ZONE.CI 全球网

研究人员披露了一个可导致流行开源AI网关litellm被完全接管的严重漏洞链，其CVSS评分为9.9。该漏洞链由授权绕过、权限提升和沙箱逃逸三个漏洞组成，攻击者可借此从低权限账户提升至管理员权限并执行任意代码。成功利用后，攻击者能够窃取所有API密钥、敏感数据，并可能篡改AI模型的响应。维护方已在v1.83.14-stable版本中修复了该问题，建议用户立即升级并采取重新审计账户、检查配置等安全措施。

朝鲜黑客组织ContagiousInterview通过开发者工具（VSCode、GitHub）发起供应链攻击，利用钓鱼邮件诱导开发者克隆恶意仓库，触发自动执行的恶意脚本窃取加密货币凭证。攻击涉及多阶段载荷、恶意VSCode扩展和npm包，针对近百家全球机构。建议加强代码审查、验证第三方依赖、监控异常IDE行为。

思科SD-WANvManage管理界面存在任意文件写入漏洞CVE-2026-20262，攻击者可上传恶意文件提升至root权限。该0Day漏洞已被实际利用，影响所有部署模式。思科建议立即升级至修复版本，并监控相关日志检测攻击行为。

SHADOWBYT3$黑客组织宣称入侵任天堂窃取约859MB敏感数据，可能通过TINYpulse第三方员工管理系统突破。泄露数据包含员工姓名、邮箱、内部问卷、财务文件等，存在身份盗用和金融欺诈风险。事件尚未经官方证实，安全专家建议企业加强第三方平台访问控制和多因素认证。

本文详细分析了某edusrc小程序存在的微信session_key泄露导致的任意用户登录漏洞。攻击者通过反编译发现session_key和iv参数被二次处理，利用泄露的管理员手机号逆向加密后成功登录后台，进而获取全校3万条学生手机号及身份证等敏感信息。文章展示了完整的漏洞利用链，并提供了AI辅助渗透测试的实战案例。

该研究对五款主流AI代码沙箱进行系统性安全测评，从主机攻击面、信息泄露、纵深防御、CVE历史、补丁节奏和Fuzzing投入六个维度分析三类引擎。关键发现包括：不同引擎在架构维度存在明显分层；下游产品补丁延迟可达471天；microVM与持续公开Fuzzer的组合尚属空缺。研究提出威胁模型限定矩阵，为运营者提供可操作的安全选型框架。

梆梆安全入选嘶吼研究院《2026AI+网络安全产业图谱》，在AI驱动的安全监控与合规检测双赛道展现核心能力。其AI智能体系统AppInsight通过LLM与逆向技术实现自动恶意应用检测，合规检测系统则利用语义理解将法规转为可执行逻辑。相关技术已在金融、政务场景落地，推动AI安全从技术验证走向实战赋能。

本文聚焦中国网络安全企业出海新趋势，指出在量子安全威胁、数据合规要求及全球数字化建设背景下，头部企业正从单一硬件外销升级为技术标准+全栈软硬件+配套服务一体化输出模式。格尔软件、天融信、启明星辰、绿盟科技、山石网科五大厂商依托抗量子密码、自研芯片、AI攻防等核心技术，深耕`一带一路`沿线市场，实现从产品输出到标准输出的跨越，同时面临全球法规差异、品牌竞争等挑战。

台当局近期设立所谓大陆民众`联系窗口`网页，企图诱骗搜集情报，被专家批为破坏两岸关系的政治闹剧。报道指出该行为违背民心且实际效果有限，大陆将采取反制措施。文章强调民众需警惕渗透陷阱并筑牢国家安全防线。

本文系统解析IP地址作为网络攻击首要目标的基础知识，涵盖其二进制与点分十进制表示方式、A/B/C/D/E五类地址结构及用途。关键发现指出IP画像可转化为风险评分工具，用于恶意IP识别、精准拦截与攻击溯源，但需结合行为分析、设备指纹等多层防御。文末提供网络安全学习资料作为可操作建议。

本文分析亚太地区网络安全产业政策演进趋势，比较美国、俄罗斯、澳大利亚、韩国、日本及东盟国家在政策主体差异、总体战略和细分领域的特色做法，指出地区发展不均衡、供应链安全管制强化、新兴技术标准竞争加剧等特点，并提出我国应加强网络安全人才培养、夯实产业基础、深化国际合作等应对策略。

全国网安标委发布《民用无人驾驶航空器数据链路网络安全要求》强制性国家标准征求意见稿，旨在规范民用无人机数据链路安全技术要求，各相关单位需在2026年7月31日前通过全国标准信息公共服务平台提交反馈意见。

该文档标题为《Kali实战：利用局域网流量截获内幕》，由蚁景网安于2026年6月16日发布。内容疑似介绍使用KaliLinux工具进行局域网流量截获的相关技术，可能涉及渗透测试或内网渗透等红队实战方法。

GB/T36959-2026《网络安全技术网络安全等级保护测评机构能力要求和评估规范》新国标将于2026年12月1日起实施，替代GB/T36959-2018版本。该标准由全国网络安全标准化技术委员会归口，公安部第三研究所等单位主要起草，对网络安全等级保护测评机构应具备的技术能力、管理能力及评估规范提出明确要求。

龙信科技于端午前夕举办主题手作活动，通过DIY龙舟艾草挂饰融合传统文化与企业文化，强调团队协作、诚信守约、精益求精的核心价值观。活动旨在提升员工凝聚力，并将匠心精神融入电子数据安全领域的技术研发与服务质量。文末附企业业务介绍与联系方式。

碳泽信息上榜数世咨询《新质·数字安全专精百强（2026）》单项冠军与创新之星两大细分领域。公司在漏洞扫描赛道凭借玉衡漏洞风险管理系统展现市场领先地位，同时在资产与漏洞一体化管理领域通过技术创新构建风险主动管理新范式。建议客户关注其资产探测、漏洞关联分析和风险优先级评估的一体化解决方案。

ApacheTomcat集群通信组件Tribes的EncryptInterceptor存在反序列化漏洞CVE-2026-34486，这是CVE-2026-29146补丁修复引入的回归漏洞。攻击者可通过构造加密通信帧绕过安全校验，在启用加密拦截器且开放4000端口的Tomcat集群中实现远程代码执行。文档提供了完整的漏洞复现步骤、PoC利用方法和环境搭建指南，建议用户立即升级至修复版本或通过移除加密配置、网络隔离等措施进行临时防护。

安天移动安全在华为开发者大会HDC2026上获评2025年度华为终端安全杰出生态伙伴。该公司与华为在鸿蒙生态安全领域深度合作，通过全域安全风险数据赋能鸿蒙安全态势感知平台，提供威胁检测和处置能力。同时为HarmonyOS提供端云综合解决方案，构建终端用户威胁感知能力，并与其他终端厂商开展联合实验室合作，共同推进移动应用生态安全建设。

DDDD-DL1.0.3版本主要新增4668个POC漏洞检测规则，增强GoPoc协议未授权探测能力（支持Elasticsearch、Zookeeper、MQTT、RabbitMQ等协议），新增智能备份文件扫描功能，修复ksubdomain网卡识别和Nuclei模板加载问题，优化JSON输出兼容性和跨平台支持。该工具专注于网络安全渗透测试，提供完整的漏洞检测解决方案。

文档宣布国家网络安全等级保护测评机构分级要求正式确定，涵盖分级标准、实施时间及对测评机构的影响。关键发现包括分级与业务范围挂钩、新版报告模板启用等变化，建议机构及时调整业务流程并参考附件的标准文件与整改建议表。

哪吒监控Nezhav2.0.13及以下版本存在未授权路径穿越漏洞CVE-2026-53519，CVSS评分9.1。攻击者通过构造GET请求可读取配置文件获取JWT密钥，文档提供了具体POC示例和影响说明，建议用户及时升级版本修复漏洞。

2026-2029年新一轮国企改革聚焦四大核心转变：资产布局从规模扩张转向国家安全、公共服务、新兴产业三大集中；科创体系建立容错免责与严打伪创新双轨机制；公司治理刚性落地三项制度打破身份壁垒；监管升级为数字化边境监管与46号令终身追责，并首次将市值管理纳入考核，推动国企系统性重塑。

卡巴斯基报告显示RTX5090显卡1小时可破解60%的MD5哈希密码，AI模型能通过分析人类设密模式提升破解效率。建议采用SM3等合规算法、加盐机制、多因子认证及FIDO无密码方案应对GPU算力和智能破解的双重威胁。

DDDD-DL1.0.3版本主要新增4668个POC漏洞检测规则，增强未授权协议探测能力并新增智能备份扫描功能。关键更新包括修复ksubdomain网卡超时问题、优化JSON输出兼容性、扩展GoPoc协议支持Elasticsearch/Zookeeper等服务的未授权检测，同时改进HTML报告生成逻辑。工具持续聚焦实战需求，支持跨平台部署且保持免费开源。

天融信与南京审计大学金审学院签约共建信息安全天融信班，通过共建人才培养体系、高端实训平台和师资资源整合，培养兼具技术实战能力与审计合规思维的复合型网安人才。合作将产业前沿技术、真实项目场景融入教学，针对327万网安人才缺口，提供学练测赛一体化攻防实训与认证赋能体系，打造华东区域产教融合标杆。