ZONE.CI 全球网

2026年7月13日高危漏洞速报披露5个严重漏洞：BeyondTrust远程管理平台预认证绕过(CVSS9.8)、JoomlaBalbooaForms未认证文件上传RCE(CVSS10.0在野利用)、CogneeAI平台未认证LLM配置覆盖窃取数据(CVSS9.3)、HPLIP打印驱动整数溢出补丁绕过(CVSS9.8影响所有Linux发行版)、FlowiseAI工作流硬编码JWT密钥认证绕过(CVSS9.8)。建议安全团队立即按优先级修复，包括升级补丁、限制网络访问、审计日志等。

2026年7月11-12日，npm包jscrambler的多个版本被植入恶意内容，影响Linux、Windows和macOS开发环境。事件暴露了供应链风险不仅限于生产环境，开发机因持有高权限凭据更易成为攻击目标。建议团队立即检索锁文件确认受影响版本，轮换相关凭据，固定依赖版本，并建立依赖变更审查与构建隔离机制。

DatadogSecurityLabs披露多组活动通过GitHubAPI对企业组织进行系统性枚举，使用沉睡账号和泄露令牌。公开仓库信息可被拼接用于攻击准备，企业应盘点公开资产、启用审计日志、实施最小权限令牌管理并监控私有仓库异常访问。这不是GitHub漏洞，但需持续管理公开暴露面。

澳大利亚网络安全中心(ACSC)发布严重预警，指出全球攻击活动正利用CMS与插件的已知漏洞进行大规模扫描，影响WordPress、CraftCMS等17类产品。核心结论是网站被挂马通常非CMS品牌问题，而是已知漏洞未修补、弃用组件未清理及文件变化未监控。关键发现是补丁可用但许多站点未更新。可操作建议包括建立资产清单、立即更新、删除弃用插件、检查文件变化、网络隔离、启用MFA及验证备份。

第九届西湖论剑网络安全技能大赛报名启动，首次引入AIAgent解题夺旗赛制，强调人机协同。赛程包括测试赛、线上初赛和线下决赛，奖励涵盖奖金、实习机会及专业认证。大赛旨在选拔能驾驭AI的实战型网安人才，推动攻防体系向人机协同演进。

本文强调涉外活动保密管理的重要性，提出全流程闭环管理机制，包括事前审批、事中管控和事后复盘，并强化人员管理与技术防护，以防范境外情报机构渗透，确保对外交流安全。

本文通过一个SRC漏洞案例展示了客户端参数可控导致的逻辑漏洞。开发者仅限制新人领取一次会员权益，却未对会员到期时间做服务端校验，攻击者可通过修改请求中的expire\\_time参数实现长期白嫖会员。案例强调熟悉业务逻辑对挖掘逻辑漏洞的重要性，并给出可操作建议：服务端应计算关键参数而非信任客户端输入。

文章认为解决问题的能力决定人生幸福，核心在于认知、思考、分析、判断与自我掌控五种能力。认知是起点，思考分析梳理现状，判断找准方向，掌控约束情绪行为。提升这些能力才能从容应对困境，守住内心幸福。作者石梁为安全保密专家，文章带有个人品牌宣传性质。

欧盟CRA合规核心为EN40000横向标准与ETSIEN3046XX垂类标准。前者为全品类数字产品安全底线，后者针对路由器等高风险产品。普通产品满足横向标准即可自认证，高风险产品须双重对标。建议企业立即基于公开草案开展风险评估与漏洞处置建设，规避2027年强制实施后的合规风险。

本文借新华社偷拍黑产调查指出窃听窃视风险日趋隐蔽常态化。中孚信息借此推介猎影检测仪，该产品集成频谱与热成像等十大能力，具备精准定位与AI分析优势。文章建议党政机关及酒店等重点场所摒弃纯人工排查，引入此类专业技防设备，推动反偷拍检测从被动处理转向主动防范的标准规定动作。

第九届西湖论剑中国杭州网络安全技能大赛报名启动，主题为人才引领AI安全新范式。大赛首次引入AIAgent解题夺旗赛制，要求选手通过API接口构建AI系统进行攻防，考验工程化与AI编排能力。赛程包括测试赛、线上初赛和线下决赛，总奖金超30万元，并提供阿里云算力支持及实习、认证等奖励。

安恒信息在2026中国数智医学大会上分享AI驱动医疗数据安全防护实践。医疗数据泄露成本高居各行业之首，国家新规强化合规要求。面对AI攻击升级，传统防御失效，安恒提出AI赋能四大场景：数据资产盘、API监测、数据应用管控、商用密码兜底。强调智能体驱动连接理解与行动，构建管理+技术+运营三位一体方案，助力医疗行业在合规与价值释放间寻求最优解。

台风巴威残余环流导致东北辽宁凌源等地遭遇罕见暴雨，刀尔登镇虎头石大桥被淹，超六千亩农田绝收，十一座水库超汛限水位，当地已转移五百余人。气象部门预计十四日将迎新一轮降雨。建议东北居民密切关注天气预警，远离河道与低洼区，切勿涉水出行，各地需加强隐患排查以防次生灾害。

作者从4月7日开始跑步坚持三个月，发现跑步5公里消耗约0.5kg氧气，相当于坐办公室一天的耗氧量，解释了脂肪通过氧气燃烧消失的原理。

gigawiper是微软发现的Go语言编写的破坏性后门，整合了Crucio、Flockwiper等恶意软件代码，通过RabbitMQ和Redis通信，具备数据擦除、勒索加密、远程控制等功能，可长期驻留并切换窃密与破坏模式。防御建议包括开启篡改防护、EDR拦截、阻断C2地址。

CSA大中华区在日内瓦AI治理周指出，AI治理核心是人的能力建设而非仅靠原则。针对大模型风险及AGI防御失效，CSA提出AISTR框架确保安全、信任与责任，并引入零信任AI智能体架构实现主动防御。建议推动模块化可测试认证标准避免贸易壁垒，提升监管者AI素养以保障数字主权。

研究人员披露OpenClawAI助手中三个高严重性漏洞（GHSA-hjr6-g723-hmfm、GHSA-9969-8g9h-rxwm、GHSA-575v-8hfq-m3mc），包括操作系统命令注入和路径遍历，可被利用通过WhatsApp消息触发主机代码执行、凭证盗窃和权限升级。漏洞已在2026.6.6版本修复，建议更新并启用沙箱模式、限制工具允许列表。

微软分析发现一款名为GigaWiper的Windows后门程序，整合了磁盘擦除、仿勒索软件和间谍功能。该恶意软件通过三种指令模式破坏系统：原始磁盘擦除、覆写系统盘和加密文件（密钥不保存）。它伪装成OneDrive程序实现长期驻留，利用RabbitMQ等合法服务通信。防御关键在于早期检测异常定时任务和网络流量，并保持离线备份。

对9695个MCP服务器的大规模分析发现5832个存在安全问题，包括任意文件访问、命令注入、SSRF、SQL注入等漏洞。研究指出受欢迎程度、代码活跃度和验证徽章等常用可信指标与安全性无显著相关，高人气服务器反而风险更大。组织应放弃信任假设，采用零信任方法，进行代码审计、强制身份验证和输入验证，以防范AI供应链系统性风险。

SSH攻击者越来越多地使用单条非交互式exec命令绕过传统蜜罐分析,99.23%的认证会话由单命令组成,速度极快(1秒内),表明自动化工具主导。传统交互式蜜罐失效,需重新设计检测方法,关注命令正确性而非对话时长,并将短暂会话分组为战役级元会话分析。

ModSecurity3.0.15及以下版本存在两个可绕过WAF规则的漏洞。CVE-2026-52761因32位系统指针计算错误导致转换异常，建议脱离i386环境。CVE-2026-52747为高危漏洞，其multipart解析器会静默剥离表单换行符，造成WAF与后端解析差异，可被用于多行注入绕过。建议立即升级至3.0.16版本修复风险。

朝鲜黑客推出新型macOS窃取程序Gaslight，创新性地嵌入伪造系统消息以误导AI安全分析工具，可窃取浏览器数据及密钥链等敏感信息。建议企业结合人工审核AI分析结果并加强端点防护；个人应警惕钓鱼文件并保持系统更新，以防范此类新型攻击。

上海银行推出同业存单AI机器人，通过智能对话与意图识别实现智能触达、辅助及流程跟踪，解决人工操作痛点。投产两月累计处理询价超2700次并募资破百亿，替代六成以上重复性作业。该行还将大模型应用于资产托管等场景，加速全行级AI平台建设，推动AI能力全面融入业务流程。

本文借火箭回收技术突破探讨卫星互联网从硬核技术向软基建的转型，指出万颗卫星组网面临的安全与运维挑战，强调轻量化星载软件及天地一体安全架构的重要性，随后重点推介亚信安全在卫星地面核心网、星载基站及全周期安全体系等方面的产品与服务能力。

阿里云先知平台发布2026年5月王牌A计划月度奖励结果，96位安全专家提交有效漏洞。个人奖励方面，Clay获王牌A业务赛道TOP1及白帽赏金赛双料冠军，共获奖金10000元。团队奖励中，火云邪神获黄金团队奖6000元，Day1获青铜团队奖2000元。活动期间升级保级王牌A等级可获额外奖励，需联系运营领取。