ZONE.CI 全球网

runZero在FatFs中发现7个漏洞，影响IoT和嵌入式设备，可导致内存损坏、崩溃或数据泄露。漏洞通过精心制作的存储介质触发，其中两个与空中固件更新相关。由于FatFs由单一维护者且无上游补丁，修复依赖下游供应商。建议审计FatFs副本、限制物理访问并监控更新。

2026年7月7日披露的美国T-mobile运营商3700万用户数据泄露事件，数据维度包括姓名、账单地址、邮箱、手机号等，可用于外贸营销。同时提及lockbit团队相关采购信息，但内容不完整。

CertiK成为阿布扎比全球市场(ADGM)科技生态Hub71的首选安全与合规供应商，为生态内企业提供8折服务优惠、20万美元补贴池及免费合规工具。合作旨在降低初创企业合规门槛，应对数字资产监管从探索转向主动执法的趋势，提供智能合约审计、渗透测试等全生命周期安全服务，助力企业满足牌照申请与反洗钱要求并加速跨国业务拓展。

文章记录了江苏省第四届数据安全技术应用职业技能竞赛初赛中源码泄露题的解题过程，包括通过git日志比对获取答案、分析ssh日志识别异常进程、以及使用binwalk和dd命令恢复块备份文件，但第三问因答案不符未能得分。

本文复盘了WorkBuddy平台AIPDF分析插件的SSRF漏洞。作者通过构造恶意PDF文件，利用插件的URL抓取功能成功访问云服务器元数据服务，获取了IAM凭证。漏洞根因包括未校验目标地址、内网权限过大及缺乏网络隔离。文章提出了使用白名单、沙箱机制、最小权限原则等修复建议，并介绍了WorkBuddy企业版的防护方案。最后附有抽奖活动。

文档描述使用hermes工具渗透一个骗子网站的经历。发现网站后台缺失，所有API返回402和404。唯一真实的是客服系统，存在Swagger暴露、文件上传无认证、消息接口未授权等漏洞。进一步发现客服系统为关键词自动回复，充值凭证为照片而非链上校验。结论是防诈意识需加强。

本文档是游戏逆向系列教程的第三部分，聚焦外部作弊概念。内容介绍了工具集（IDAPro、VSC++）、内部与外部作弊的理解、操作系统与通讯方式，以及验证后需拼凑人物、视角等数据形成有效使用的步骤。文档明确声明仅用于逆向教育目的，禁止违法使用，并提及了AI在逆向中的应用趋势。

文章探讨AI对漏洞赏金产业的影响，认为AI不会终结该行业但会重新定义竞争规则。AI显著提升漏洞发现速度并降低入门门槛，但也导致重复报告和垃圾报告激增。未来漏洞猎人需具备业务理解、逻辑分析和AI协同能力，单纯依赖工具和重复劳动将被淘汰。企业需加快漏洞响应流程，安全测试应贯穿开发生命周期。

本文辨析了等级保护中安全通信网络、安全区域边界与安全计算环境的区别。安全通信网络和区域边界属于外围安全能力，依赖网络基础设施和边界设备提供传输安全与访问控制。安全计算环境则关注系统自身的内生安全能力，如身份鉴别、访问控制等，体现了从边界防护向纵深防御和零信任理念的演进。

本文全面对比了Telnet与SSH两种远程管理协议，指出Telnet因明文传输存在严重安全风险，而SSH通过加密、身份认证等机制提供高安全性。文章结合等级保护2.0要求，强调在等保测评中Telnet常被认定为安全隐患，建议全面禁用Telnet并统一采用SSH进行远程运维，以满足身份鉴别、通信保密和安全审计等合规要求。

该文档为腾讯玄武实验室每日安全动态推送，汇总了多个高危漏洞与攻击技术。核心要点包括：TrojPix攻击利用HDMI电磁辐射将隔离计算机数据外泄距离扩展至208米；CursorIDE的DuneSlide漏洞实现零点击远程代码执行；2FA绕过漏洞暴露身份验证逻辑缺陷；ApacheAPISIXJWT算法混淆导致认证绕过；BadEpollLinux内核漏洞可导致AndroidRoot提权；以及针对AI代理的间接提示注入攻击和针对研究员的ChocoPoC供应链攻击。这些发现对物理隔离、AI开发工具及身份验证等安全防

暗网分析师披露商业住宅代理网络LegionProxy遭遇数据泄露，约1.01万个账户受影响，泄露内容包括电子邮件地址、bcrypt密码哈希值、姓名及购买记录。该事件暴露了代理服务商的安全防护薄弱，建议用户立即修改密码并启用多因素认证。

武胜县公安局在安辑2026专项行动中打掉一个特大对公账户洗钱犯罪团伙。该团伙注册10余家空壳公司违规办理对公账户，通过第三方支付平台为境外电诈团伙洗白转移赃款，涉案资金2000余万元关联22起电诈案件。警方抓获17名嫌疑人并网上追逃1名。提醒群众出租出借账户属帮凶行为将被追责。

青岛城阳警方打掉一个以黑吃黑为手段的电诈洗钱团伙。该团伙对接境外电诈集团承接洗钱业务，待赃款转入控制账户后违约私吞，半月内涉案超一百五十万元。警方依托数据研判与实地核查，在河北唐山抓获十三名核心成员。此案提示需强化异常资金流监测与跨地域协作以遏制黑灰产蔓延。

图们市公安局成功拦截一起电信网络诈骗案件，受害人王某被诱导下载屏幕共享app遭远程操控，在视频app商城购买银条损失近3万元。民警通过预警及时联系受害人，紧急拦截快递并联系商家退款，全额挽回经济损失。警方提醒公众警惕陌生代办退款、拒绝屏幕共享和远程操控请求。

Linux内核epoll子系统发现释放后使用漏洞CVE-2026-46242，允许非特权本地用户提升至root权限，影响服务器和Android设备。攻击者利用竞争条件触发UAF，通过/proc/self/fdinfo获取内核内存读取并劫持控制流获得rootshell。管理员需应用上游补丁，无变通方案。

T3MP3ST是一个开源自主红队平台，于2026年7月初发布，将AI编码智能体转化为进攻安全操作员。其核心设计理念包括无密钥作战和范围外溢控制，通过八操作员杀伤链实现自动化攻击流程。基准测试显示在XBEN套件上得分90.1%，在10个真实CVE中识别出8个。用户可通过克隆仓库、安装依赖并启动WarRoom或CLI模式使用。

本文探讨长跑Agent任务失败的结构性原因，指出根因在于上下文管理而非模型能力。文章引入LilianWeng的记忆分类（语义/情景/程序记忆）和CognitionAI的共享上下文原则，区分RAG-as-Memory与Context-as-Memory两条路线。核心贡献是定义三个杀手：失忆（关键事实被挤出窗口）、漂移（目标在多轮推理中偏离）、合理化（用残缺上下文自圆其说），并预告后续工程对策如分层记忆和进度日志。

本文详细解读了中国船级社船舶网络安全指南的产品网络安全要求部分，涵盖标识和鉴别、账户管理、口令强度等核心安全要素。指南按SL0至SL4进行安全分级，并针对不同等级提出了具体的技术要求、验证流程及解决方案，为船舶网络系统的安全建设提供了可操作的标准与实施指导。

PANDA2026活动推出两大现场挑战：趣味密码游戏金钞大盗和AI辅助激光故障注入黑客松。黑客松聚焦RP2350芯片漏洞，探索AI与硬件安全协作新路径，推动芯片安全从理论走向实战。活动于2026年7月13-14日在深圳举行，鼓励安全从业者参与实战切磋。

T3MP3ST是一款开源安全框架，可将ClaudeCode等AI代码智能体改造为自主红队工具，无需额外API密钥。在XBEN基准测试中通过率达90.1%，对10个真实CVE漏洞可检出全部。框架设计8类作战角色，但仅侦察引擎和单智能体漏洞利用链路稳定，其他模块仍在实验阶段。仅允许用于授权测试，使用者需承担法律责任。

该文档揭示一类新型恶意软件利用扫描规避技术攻击AI代码助手ClaudeCode和Codex。攻击者通过结构混淆和自解压技能封装两种手段，将恶意载荷藏匿于代理技能包中，绕过主流静态扫描工具的检测。研究团队实测显示，伪装后的恶意样本对8款扫描工具的绕过成功率超80%。真实攻击团伙ClawHavoc已在公开市场投放数百款恶意技能包。文档建议开发者采用动态行为分析工具如SkillDetonate，并严格限制AI智能体权限以防范此类威胁。

安全研究团队Armadin披露Anthropic旗下Windows版ClaudeDesktop存在安全缺陷，攻击者可通过DLL侧载突破ClaudeCowork沙箱隔离，在Hyper-V虚拟机中获取root权限并绕过网络访问限制。Anthropic认为该攻击链需已获得主机代码执行能力，不认定为漏洞。研究团队建议企业如不需要可直接卸载ClaudeDesktop，或限制用户权限并监控可疑DLL加载。

2026上半年区块链安全报告显示共发生182起安全事件损失约9.56亿美元事件数量同比增50%但损失降59.72%DeFi和跨链桥仍是主要攻击目标攻击手法向钓鱼社会工程供应链投毒及AI驱动演进全球监管围绕稳定币AML和VASP持续收紧资金冻结归还比例约12.3%隐私协议TornadoCash仍占主导但稳定币使用增多建议加强供应链安全与用户教育

PANDA2026物理攻击与安全评测研讨会将于2026年7月在深圳举办，聚焦AI安全、后量子密码、侧信道攻防及芯片供应链安全等核心议题。大会汇聚海内外学者与产业专家，涵盖理论与实战，旨在推动硬件安全技术落地与行业标准共建。建议相关从业者关注并报名参会以获取前沿动态。