ZONE.CI 全球网

网络犯罪分子正利用2026年FIFA世界杯实施钓鱼及门票诈骗，通过虚假网页、同形异义域名和搜索引擎操纵窃取金钱与个人数据。研究已发现超600个仿冒fifa.com的域名、1100多个可疑域名及33个诈骗域名网络关联2500个在线广告。球迷应仅从官方渠道购票、手动输入网址并启用多因素认证；组织需监控钓鱼域名和恶意广告以防范事件驱动欺诈。

该文档从面试官视角分享渗透测试技术面经验，涵盖面试题选择标准（网络题库、工作实践、简历技能）、分级评估方法（初级/中级/高级）及岗位匹配逻辑。指出面试结果受能力与运气双重影响（如项目需求变化、HC调整），并提供渗透测试、WEB安全、移动端（Android/iOS）等具体考察方向。建议求职者以基础能力匹配岗位薪资预期，无需过度焦虑超纲问题。

攻击者在HuggingFace平台创建高度仿冒OpenAI的虚假代码库open-oss/privacy-filter，其loader.py脚本向Windows用户传播Rust语言编写的Sefirah信息窃取程序。该恶意软件通过PowerShell下载并执行，禁用SSL验证、添加Defender排除项，窃取浏览器密码、Discord令牌、加密货币钱包、SSH/FTP/VPN凭据等数据，并泄露至recargapopular[.]com。建议受影响用户立即重装系统、轮换所有凭证，并提醒开发者下载AI模型前严格验

该文档介绍了kali-pentest项目，这是一个将200多个KaliLinux渗透测试工具整合为AI代理技能包的开源项目。项目提供15个标准化攻击场景playbook，支持本地、SSH和Docker三种运行模式，涵盖信息收集、漏洞分析、Web渗透等完整测试流程。文档强调了该工具能降低渗透测试门槛，但需要Kali环境支持，且深度操作仍需人工判断。

本文探讨了在AIAgent与API自动化普及背景下，传统ZeroTrust模型的结构性限制，指出安全风险从访问入口转移到执行链路中间。文章提出动作级信任（ActionTrust）作为演进方向，其技术核心包括逐动作授权、运行时策略执行和行为链感知。系统需具备全链路可观测、实时决策和动态控制能力，以实现从身份模型到行为模型的转变。

GitLab于2026年6月24日发布安全更新，修复了社区版和企业版中的13个漏洞，包括CVSS评分高达8.7的严重漏洞。受影响版本包括19.1.1、19.0.3及18.11.6之前的系列，部分漏洞可追溯至8.3版本。漏洞涉及客户端代码执行、路径验证不当及授权绕过等风险，建议管理员立即升级至最新版本以防范数据泄露和会话劫持。

CISA于2026年6月25日将影响思科统一通信管理器的关键SSRF漏洞CVE-2026-20230加入已知被利用漏洞目录，该漏洞允许未认证攻击者写入任意文件并升级至根权限，构成严重入侵风险。CISA要求联邦机构在6月28日前完成补丁，并建议组织立即根据思科官方公告实施缓解措施、进行法医分诊并审计日志。

该文档记录了作者对某教育SRC登录框的渗透测试过程，通过信息收集发现若依框架系统，尝试绕过图形验证码未果后转向接口测试和目录扫描，最终发现帆软报表系统存在未授权访问漏洞。利用双重URL编码绕过WAF过滤成功读取目录，并展示了AI辅助渗透测试的效率优势。文档后半部分主要为作者安全知识库和培训服务的广告推广。

该文档汇总了2026年6月下旬全球网络安全与科技政策领域的重要动态，涵盖欧盟对Meta的未成年人保护调查、美国量子研究行政令、新加坡网络安全人才培养、阿里巴巴起诉美国国防部要求撤销军工企业认定等事件。文档突出政策监管动向（如DSA合规要求）、技术战略布局（后量子密码迁移）及国际博弈案例（中美企业名单争议），各条目均附具体时间节点与处罚措施，但未提供直接可操作建议。

朱雀实验室发布开源A.I.GAgent安全演习SKILL，系统梳理AI安全演进三阶段：基础设施漏洞（如vLLMCVSS9.8分漏洞）、工具滥用导致代码执行、业务权限滥用引发数据泄露。针对AIAgent安全威胁，推出轻量级蓝军演习方案，支持一键检测越狱、间接注入、工具滥用等风险，提供本地化报告与修复建议，助力开发者在生产环境前发现组合攻击风险。

央视曝光新型电诈洗钱骗局，骗子以下载软件领扶贫款为幌子，诱骗老年人先取现转移赃款，再通过他人代付购买大量黄金进行洗钱。金店老板因察觉反常代付行为报警，警方据此抓获嫌疑人。该团伙专盯防备心弱的老年人将其沦为洗钱工具人。建议公众警惕免费领钱话术，遇到异常代买黄金等行为及时报警，切勿充当资金过桥通道。

嫌疑人邱某为充值游戏，以代办补缴社保为名，利用伪造聊天记录对亲属及十余名熟人诈骗近百万元，现已被刑拘。此为典型的熟人信任滥用骗局。建议公众明确养老保险不可违规补缴，办理社保业务务必向官方部门核实，切勿轻信个人承诺，提升防范意识避免财产损失。

公安部通报电诈案连降八个月，但刷单返利与虚假理财等十类诈骗仍占八成五。当前电诈呈互联网引流超六成、用小众软件与专用App作案、以现金转移资金等新特点。多部门正协同治理，工信部强化涉诈App监测，央行上线一键查卡。建议公众警惕高发骗术，善用反诈工具，加强老幼群体防骗保护。

GitHub于2026年6月18日曝出大规模恶意软件注入事件，攻击者通过克隆超1万个合法代码库并伪造提交历史与贡献者信息，在README中植入指向含木马zip压缩包的链接。该攻击利用SEO优化与社会工程学诱导下载，其恶意载荷（如loader.exe）可绕过基于URL的安全扫描，且攻击活动持续数月未被平台主动检测机制发现，凸显代码托管平台在行为监控与主动防御方面的严重不足。

本周网络安全态势显示塔塔电子遭WorldLeaks组织攻击，630GB数据泄露涉及苹果/特斯拉供应链文件；俄罗斯滥用Cellebrite工具针对活动人士，ScatteredSpider成员承认攻击伦敦交通局。五眼联盟警告AI加速网络攻击周期，建议企业推进零信任架构。Google将强化Android开发者验证，朝鲜背景macOS.Gaslight恶意软件利用AI提示注入规避分析。可操作建议包括加强供应链安全审计、加快漏洞修复及淘汰遗留系统。

本文详细介绍在华为NE40E设备上部署BGPEVPNL3VPNoverSRv6BE的实战配置，通过EVPN技术替代传统MPLSL3VPN，实现基于纯IPv6网络的业务承载。文章涵盖VRF划分、BGP邻居建立、End.DT4SID原理解析等关键技术点，提供从基础网络搭建到业务打通的全流程操作指南，助力网络工程师向SRv6架构转型。

五眼联盟发布联合声明警告生成式AI正迅速改变网络威胁格局，指出AI将显著提升漏洞挖掘、恶意代码生成和社会工程学攻击能力，使网络攻击平民化。声明呼吁企业将网络安全视为核心经营风险，立即采取安全默认设计、加快漏洞修复、淘汰遗留系统、实施最小权限访问等基础措施提升网络韧性，并建议利用AI辅助威胁检测和安全运营以保持防御优势。

本文介绍上海市公安局静安分局经侦支队副支队长洪磊从警19年的事迹，他凭借心中的三本账——犯罪分子的黑灰账、百姓民生的安全账和企业发展的风控账，侦破1900余起案件，追赃挽损130余亿元。他通过分析电商数据打击盗版手办、游戏外挂等新型经济犯罪，并推动建立卫企联盟、蓝鲸护企工作站等防控机制，实现从事后打击到事前防范的转变。

美国国土安全部监察长办公室报告显示，特勤局因政府设备功能不足导致员工普遍使用个人手机执行保护任务，造成严重安全漏洞。报告指出国际任务中设备缺乏威胁防御软件、应用安全测试不足，并在特朗普未遂刺杀事件中暴露风险。监察长提出5项改进建议，特勤局已部分采纳但整改尚未完成。

本文梳理了中情局特别行动中心的历史演变与组织架构。作为执行秘密行动的核心部门，其前身可追溯至二战战略情报局，历经冷战秘密叛乱后在反恐战争中地位凸显。文章解析了其地面、海事及航空分队的核心职能，并指出美国秘密行动正从审慎的外交工具演变为更具侵略性的政治威慑手段。

该文档解读国家发展改革委、国家能源局印发的《新型能源体系建设`十五五`规划》，核心目标是2030年初步建成清洁低碳安全高效的新型能源体系。规划强调推动全产业链技术自主可控，重点包括能源工控系统、工业软件、智能运维等领域的国产替代，并首次将算力纳入能源体系战略，提出算电协同一体化发展。

文档报道了BreachForums黑客论坛905GBCDN种子泄露事件，包含历史数据源文件、黑客工具、媒体证据和论坛元数据四大类内容。该事件相当于黑客黑市整个库存公开曝光，可能源于论坛内讧或CDN配置漏洞。文章回顾了该论坛多次被FBI查封的坎坷历史，指出网络犯罪者难以保证自身绝对安全。

该文档探讨高清图片在情报分析中的用途，指出除了识别目标人员外，还可通过图像分析推断其健康状况，特别提及对关键人物疾病评估的情报价值，并引用历史文献佐证术语的文化背景。

该文档详细解析了无线渗透测试中的PMKID攻击技术，阐述了其通过直接向AP请求PMKID帧来绕过传统WPA2四次握手捕获的技术原理，并提供了使用hcxdumptool、hashcat、airgeddon等工具进行PMKID捕获与破解的完整操作流程。文章指出该攻击对支持漫游功能的路由器构成严重威胁，强调使用强密码和升级WPA3的必要性。

安全研究员SatoshiTanda在研究Hyper-V虚拟机管理程序时意外发现CVE-2024-21305漏洞，该漏洞存在于部分Intel设备的UEFI固件中，导致HVCI保护失效，允许内核模式下执行任意代码。漏洞涉及RMRR内存区域未正确纳入UEFI内存映射，微软通过固件更新和虚拟机管理程序兼容性修复方案解决了该问题。文章详细分析了漏洞技术原理、利用方法及修复措施，并强调了深度学习对安全研究的重要性。