元投资意向，Clawguard获创新先锋赛道冠军。评委会指出AI安全已进入规模化商用阶段，年均增速超20%，AI大模型重构攻防格局并催生AgenticSOC等新方向。平台通过赛事联动资本与产业资源，为AI安全、数据安全等领域创新企业提供全链条赋能。

MetaAI客服存在严重安全漏洞，黑客可通过VPN伪装位置并利用提示词注入攻击，直接要求AI更改Instagram账号绑定邮箱从而盗取高价值账号。该漏洞已活跃数月导致数千账号被劫持，包括奥巴马等名人账号，灰色市场估值超百万美元。虽然Meta已于5月29日修复且启用多因素认证可防护，但暴露出AI智能体权限过高、缺乏带外验证等架构缺陷。