ZONE.CI 全球网

CVE-2026-25860是OpenClinicGA医疗信息系统中一个反射型XSS漏洞，攻击者通过构造恶意DICOM文件在StudyDescription等元数据字段注入JavaScript代码，利用认证会话修改系统配置参数，最终通过storePicture.jsp实现远程命令执行。文档详细分析了漏洞链利用过程，提供了Docker环境搭建指南和漏洞复现步骤，属于典型的WEB安全漏洞链分析案例。

近日国家发布4项量子计算国家标准，涵盖系统性能测试、服务平台架构与性能评估、极低温系统等领域。这些标准解决了硬件参数不统一、平台互不兼容等产业痛点，建立了从硬件到云服务的全链条标准体系，为产业规范化发展和国际竞争力提升提供技术支撑。

特朗普政府要求OpenAI分阶段发布GPT-5.6模型，限制初始访问权限给政府批准的合作伙伴，理由是国家安全考量。此前政府曾强制Anthropic下线Fable5和Mythos5模型。GPT-5.6与Mythos在网络安全能力上相当，将通过有限预览方式发布，这反映了联邦监管对AI模型发布的日益影响，但目前缺乏正式的监管框架。

该文档详细介绍了Windows客户端黑盒漏洞挖掘方法，重点分析如何通过进程管理器判断内嵌Chrome版本及沙盒开启状态，演示了通过伪协议接口和客户端JS接口实现页面控制的技术路径，并提供了Electron框架下的RCE漏洞利用实例。文档包含完整的工具链使用说明和实战案例，强调功能发现是漏洞挖掘的第一步，适用于各类客户端安全测试场景。

本文简要介绍了网络爬虫中五种网页去重方法。为避免重复抓取导致效率低下，常用策略包括：1\\.将已访问的URL存入列表或数据库进行查询判断；2\\.使用集合（set）快速存储和查询，但内存占用较大；3\\.对URL进行MD5编码以压缩存储空间；4\\.采用bitmap方法进一步压缩内存，但存在哈希冲突风险；5\\.使用布隆过滤器（bloomfilter），通过多个哈希函数在减少内存的同时降低冲突概率，适用于大规模爬虫。

本文介绍了NVIDIA开源的garak工具，它是一个用于系统性扫描大模型安全漏洞的评估套件，可在模型上线前探测其失败边界。文中详细阐述了LLM面临的六大安全威胁：提示注入、越狱、数据泄露、幻觉、毒性生成和错误信息。同时，文章解释了garak的核心工作流程，并提供了安装步骤与实战扫描示例，最后还对其与其他同类工具进行了对比。

该文档介绍奇安信推出的蓝队AI研判平台`威胁分析数字专家v1.3.0`，该平台面向网络安全运维、应急响应和威胁狩猎场景，支持域名、IP、病毒样本、漏洞等多类型安全线索的一站式分析。平台具备自然语言交互、自动化任务拆解和多源证据综合研判能力，内置基础线索研判、漏洞风险管理、高级溯源取证等标准化模块，可提升安全事件处置效率。文档建议用户试用该免费平台。

LingOps（灵控）是一款专为AWD/AWDP攻防竞赛设计的自动化平台，采用Go后端与React前端构建。核心功能包括目标探测、WebShell管理、WAF防御、系统运维和Flag自动读取，支持图形化操作界面。工具提供Windows/Linux预编译版本，默认访问地址为127.0.0.1:8080。文档末尾包含网络安全证书推广和付费会员站广告内容。

作者针对Swagger安全测试中常见的接口识别偏差问题（如basePath重复、API域名不匹配等），开发了支持在线/本地读取Swagger规范的自动测试脚本。工具提供spec-header认证、api-header授权测试、basepath修正等参数配置，可自动补参并生成MD报告，通过回复公众号`swagger`获取脚本以提升测试效率。

文章探讨了网络安全行业‘人才缺口327万’与‘头部企业三年优化1.76万人’看似矛盾的数据，并揭示其背后的结构性原因。核心在于，市场需求与人才供给存在严重错配：企业真正缺少的是具备实战能力、懂业务的高端复合型人才，而市场上供给的多为缺乏经验的初级岗位从业者。因此，所谓的‘缺口’和‘裁员’描述的是同一行业的两个不同侧面。文章最后为求职者提供了三个判断框架，以帮助他们在秋招中定位自身，做出正确选择。

本文介绍基于百度千帆精调大模型和CodeBuddy工具实现网络威胁知识自动抽取的实战方法。文章详细阐述了从创建专属推理服务、配置SFT精调到本地代码开发的完整流程，重点演示如何从威胁情报文本中自动识别攻击组织、恶意软件等实体并抽取语义关系，最终生成结构化数据供威胁知识图谱构建使用。

CISA警告思科统一配置管理存在严重SSRF漏洞CVE-2026-20230已被攻击者利用，该漏洞允许未经认证攻击者执行服务器端请求伪造并写入任意文件获取root权限。受影响产品包括CiscoUnifiedCM及其会话管理版，联邦机构需在6月28日前完成修补，建议立即采取厂商缓解措施、进行取证分析并审核系统日志。

2026年CSOP网络安全运营实战大会以`共智·共进·共生`为主题，聚焦AI时代安全新范式。专家指出AI加剧攻防不对称性，需重构安全基础设施并建立AI对抗AI的自动化防御体系。大会探讨了AI在威胁情报生产、渗透测试自动化、安全度量模型等领域的落地实践，并展示了通过数字员工实现安全运营自进化的成果。

文档披露新型Minecraft恶意软件LoaderClient通过伪造模组传播，利用以太坊智能合约实现抗打击C2通信，采用RSA签名验证确保指令真实性。该恶意软件窃取玩家会话令牌并内存加载第二阶段载荷，已感染超11.6万系统。攻击者通过YouTube视频和SEO优化网站进行社会工程传播，建议用户警惕非官方模组来源并保持杀毒软件开启。

该文档分析了某站点F5Shape安全产品的遥测数据收集机制，揭示其包含主遥测ee30zvqlwf-a（533个字段）和次遥测x-swa-di-ue（35个字段）两套系统，涵盖会话绑定、环境探测、图形完整性验证等维度。关键发现包括465个字体探针字段和完整的浏览器指纹收集，最终数据汇合至安全API进行业务校验。当前测试显示请求返回HTTP400错误，表明遥测链路已稳定运行但凭据校验未通过。

KuinaExtractor是一种用Rust编写的信息窃取恶意软件，自2025年12月起经历四个开发阶段，主要窃取浏览器数据、加密货币钱包和热门服务凭据。其特点包括利用Telegram机器人外泄数据、提供七种UAC绕过技术、沙箱检测功能，并采用XOR加密和自定义证书根增强隐蔽性。该恶意软件作者疑似越南开发者，通过共享代码标记可追踪其活动。

Cybernews研究团队发现一个因配置错误公开暴露的Elasticsearch集群，包含240亿条窃密木马盗取的账号密码记录，数据量达8.3TB。数据源自36个渠道包括勒索软件电报群和历史泄露合集，威胁数十亿账号安全。文章对比国内87亿条泄露案例，指出十亿级泄露已成常态，并建议用户修改复用密码、开启多因素认证、使用密码管理器等措施防护。

2026年6月浙商银行珠海分行因未制定网络安全事件应急预案违反网络安全法被央行警告并罚款55万元，反映金融监管正向具体制度执行层面深化。文章指出应急预案是应对网络攻击的核心要件，建议金融机构尽快补齐制度与执行短板。

本文探讨AI与智能代理工具普及对数据安全的新挑战，指出传统静态加密难以覆盖动态流转场景。提出三类防护方案：隐私增强计算实现跨主体密文协作，格式保留加密保障AI交互入口安全，沙箱联动加密构建智能代理运行态防护体系。建议企业采用分层加密架构，结合国密算法与全链路审计，平衡安全强度与业务效率。

本周安全热点周报披露多个高危漏洞在野利用情况，重点包括CiscoUnifiedCM漏洞(CVE-2026-20230)补丁发布数周后遭攻击者用于文件写入侦察，SplunkEnterprise未授权文件操作漏洞(CVE-2026-20253)被CISA确认积极利用。同时通报Gogs、Exchange、Squid等5个漏洞风险及伊朗银行瘫痪、塔塔电子数据泄露等安全事件，并提供漏洞修复和系统防护建议。

本期周报聚焦供应链投毒与数据泄露。国安部预警上游投毒攻击并提出规范组件来源等对策；GitHub上万代码库遭伪造植入木马凸显检测短板；德州政府与塔塔电子均发生大规模数据泄露，柯达亦遭勒索入侵。建议开发者严格核验代码来源，企业需加强供应链与数据安全防护建设。

火绒终端安全管理系统内置安全基线检测功能，可定期检测终端病毒风险和账户风险（包括弱密码、隐藏账户等），通过行为管理策略配置后自动执行检测并生成告警。检测结果可在终端概况页查看风险数量，在终端详情页查看具体风险项并支持直接查杀病毒或处理账户风险。文档提供了详细的配置步骤、各平台支持差异说明以及定期复查、联动处理等使用建议。

该文档阐述法治在网络生态治理中的关键作用，强调习近平总书记提出的‘五个坚持’原则，指出法治护航是构建网络治理长效机制的核心。文章从理论逻辑、制度功能和价值取向分析法治的重要性，提出通过科学立法、严格执法等实现网络空间长治久安，最终形成权利保障、义务均衡的规范性秩序。

本文探讨了国外可信数据空间的建设经验及其对我国的启示。文章介绍了国外在战略引领、安全保障、技术支撑和生态治理等方面的建设路径，分析了其政企协同、聚焦场景需求及发挥企业优势的实践经验，并指出了跨部门协调、合规性、技术兼容与市场化运营等挑战。最后，从完善组织管理、着眼行业需求、加强技术研发和深化国际合作等方面提出了我国建设可信数据空间的策略建议。

公安部近日公布5起打击网络谣言典型案例，针对虚假摆拍、AI造谣等违法行为采取行政拘留或刑事强制措施。文章指出网络谣言破坏舆论环境、扰乱社会秩序，强调平台需加强技术审核与人工复核，规范短视频内容标注，斩断谣言传播链条。同时呼吁网民理性辨别信息，共同维护清朗网络空间。