ZONE.CI 全球网

本周安全快报汇总了多起网络攻击事件，包括MustangPanda针对印度政府和水利部门的间谍活动、Gamaredon对乌克兰的持续钓鱼攻击、FBI警告的Signal账户钓鱼、GhostShell对乌克兰无人机领域的攻击、SharkLoader恶意软件针对多国政府组织的攻击、NoName057(16)对加拿大水利系统的入侵、针对酒店餐饮行业的钓鱼邮件以及美敦力数据泄露。这些事件凸显了APT组织利用恶意软件、钓鱼邮件和社会工程学手段窃取情报与数据的持续威胁。

JetBrains修复了影响Hub、YouTrack和GoLand的三个安全漏洞，其中最严重的是CVSS10分的身份验证绕过漏洞CVE-2026-50242，攻击者可通过数据库访问获取管理员权限。另外两个漏洞分别允许权限提升和远程代码执行。建议自行托管用户立即更新至已修复版本，云服务用户已自动修补。

CIA局长拉特克利夫在AWS峰会上宣布加速采用AI和量子计算等先进技术,将前沿AI模型比作数字核武器。他披露了两项行动成果:2026年1月委内瑞拉马杜罗抓捕行动和4月伊朗境内F-15E飞行员幽灵低语救援行动。核心改革包括将采购周期从三年压缩至六个月、成立企业合作伙伴办公室、新设任务系统局、开展数据冲刺和推出AI同事计划。同时,美国对Anthropic最强大模型实施出口管制,形成让自己用、控制别人用的政策逻辑。

日本外务省从传统公共外交转向进攻性认知域信息战，通过战略重构、财政投入、AI监控部署及代理人网络构建信息霸权工具。其体系存在官僚割裂与过度外包等结构性缺陷，虽在福岛核污染水排海等事件中形成叙事洗白闭环，但内部信任赤字与国际社会战略定力可能反噬其图谋。

Adobe发布安全补丁修复ColdFusion与CampaignClassic产品中7个高危漏洞，包括5个CVSS满分10.0级漏洞，涉及文件无限制上传、输入校验不当、路径遍历等缺陷，可导致远程代码执行、权限提升及任意文件读取。Adobe宣布自2026年7月14日起将安全公告频次提升至每月两次，以应对AI加速漏洞挖掘带来的威胁。

网络安全厂商eSentire预警ProgressKempLoadMaster高危漏洞CVE-2026-8037（CVSS9.6）已出现野外利用，该漏洞因escape\\_quotes()函数未正确处理字符串终止符导致堆内存越界读取，攻击者可向/accessv2接口发送特制请求实现命令注入，无需凭证即可在设备上执行任意系统命令，目前攻击均未成功但公开PoC或致攻击激增

微软因量子计算技术快速迭代，将后量子密码算法全面落地时间提前至2029年，核心改造包括升级网络加密套件、构建密码敏捷性以无缝切换算法，并针对信任体系全面切换PQC算法，以应对先采集后解密攻击风险。

AdversaAI发布的Guardfall漏洞报告指出，11款主流开源AI智能体中有10款存在结构性安全缺陷，攻击者可绕过命令过滤机制执行shell指令。漏洞根源在于过滤程序仅校验命令原始文本，而bash会解析命令实际语义，导致二者不一致。报告归纳了五类攻击方式，并指出唯一不受影响的Continue采用多层校验机制。报告建议采用受限隔离shell作为短期缓解方案，并推动分词标准化校验器成为行业通用标准以实现长期防护。

时间序列分析是从历史数据预测未来的数学方法，核心在于识别趋势、季节性和残差成分。ARIMA模型通过自回归和移动平均结合差分处理非平稳序列，是经典建模框架。该方法广泛应用于金融预测、需求预测和异常检测等领域，虽无法精确预测未来，但能量化不确定性并提供概率性预测区间。

本文介绍一道平面几何双动点最值题的逆等线解法。作者未想出代数解法，但四川网友展示了一个代数+几何解法，通过分析几何关系，利用余弦函数单调性，得出极值条件。当约束条件为特定值时，解法简洁，但其他情况复杂。解大题时需严谨书写证明过程。

本文整理了华为交换机在设备维护、协议调试、业务配置核查等场景下的常用display命令，按功能模块分类，涵盖设备系统状态、MAC地址、AAA认证、端口链路聚合、生成树协议、DHCP、VRRP、BFD、IPv6及路由协议等。内容为命令列表与功能说明，便于工程师查阅，无深入技术分析或可操作建议。

Anthropic被曝在ClaudeCode中秘密植入隐形代码，从4月2日起持续三个月，用于检测用户代理、时区及AI实验室身份，并采用XOR混淆和隐写术回传信息，被指类似木马行为。社区发现后，ClaudeCode负责人承认是防蒸馏实验，承诺立即回滚。事件引发对AI公司数字诚信和用户隐私的广泛质疑。

美国网安巨头派拓网络和CrowdStrike在2026年第二季度业绩创历史最佳，股价分别上涨113%和95%，受益于Mythos模型带来的网络安全需求激增。两家公司作为Mythos早期内测伙伴，战略布局智能体安全和身份访问管理，以平台级安全满足客户需求，巩固了行业领先地位。

2026年7月2日，中国信通院在全球数字经济大会—云智算安全论坛上发布第六次`安全守卫者计划`网络安全创新实践结果，聚焦人工智能云安全、AI赋能安全、安全运营、零信任创新等领域，旨在推动网络安全技术与各行业信息化深度融合，促进技术创新与产业水平提升。

本文通报中国信通院等单位在2026全球数字经济大会发布的智算安全灯塔创新实践结果。该实践围绕智算中心、平台及安全防护等领域展开，旨在应对AI与算力共生的新型安全风险。建议企业关注相关可信体系评估并参与后续实践，筑牢数智化转型安全屏障。

本文推广IOT安全技术交流群，邀请安全从业者加入，群内会推送相关技术文章，促进共同成长。

中国信通院于2026年7月2日发布最新可信安全评估结果，覆盖云安全、AI云安全、数据安全、AI+安全、软件供应链安全及互联网智能体治理六大领域，公布了包括阿里云、天翼云、腾讯、移动云等企业在专有云责任保障、机密计算、AI防火墙、可信研发运营安全等细分能力评估的首批或常规通过名单，为行业提供安全技术选型参考。

ISC2认证过期后，持证会员需在三个月宽限期内恢复。若因AMF欠费，登录账户补缴即可；若CPE学分未达标，需提交有效周期内获得的足够学分；两者兼有则需同时补缴AMF和提交CPE学分。恢复后账户和会员权益将正常。如有问题可联系官方。

本文演示垂直越权漏洞利用过程，通过普通用户登录后抓包修改用户名参数为admin，成功更改管理员密码。实验环境为Win10和Apache+PHP靶机，使用BurpSuite抓包工具。关键发现是URL中直接暴露用户名参数，导致权限提升。建议加强服务端权限验证，避免依赖前端参数。

中国信通院在2026全球数字经济大会上提出人工智能背景下数据安全八大发展趋势，核心包括落实数据三权分置以平衡权益、推动安全责任从静态划分转向场景化动态适配、利用机密计算保障数据使用中安全、精准布控模数共振环节安全、可信数据空间迈向AI原生驱动、以来数加工模式解决token出海合规问题、构建智能体可信数据使用环境，以及应用零信任理念缝合智能体协同安全罅隙。

本文分析ClaudeCode的隐蔽遥测行为，作者在Windows11上验证其会检测用户代理和时区，并通过修改systemprompt上报这些信息。文章详细描述了提取二进制中JS代码的过程，使用特定工具还原代码，揭示了该软件存在隐私风险。建议用户关注此类行为并采取防护措施。

河南省发布AI赋能新型工业化行动方案，目标至2027年产业规模破1600亿元。方案围绕产业转型、企业优化、园区管理、产品创新、生态培育及底座夯实六大路径，重点构建工业大模型矩阵，强化算力、数据与安全保障。建议各地完善机制并统筹资金，加快标杆打造与场景落地，推动制造业智能化绿色化升级。

国务院发布意见，深入实施人工智能+行动，推动AI与经济社会深度融合。目标到2027年智能终端应用普及率超70%，到2030年超90%，到2035年全面步入智能社会。重点行动涵盖科学技术、产业发展、消费提质、民生福祉、治理能力及全球合作六大领域，并强化模型、数据、算力等基础支撑，强调安全可控与开放共享。

三部门联合发布《网络数据安全风险评估办法》将于2026年8月20日施行，构建分层分类评估、流程闭环、机构严管等制度。要求重要数据处理者每年评估，一般数据处理者鼓励每3年评估，并明确专项评估场景和整改机制。企业需建立常态化风险评估机制以规避监管风险。

国家能源局修订《国家能源局研发创新平台管理办法》，明确平台聚焦可再生能源、核能、智能电网等能源技术领域，通过挂帅出征和赛马争先两种方式认定，实行定期评估与动态调整机制，强化知识产权管理及成果转化，支撑能源强国建设。