ZONE.CI 全球网

《网络数据安全风险评估办法》于2026年6月18日由网信办、工信部、公安部联合发布，8月20日起实施。该办法明确重要数据处理者需每年开展风险评估，规定了评估流程、机构资质要求和跨部门协作机制，旨在通过科学风险评估促进数据要素合法利用，筑牢国家数据安全屏障。

腾讯玄武实验室2026年6月22日安全动态披露了多项重要漏洞与威胁分析，包括苹果A12-A13芯片BootROM不可修复漏洞usbliter8、MediaTekWWAN驱动高危越界读取漏洞、OpenHarmony系统存在24种Android设计级漏洞重演风险。同时警示量子计算背景下MCP部署的ShadowAI威胁及SteamWorkshop恶意壁纸会话劫持攻击。报告提出AI时代需重构防御策略，从响应速度转向控制攻击可达性与爆炸半径的结构性治理。

文档披露了一种通过Google竞价排名传播的Claude对话恶意投毒攻击手法。攻击者购买Claude相关关键词广告，伪装成官方链接诱导用户点击，实际重定向至恶意域名并执行Base64编码的恶意脚本（如garagedoorskentucky.com/curl/…）。该手法属于供应链攻击变种，利用用户对搜索引擎广告的信任实施投毒。建议用户谨慎点击竞价排名链接，优先通过官方渠道访问服务。

深圳网安培训学院发布了2026年6月12日职业技能等级认定评价结果公示，主要展示相关人员的技能等级认定成绩与通过情况，建议相关人员及时查阅公示结果以确认自身评价状态并关注后续证书发放或复核通知。

本期工业网络安全周报涵盖人工智能安全服务资质发布、政策法规更新、高危漏洞预警及安全事件分析。核心内容包括国家推出AI安全资质评估体系，网信办等联合发布数据安全风险评估办法，曝光Splunk、FortiSandbox等系统的关键漏洞，并预警VoidLink恶意软件及AutoJack攻击链风险。报告还涉及智能体安全、算力互联网治理等前沿技术分析，为企业提供合规指引和威胁应对建议。

文档展示了在豆包平台复现XSS漏洞的过程：通过插入恶意脚本标签生成HTML页面，经预览和分享功能生成可访问链接。内容显示漏洞存在但缺乏技术分析深度，作者表明此为娱乐性质测试。

本文介绍使用fine工具批量查询ICP备案信息的完整流程，包括下载配置工具、设置FOFA/Hunter/企查查/天眼查API密钥、部署代理池以及验证查询结果。文档提供具体操作步骤和工具链接，适用于需要高效完成ICP备案收集任务的场景。

文档解析欧盟碳边境调节机制(CBAM)2026年征税阶段规则，涵盖政策体系、十大要点及数据合规要求。关键发现包括碳成本计算方式、授权申报人制度及反规避措施，建议非欧盟供应商完善碳数据收集以降低合规风险。

2026年6月22日安全简讯披露多起重大安全事件：任天堂第三方平台遭入侵致员工数据泄露；ShapedPlugin插件供应链攻击影响付费用户；加拿大永明人寿550万条客户记录被暗网兜售；埃尼法国分公司B2B账户信息泄露；边疆航空登机牌漏洞可窃取完整隐私数据；沃达丰澳大利亚网络故障致大规模服务中断。事件涉及数据泄露、供应链攻击、系统漏洞等风险，建议企业加强第三方风险管理、及时更新补丁并强化身份验证机制。

美国管理预算办公室提案限制联邦拨款用于与特别关注国家及受制裁国家的国际合作，欧盟通过新基因组技术植物法规推动农业创新，SpaceX获低ESG评级引发治理争议，特朗普缓和AnthropicAI模型限制立场，法国启动Tibi计划支持深科技，日本设定370万亿日元投资目标聚焦AI与半导体，多国在能源、海洋、航空等领域推出技术新政与项目。

2026年6月22日财政部发布财库〔2026〕10号通知，要求各级政府采购人不得采购46家美国军工防务及军用无人系统企业产品，措施即时生效且不设过渡期，明确排除在华美资企业。该政策直接影响供应链安全格局，属于应对国际安全风险的具体法规行动。

《网络数据安全风险评估办法》由国家网信办、工信部、公安部联合发布，自2026年8月20日起施行。办法明确重要数据处理者需每年开展风险评估，一般数据处理者建议每3年一次；规定评估可自行或委托认证机构进行，并细化报告编制、报送时限及整改要求。该办法强化了数据安全监管框架，为各行业落实数据安全法提供操作指引。

该文档为银遁安全团队发布的图片类内容，主要包含网络来源的图片素材并附有版权声明。文档未提供具体技术分析或文字内容，仅展示视觉材料及作者信息。

本文通过jqwik抗议软件和Shai-Hulud蠕虫两起真实案例，揭示AI仅能机械执行指令而缺乏真正智能的缺陷。开发者通过隐藏指令使AI误删测试文件，攻击者利用伪造指令绕过安全审查，共同证明AI无法识别恶意指令或理解上下文。文章指出当前AI安全需依赖架构隔离和权限控制，而非盲目信任AI的`智能`。

本文通过HealthTech平台MediCloud的GraphQL漏洞案例，揭示因嵌套解析器缺失字段级授权检查导致200万患者医疗记录泄露。攻击者利用公共查询绕过根级权限验证，直接遍历关联数据获取敏感信息。关键发现包括内省功能暴露数据关系、解析器层授权缺失风险，建议开发者实施字段级安全中间件，渗透测试需关注替代数据路径。

本周网络安全热点涉及漏洞、事件与政策三方面。漏洞情报包括SplunkEnterprise未授权文件操作漏洞和Linux内核本地提权漏洞；安全事件涵盖InfiniteCampus教育数据泄露、MackaySugar勒索攻击及德州政府300万人信息泄露；政策方面发布首批网络安全标识产品目录和《网络数据安全风险评估办法》。建议及时修补漏洞、加强供应链安全管理和关注新规实施。

该文档为ISC.AI2026开幕式与未来峰会的直播预约宣传，由数世咨询发布，定于2026年6月22日16:00在河北举行。内容聚焦AI领域前沿趋势探讨，但未提供具体技术细节或议程安排，主要起活动预告作用。

文档记录WindowsServer2012R2系统浏览器首页被驱动级病毒劫持的完整处置过程。通过Autoruns工具发现未验证签名的可疑驱动服务，利用PCHunter强制删除隐藏病毒文件并清理注册表，最终恢复浏览器首页。实验提供驱动级病毒排查与清除的实操方法，但未分析病毒来源与持久化机制。

《网络数据安全风险评估办法》是对《数据安全法》等法规的细化，旨在规范网络数据安全风险评估活动。其核心要点包括：确立`谁管业务、谁管数据安全`原则以避免多头监管；建立跨部门协同监管机制；对重要数据处理者、一般数据处理者和核心数据处理者实行分级分类评估要求；严格规范第三方评估机构，要求其对报告真实性负责、禁止转包并履行保密义务；明确企业在评估中的配合义务及禁止弄虚作假等。该《办法》自2026年8月20日起施行，标志着数据安全进入`实质性合规`深水区，企业需建立常态化数据风控体系以应对新要求123。

2026年6月Klue平台遭供应链攻击，攻击者通过后端服务器未授权访问窃取客户OAuth令牌，滥用SalesforceAPI提取CRM数据。Huntress和RecordedFuture等网络安全公司确认业务数据泄露，攻击手法与Icarus勒索组织关联。事件凸显第三方集成安全风险，建议企业加强供应链安全监控。

F5公司披露NGINX开源版存在两个CVSS评分9.2的严重漏洞：CVE-2026-42530为HTTP/3模块释放后使用漏洞，CVE-2026-42055为HTTP/2代理模块堆溢出漏洞，均可在特定配置下导致远程代码执行。受影响版本涵盖NGINX1.30.0-1.31.1及多个衍生组件，官方已发布修复版本并建议禁用HTTP/3或调整header缓冲区配置作为临时缓解措施。

阿里安全响应中心公布2026年4月先知平台漏洞奖励情况，96位安全专家提交有效漏洞。王牌A业务赛道Clay和MeeseeksX各获500元奖金；非王牌A赛道武器大师、w0rker和killer分别获得5000元、2000元和500元奖励。Top50白帽获50元电子卡，火云邪神团队获2000元团队奖。奖励需通过先知平台提交报告领取，王牌A计划持续至2026年底。

爱奇艺推出第二期AI影视创作营，依托自研平台纳逗Pro提供全链路赋能与专项免费算力，通过五大模块与大咖指导助力创作者提升AI影视制作能力。平台还推出分账补贴等政策完善AIGC生态，建议相关创作者关注报名以获取资源扶持与商业变现机会。

CAPINT是法国KNDS公司推出的新一代主战坦克概念，采用豹2改进底盘和Ascalon遥控无人炮塔。配备120毫米滑膛炮（可升级140毫米）、多层防护系统和1500马力发动机，重点创新在于X-by-Wire全电子线控架构和有人/无人协同作战能力，可操控无人机/无人车执行侦察与打击任务。该坦克旨在为未来MGCS主战坦克验证数字化、无人化作战理念。

江南信安将于近期举办抗量子密码技术沙龙，探讨量子计算对密码学的挑战、解决方案及未来应用前景。活动旨在促进技术交流，提升行业应对量子威胁的能力。