ZONE.CI 全球网

一种名为NFCShare的安卓恶意软件通过假冒欧洲银行应用传播，利用NFC技术窃取支付卡数据。该恶意软件自2026年1月出现后已演变为有组织行动，通过钓鱼网站诱导用户下载恶意APK，并采用规避技术对抗分析。安全团队建议使用apkInspector等工具检测非标准ZIP结构以识别威胁。

本文针对U盘与网盘在日常办公中的安全风险展开分析，指出U盘存在无防护加密、交叉感染、权限管理缺失等隐患，网盘则面临错误分享配置、账号防护薄弱、过度依赖云端等风险。结合《数据安全法》等合规要求，文章提出U盘安全使用四步法（选安全硬件、规范使用、管控端口、定期检查）和网盘安全使用五要点（谨慎分享、强化账号、分类存储、定期备份、关注通知），并强调安全意识是数据防护的第一道防线。

美国网络司令部通过云与统一平台计划推进联合网络作战架构建设，2025-2031财年预算总额6.04亿美元。统一平台为JCWA提供云原生基础设施，包含R2D2开发环境、JCWA通用运行时堆栈和CASPIAN大数据平台，已支持6200名操作员并将作战准备时间从数天缩短至分钟级。跨域解决方案构建安全数据传输通道，实现跨密级数据流动。未来计划聚焦JCRS升级、ICAM集成与分布式架构部署。

Anthropic发布ClaudeFable5作为Mythos能力层级首款公开型号，该模型在复杂任务中表现卓越且内置网络安全防护，能串联攻击生命周期但受双重用途限制触发分类器审查，95%会话可完整运行其功能。外部测试显示其防御稳健但英国AI安全研究所已取得越狱进展，模型通过`玻璃翼计划`部署并保留30天流量数据用于安全监测。

Fortra披露CorePrivilegedAccessManager(BoKS)存在严重命令注入漏洞CVE-2026-9862（CVSS9.8），攻击者可通过boks\\_autoregisterd服务在端口6507上无需认证执行任意命令。建议立即限制网络访问、关闭服务或应用补丁，防止系统完全被控。

2026年6月17日，开源AI框架Mastra遭遇大规模供应链攻击，攻击者利用前贡献者账号在88分钟内发布144个恶意npm包，通过依赖注入easy-day-js库触发跨平台信息窃取木马。该攻击可窃取浏览器历史、加密钱包数据并建立持久化机制，建议用户立即回滚版本、轮换凭证并审计系统。

该文档分析2009-2025年美国政府对华公共卫生资助情况，显示累计联邦义务金额约1904万美元，CDC占主导地位（94%），合作项目周期长达3-5年且最新项目延续至2029年。关键发现包括以传染病防控和全球健康安全能力建设为主要资金用途，中国CDC为核心受资助方，并通过美国高校进行间接资助。文档还梳理了中美疾控领域的三层合作协议架构，显示尽管中美关系波动，但公共卫生合作展现出较强韧性。

360企业安全浏览器鸿蒙版在华为开发者大会2026上荣获`鸿蒙办公行业先锋奖`，该产品是鸿蒙生态中面向政企场景深度适配的专属浏览器，已获得HarmonyOS技术认证。产品围绕安全合规、AI提效和统一管控三大方向，集成身份认证、国密算法、数据防泄露等多重安全机制，并提供AI助手、智能划词等智能化办公功能，支持跨设备协同和集中化管理，为政企数字化转型提供安全智能的办公入口。

SplunkAIToolkit曝出高危命令注入漏洞CVE-2026-20266，CVSS评分9.1，影响5.7.4之前版本。攻击者利用管理员权限可远程执行系统命令，篡改安全告警、窃取日志数据并控制安全运营环境。建议立即升级至5.7.4版本，严格限制管理员权限并加强AI组件安全审计。

该文档通告LinuxKernelnet/schedact_pedit权限提升漏洞CVE-2026-46331，影响v5.18至v7.1-rc7内核版本。漏洞源于tcf_pedit\\_act()函数在skb写入范围校验不充分，导致攻击者可通过构造pedit规则破坏页缓存一致性，实现本地权限提升。官方已发布修复补丁，建议升级内核或应用补丁899ee91156e5，同时提供临时缓解措施如关闭非必要模块、遵循最小权限原则。

文档披露LiteLLMAIGateway存在4个高危漏洞链，攻击者可通过虚拟Key路由绕过、用户角色提升、MCP测试端点命令执行和Guardrail沙箱逃逸，从低权限逐步接管网关控制面与执行面。漏洞影响v1.83.14之前版本，可能导致模型API密钥、数据库凭据、Agent工作流等敏感信息泄露。建议立即升级至v1.83.14-stable版本，并收敛路由权限、隔离管理接口。

本周互联网网络安全态势整体评价为良，基础设施运行平稳无重大事件。主要安全威胁来自软件高危漏洞、恶意代码传播和网站攻击，需重点关注政府企业及用户的防护措施。

该文档为信息安全与通信保密杂志社发布的端午节祝福图文内容，主要传达节日问候与安康祝愿，未包含具体技术信息或安全领域专业内容。

公安部网络安全等级保护中心于2026年端午节发布安全提示，强调节日期间网络安全防护的重要性，建议各单位加强系统监测与漏洞排查，确保关键信息基础设施稳定运行。

该办法规范网络数据安全风险评估活动，明确重要数据处理者需每年开展评估，一般数据处理者建议每3年一次。规定评估机构资质要求、报告报送流程及整改时限，强调风险信息共享和协同处置机制，自2026年8月20日起实施。

国家网信办、工信部、公安部联合公布《网络数据安全风险评估办法》，自2026年8月20日起施行。该办法明确重要数据处理者需每年开展风险评估，一般数据处理者建议每3年一次；规定评估机构认证要求及重大风险通知义务，要求重要数据处理者依法编制报送风险评估报告，并赋予有关部门监督检查权限。

国家金融监管总局发布指导意见，要求银行业保险业机构在人工智能开发应用中坚持安全可控原则，从治理架构、数据治理、算力建设等7方面提出32项措施，强调风险分类管理和人工干预机制，推动AI应用合规透明发展。

安在企业推出全生命周期网络安全会员服务，提供安全意识宣传、培训体系、效果检验、专业社区及评奖支持等一站式解决方案，助力企业根据规模和安全水平匹配五级培训体系，提升员工安全意识与组织防护能力。

三部门印发首批网络安全标识目录，针对消费类网联摄像头实施自愿性网络安全标识认证。产品需依据新标准检测并评定为一至三星级，标识含备案信息码。三星级强制第三方渗透测试，备案有效期三年，违规将撤销备案并处罚，确保产品符合物理、系统及数据安全要求。

SearchLeak是微软365CopilotEnterprise企业搜索功能中的关键漏洞链，结合参数到提示词注入、HTML渲染竞态条件和SSRF绕过CSP三类缺陷，实现一键窃取邮箱、会议、企业文件等敏感数据。攻击者通过构造恶意链接诱导点击，利用AI组件串联传统漏洞完成数据外泄。微软已修复漏洞并建议企业监控异常URL、审计CSP白名单、强化流式输出净化机制。

中央网信办于2026年6月18日启动为期3个月的清朗专项行动，重点整治账号名称信息乱象。主要针对四类问题：名称冒充（假冒官方机构、媒体、名人）、身份伪装（未经认证加注专业头衔、伪装特定职业人员）、夹带违规信息（外链引流、不良内容暗示）以及名称信息黑灰产（伪造数据、虚假认证）。要求各地网信部门督导平台加强全流程管理，对违规账号采取更正、禁言、关闭等处置措施。

2026年6月10日启明星辰通报GoogleChromeV8引擎越界内存访问漏洞CVE-2026-11645，评分8.8高危。攻击者通过特制网页可远程执行代码，影响Windows/Mac/Linux多个版本Chrome。官方已发布149.0.7827.102及以上版本修复，建议立即升级并加强网络访问控制、启用多因素认证。

本文详细介绍了Shiro550漏洞环境搭建、Cookie生成与认证流程，重点分析了Filter内存马的实现原理与检测方法。文章通过完整的SpringBoot项目示例演示了Shiro认证机制，并提供了从环境配置到漏洞利用的完整技术路径，对安全研究人员进行代码审计和漏洞分析具有实用参考价值。

安全研究人员NightmareEclipse公开了WindowsDefender零日漏洞RoguePlanet的PoC，该漏洞利用Defender内部处理逻辑的TOCTOU竞争条件，允许非特权用户通过NTFS连接点重定向文件操作，从而在受影响系统上获得SYSTEM权限。漏洞确认影响全版本Windows10/11及服务器版，建议组织将此披露视为高优先级并监控微软安全更新以获取紧急补丁。

360漏洞挖掘智能体在开源AI应用平台Flowise中发现13个0day漏洞，涉及身份认证、权限控制等安全问题，攻击者可窃取AI模型密钥或篡改数据。Flowise作为广泛使用的AI基础设施，其安全风险已影响企业生产环境，凸显AI平台在复杂业务流中的安全盲区。建议政企用户尽快对AI应用基础设施开展安全评估。