ZONE.CI 全球网

谷歌发布Chrome重大安全更新，修复33个漏洞包含7个高危级释放后使用漏洞，涉及WebShare、密码验证等核心组件，攻击者可组合利用实现远程代码执行。建议用户立即通过帮助菜单触发更新检查并重启浏览器完成修复，避免被动等待自动推送。

本文对ShopNC商城系统进行代码审计，发现三个高危漏洞：通过构造恶意数组绕过parseValue函数实现SQL注入，利用路径遍历删除install/lock文件导致重装，以及后台会员标签编辑处通过控制old_membertag_name参数实现任意文件上传。文章详细分析了漏洞成因并提供了完整的漏洞复现流程与POC。

国家网络安全通报中心通报了10个境外恶意网址和IP，涉及法国、德国、荷兰等9个国家，主要威胁类型为后门程序和僵尸网络，病毒家族包括DarkKomet、NjRAT、Mirai等。这些恶意地址用于远程控制、数据窃取和DDoS攻击。建议单位排查网络流量记录、部署检测设备并拦截相关地址，同时提醒用户警惕可疑文件和链接，及时向公安机关报告。

本文系统介绍了具身智能机器人工程化开发的三大可复用软件框架：主动推理开源库（pymdp/spm）的ROS2集成方案，支持快速原型与高性能部署；模块化行为树模板实现感知-决策-执行闭环控制，提升代码复用性与调试效率；内在动机引擎开发套件结合好奇心与熟练度驱动，实现自主探索与任务执行的动态平衡。文章提供了具体代码模板、参数调优指南及工程化避坑建议，助力开发者缩短开发周期、降低维护成本。

文章分析MCPServer暴露公网的安全风险，指出其可能比开放Redis更危险的原因在于MCPServer连接的是工具调用能力而非单一数据库，可能形成链式风险。关键发现包括：无认证、工具权限过大、工具描述被利用、PromptInjection影响扩大、连接云平台时风险升级。建议企业采取资产发现、网络隔离、强认证授权、工具最小权限、高风险动作人工确认等治理措施。

DARKNAVY团队基于国产开源大模型研制了deepsec安全AI系统，旨在追赶Anthropic的Mythos级漏洞挖掘能力。该系统通过结构化安全知识库、行为经验蒸馏和自进化架构，在Linux内核、QEMU、iOS等系统中自动发现多个高危漏洞（如CVE-2026-3195虚拟机逃逸漏洞）。实践表明开源模型结合高效工作流可显著降低漏洞研究成本，研究预览版将于七月中旬开放试用。

本文探讨了安全运营从依赖大屏展示转向引入AIAgent以提升执行效率的趋势。文章指出，传统大屏在展示整体态势方面价值有限，难以直接回答告警研判、攻击源判断等核心问题。其核心观点是，未来的安全运营应更注重可执行性，利用AIAgent重构工作流程：Agent能够自动化处理告警研判、跨系统日志关联、攻击链还原、报告生成及处置建议等重复性高的任务，从而将安全分析师从繁杂劳动中解放出来，使其专注于高价值的判断与决策。文章还详细阐述了Agent所需具备的数据接入、工具调用、知识库、权限控制与审计等能力，并提出了分阶段

等保测评是我国网络安全领域的合规制度，依据《网络安全法》和等保2.0标准将信息系统分为五个安全等级。测评覆盖物理环境、通信网络、技术和管理等数百项指标，由资质机构出具法律效力报告。三级系统需年检，二级建议两年一检，帮助企业从被动补救转向主动防御的安全体系建设。

本文系统解析SIEM（安全信息与事件管理）平台的四层架构：数据来源层涵盖终端、网络、云服务等日志类型；采集层通过代理、API等方式收集数据；处理层进行标准化解析和事件富化；分析引擎通过关联规则实现威胁检测。文档包含C语言代码示例演示日志传输、CEF格式解析及暴力破解检测规则，为安全运营提供实操参考。

安全研究人员发现针对WordPress插件OptinMonster等的大规模供应链攻击，攻击者通过入侵CDN注入恶意脚本，当管理员登录时激活恶意载荷以收集凭证、创建后门并建立持久控制，建议受影响站点审核管理员账户、扫描隐藏插件并轮换凭据。

本文系统梳理渗透测试中信息收集的常用方法与工具，涵盖企业产权查询、网络空间搜索引擎、自动化资产收集、移动资产收集及子域名爆破等技术。重点介绍ARL灯塔系统、OneForAll、Subfinder等工具的应用场景与操作步骤，强调信息收集对扩大攻击面的关键作用，并提供去重脚本等实用解决方案。

该文档为三级等保安全建设方案，强调实操性而非理论堆砌。核心将安全建设分为必须做和最好做两类，提供具体实施细节如机柜上锁、门禁双人验证等可直接落地的措施。文档重点突出整改步骤和预算分配章节，为运维团队提供实用操作手册，帮助高效通过等保审核。

本文对比实测GLM-5.2、Kimi2.7Code与ClaudeOpus4.8三个AI模型在复杂Agent任务中的表现。测试通过开发单文件Excel数据分析工具发现，GLM-5.2与Kimi2.7Code实际表现超越理论跑分领先的Opus4.8，后者因指令遗漏严重垫底。关键发现表明模型对长提示词的指令服从度和抗代码惰性能力比理论性能更重要，建议在实际工程任务中优先考察模型的指令遵循能力。

2026年6月Anthropic的ClaudeFable5模型上线不到24小时即遭黑客泄露完整系统提示词，内容显示该模型与Mythos5共用底层架构但安全管控层级不同，事件暴露AI提示词防护漏洞并引发行业对信息安全体系的反思。

本文介绍KillChain工具利用CVE-2026-0828内核驱动漏洞终止受保护进程的技术原理，通过嵌入驱动文件、注册内核服务并发送IOCTL请求绕过进程保护机制。文章包含GitHub工具链接及红队技术社群推广内容，强调仅限合法安全测试使用。

2026年6月，荷兰、加拿大、美国、德国执法机构在欧洲刑警组织协调下开展`终局行动`，成功打击Socgholish恶意程序分发网络，关停106台服务器与恶意域名，并修复14971个遭入侵的WordPress站点。该恶意软件由TA569团伙运营，通过攻陷正规网站植入仿冒浏览器更新弹窗，最终可投放LockBit等勒索软件。行动方建议WordPress管理员启用多因素认证、限制后台访问、更新程序并重置泄露凭证。

文档披露了针对FortiGateSSLVPN设备的全球性凭证喷洒攻击行动FortiBleed，攻击者通过自动化工具对数十万台设备发起超百亿次爆破尝试，成功入侵后植入嗅探器窃取凭证并渗透内网。关键发现包括四家机构被完整攻陷、防御建议强调需将管理界面移出公网、强制重置密码并升级系统。

ESET报告揭示TheGentlemen勒索团伙通过集中管控EDR破坏工具GentleKiller降低攻击门槛，该工具利用BYOVD技术伪装合法软件并调用漏洞驱动攻击48款安全产品，团伙能快速集成新披露漏洞POC，防御方可基于公开的扫描进程清单构建检测策略。

安恒信息推出AIAgentCTF解题夺旗赛新赛制，探索大模型独立完成安全解题任务的能力。该赛制要求智能体自主完成题目理解、漏洞分析、工具调用和Flag提交，重点评估其任务规划、资源控制和持续执行能力。平台升级后支持全流程记录与审计，通过综合评分机制考察智能体的稳定性和效率。

Node.js发布关键安全更新，修复包括高危WebCryptoAES整数溢出漏洞（CVE-2026-48933）和TLS身份验证绕过漏洞（CVE-2026-48618）在内的多个安全缺陷，涉及22.x、24.x、26.x版本线。文档要求管理员立即升级至v22.23.1、v24.17.1、v26.3.2等安全版本，以防范拒绝服务攻击和敏感信息泄露风险。

本文深入解析广播风暴导致网络瘫痪的机制，指出其根本原因是二层环路而非广播本身。关键发现包括冗余链路引发广播帧无限循环、带宽耗尽、CPU过载及MAC地址表震荡等连锁反应。解决方案是部署STP协议自动阻塞冗余链路实现无环网络，并在主链路故障时启用备份链路，兼顾可靠性与稳定性。

文档系统解析数据安全风险评估费用测算方法，基于GB/T45577-2025国标框架，归纳两种主流计费模式：按工作量（如长沙标准以数据库数量×人天单价）和打包招标（常与等保测评捆绑）。指出当前存在政策不统一、市场透明度低等问题，建议国家层面推动标准化的计费参数与差异化模板。

本周网安市场监测显示AI安全与智能体安全成为投融资热点，TwentyTechnologies等11家企业获融资，涉及进攻性网络战、智能体开发安全等领域；政策方面出台《网络数据安全风险评估办法》和金融AI安全指导意见，强化数据风险年度评估与AI应用全生命周期监管。

本教程详细介绍了使用Ollama3.2和OpenWebUI在本地部署运行DeepSeekV3模型的完整流程。内容涵盖Ollama的优势特性、硬件需求分析、具体安装步骤、模型下载方法及可视化界面配置，并提供了常见问题解决方案。教程强调该方案无需编程基础和环境配置，可实现完全本地化的安全部署。