ZONE.CI 全球网

CVE-2026-19478是GitLabCE/EE中一个CVSS9.4的未授权代码注入漏洞，影响18.2至19.2.4之前版本。攻击者无需认证即可通过构造的GraphQL查询，利用fallback字段注入调用public\\_send方法，远程修改或删除公开项目与用户数据。PoC已公开，存在批量利用风险。建议立即升级至18.11.11、19.0.8、19.1.6或19.2.4修复版本，并审计GraphQL端点日志。

本文深入分析OWASPLLM09虚假信息问题，指出大模型因训练数据噪声、概率生成本质、缺乏事实grounding及对齐取悦用户等成因，天生倾向于输出看似合理但错误的内容。与数据投毒不同，这是模型自身倾向。文章提出四道检测防线：事实核验、引用溯源、置信度评估、人工复核，并给出加固建议如强制检索、引用可溯源、输出置信度及留痕日志。强调模型输出应视为草稿，可信度需靠多层机制兜底。

本文详细记录了一次红队渗透测试过程，从静态App落地页开始，通过前端源码逆向发现客服系统，利用无鉴权配置、IDOR漏洞、弱口令和任意文件上传等漏洞链，最终实现服务器RCE、内核提权并接管宝塔面板。测试中发现了涉及1.03亿资金流水的虚假扶贫诈骗平台，揭露了其利用托儿和虚假承诺进行诈骗的完整手法。文章提供了具体的漏洞利用步骤和取证数据，对安全从业者具有实战参考价值。

CVE-2026-17106是Dockercp命令的容器逃逸漏洞，利用TOCTOU竞争条件与符号链接，使CLI解包时向宿主机任意路径写文件从而接管宿主机。该漏洞影响DockerEngine29.7.0以下版本。建议立即升级Docker至29.7.0及以上版本，避免对不可信容器执行dockercp，并在运行时启用只读模式增加利用难度。

GeoServer存在一个由GeoTools引入的jsonArrayContains未授权SQL注入0day漏洞(CVSS9.8),攻击者可通过WFSGetFeature的CQL\\_FILTER参数注入恶意SQL,在数据库高权限下利用PostgreSQL的COPY…TOPROGRAM实现远程代码执行。国内暴露资产约5320个,官方已合并修复PR但未发布版本。建议立即限制WFS暴露、使用最小权限数据库用户并部署WAF拦截相关关键字。

PostgreSQL于8月13日发布安全更新，修复20多个CVE，其中5个堆溢出漏洞可导致RCE。最值得关注的是CVE-2026-14669，to_char函数处理时区字符串时存在堆溢出，影响14至18全系列版本。其他关键漏洞涉及pg_dump、pg_stat_statements等组件。建议立即升级到最新小版本，并单独升级pg\\_dump工具，多租户环境需限制时区设置，同时关注衍生项目的补丁发布。

本文分析了etcd未授权访问漏洞在Kubernetes集群中的危害与利用条件。etcd作为集群状态存储核心，若因运维错误关闭客户端证书认证并暴露2379端口，攻击者无需凭证即可读取全部Secret，包括高权限ServiceAccount的JWTToken。利用该Token可访问kube-apiserver创建特权Pod逃逸至宿主机，最终读取admin.conf接管集群。默认配置安全，漏洞源于错误配置叠加，纵深防御可阻断攻击链。

本文介绍基于天狐渗透工具箱二次改造的轻便版框架。核心改动聚焦界面与交互优化，涵盖卡片缩放、双击启动、参数前后置分离及命令预览。同时增强拼音与模糊搜索排序，启动速度提升至一秒内。该框架不含运行环境，需自备依赖，适合需定制化管理的安全人员参考使用。

本文强调手机验证码是账户安全的最后一道门，任何电话、短信或聊天中要求提供验证码的行为100%是诈骗。骗子通过扮演客服、警察等身份制造压力，诱骗用户主动交出验证码，从而盗取账户资金。核心防范铁律是验证码谁要都不能给，遇到索要验证码立即挂断并自行核实。建议向家中老人反复强调这一原则，并保持冷静、不轻信权威。

ARTEX是一款AI驱动的自主渗透测试系统，支持资产同步、任务管理和多种安装方式（Docker、本地编译、预编译二进制）。它依赖PostgreSQL和LLM配置，提供仪表盘、会话记录和拦截审批功能，可简化资产安全测试流程。推荐使用一键安装脚本快速部署。

本文剖析MozillaTaskcluster未授权RCE漏洞。攻击者利用GraphQL端点未验证的filter参数，触发sift库的where操作符执行任意代码，导致Firefox构建服务器沦陷并泄露数据库与OAuth凭据。文章建议弃用sift或采用白名单限制操作符，并强调需严格审计匿名角色权限及修复生产环境占位符密钥。

本文提出将AI渗透测试Agent工作流建模为有限状态机,通过状态、事件、Guard和迁移表实现确定性执行,解决中断恢复、重复执行、权限越界等问题。核心结论是模型负责建议,状态机负责准入,工具负责执行,证据门负责结论,确保工作流按范围校验、候选研判、人工审批、安全验证、证据复核、报告生成顺序执行。建议采用机器可读迁移表替代模型自行判断下一步。

2026年上海市大学生网络安全大赛暨磐石行动全国高校网络安全攻防活动发布参赛高校名单，涵盖全国多所高校战队。比赛分初赛复赛和线下决赛，初赛于2026年9月5日举行，数据安全赛道同步进行，复赛为漏洞挖掘赛，线下决赛于9月19日在东华大学举办。报名截止时间为9月1日。

该文档为异空间安全发布的2026年AI自动化渗透与AI红队实战课招生宣传，面向就业班新增AI课程，旨在提供AI在渗透测试与红队攻防中的实战技能培训，课程由异空间安全机构提供。

第三届长城杯网数智安全大赛作品赛决赛将于2026年8月20日开赛，由中国信息安全等机构主办，聚焦网络安全与数据智能领域，旨在选拔优秀人才和作品，推动行业创新与发展。

攻击者正积极利用MLflow的SSRF漏洞(CVE-2026-64849,CVSS9.3)窃取云凭据,以及FUXA的路径遍历漏洞(CVE-2026-25895,CVSS9.5)进行扫描。建议组织立即为受影响系统打补丁,审查审计日志并检查凭证是否暴露。

GLM-5.3模型在网络安全领域取得突破，发现DNS协议中潜伏40余年的漏洞，影响全球九成以上DNS系统。智谱联合安全团队累计发现2436个漏洞，其中1097个中高危。模型在HuggingFace入侵取证中发挥作用，并计划开源权重。该成果展示了AI在数字基础设施保护中的潜力。

本文解读等保制度范围与违法代价，指出金融、党政、医疗等属硬性强制，有网络运营行为的单位原则上均需开展。2026年网安法修正案大幅提高罚款上限，且等保已转向动态合规。建议企业摒弃侥幸心理，主动建立持续运营的安全体系，将等保作为生存底线而非可选项。

美课专家讲坛由国投智能培训基地打造，自2022年上线已开展140余期线上直播，2026年聚焦智能体构建、虚拟货币犯罪打击等热点方向。现面向全行业招募主讲专家，要求深耕电子数据取证、网络安全、AI大模型等领域，具备一线实战经验与分享意愿。报名通过钉钉扫码，联系人魏老师，成功自荐或举荐可获礼品。

美亚柏科取证云平台推出回馈活动，包括邀新、投稿和下单三大玩法。平台提供云取证、APP解析等核心能力，服务全国执法与取证人员，覆盖34个省市。活动奖品包括实物和功能额度，旨在吸引新用户并回馈老用户。

《网络数据安全风险评估办法》将于2026年8月20日施行，旨在规范网络数据安全风险评估活动。办法明确重要数据处理者需每年开展评估，鼓励一般数据处理者每3年一次。评估可自行或委托第三方机构进行，评估机构需遵守法规并不得转委托。重要数据处理者需编制并报送风险评估报告，有关部门将进行监督检查。该办法是落实数据安全法的重要举措，网络数据处理者应尽快建立评估机制以确保合规。

该文档为D&X安全实验室发布的8月第三周全国长期驻场岗位汇总，主要面向安全从业者提供渗透测试、安全运维等职位信息，建议有经验者关注并投递简历。

DX安全实验室发布安全岗位招聘，包括长期驻场和短期HVV研判岗。长期岗要求有实操经验，短期岗需具备HVV蓝队研判履历。薪资待遇优厚，长期按月结算，短期日薪800-2400元。建议符合条件的安全人员投递简历。

第三届长城杯网数智安全大赛作品赛决赛将于2026年8月19日在北京开赛，赛事由官方公众号长城杯网数智安全大赛发布公告，提醒关注获取更多资讯。

Clop勒索团伙利用PTCWindchill和FlexPLM的CVE-2026-12569漏洞，批量窃取了Shell、GE等近50家大厂数据，揭示了通过公共软件漏洞自动化扫描并批量突破的高杠杆攻击模式。尽管厂商已发布补丁，但无法证明系统此前未被入侵，使企业陷入安全黑盒状态。建议企业在及时打补丁的同时，必须开展全面溯源排查以确认历史失陷情况。