ZONE.CI 全球网

npm生态发生供应链投毒事件，攻击者利用GitHubActions中PR评论触发发布工作流，无需账号密码即可发布恶意版本。10个恶意版本携带有效provenance证明，周下载量约15万，载荷具备凭证窃取与蠕虫传播能力。建议审查CI工作流触发条件，验证评论者身份，并关注provenance局限性。

CloudLensforTOS是火山引擎推出的对象存储日志观测应用，结合日志服务TLS与对象存储TOS，提供访问日志分析与数据透视两大能力，覆盖资源用量、热度统计、访问分析、安全分析和检索分析五个视角，支持容量规划、成本优化与资产治理，并支持通过TLSCLI进行智能诊断分析。

360企业安全浏览器中标中国石油终端安全检测与防护系统项目，实现四大能源央企客户覆盖。项目将建设贯通Windows与信创环境的统一安全浏览器，提供统一入口、集中管理和安全访问能力，支持国密通信、页面水印等安全防护，并预留AI智能化演进空间。

本文以Meta智能眼镜跨境数据泄露事件为例，分析智能眼镜产业现状及安全风险，指出其存在静默采集敏感数据、数据用于模型训练侵害知情同意权、公共空间人脸识别等隐患，并提出加强私密空间数据管理、优化个人信息处理规则、强化公共空间使用规则等对策建议，为我国智能眼镜产业健康发展提供参考。

慢雾8月28日在香港携手MEGroup举办稳定币合规与智能体支付交流活动，并参与CypherAsia峰会与AIxBTC活动。Cos演讲指出加密资产被盗多为被忽视的灰犀牛，建议默认怀疑一切并持续验证；Keywolf发布MistTrack与SlowMistKYT合作伙伴计划，强调安全能力应前置融入协议与治理。全文为活动回顾宣传稿，技术深度有限。

CNVD发布上周关注度较高的产品安全漏洞周报，涵盖境外厂商如WordPress插件、ZoomRooms、GoogleChrome等产品的文件包含、任意文件删除、跨站脚本、权限提升及释放后重用等漏洞，以及境内厂商如映云科技Neuron、华为HarmonyOS和EMUI、Tenda路由器等产品的未授权访问、权限控制、缓冲区溢出及空指针解引用漏洞，建议相关用户关注官方公告并及时修复。

CNVD周报显示本周共收录826个漏洞，其中高危469个，0day占比91%，涉及D-Link、OnlineCourse等漏洞。重点告警包括GoogleChrome、Zoom及华为产品存在高危漏洞，建议用户及时更新补丁。

本文系统阐述电信行业数据泄露应急响应全流程，涵盖事件定级、定量分析、报告时限、应急预案、六阶段处置、取证溯源及事后总结等核心环节，提供可落地的操作规范与量化指标，强调合规上报与闭环优化，为运营商数据安全事件处置提供实战参考。

本文深入探讨内核级攻击技术，指出用户态免杀无法绕过EDR的内核信号源，如进程回调与ETW-TI。主流进入内核途径为BYOVD，利用已签名漏洞驱动获取内核读写原语，进而关闭EDR回调、操作内核数据结构。文章详述了漏洞驱动实例、原语构建、PatchGuard规避及完整免杀链，强调内核攻击的高收益与高风险，为红队实战提供深度技术参考。

长亭安全应急响应中心披露JimuReport存在未授权远程代码执行漏洞，影响JimuReport2.5.0及以下版本与JeecgBoot3.9.3及以下版本。攻击者无需认证即可利用自动导出功能注入恶意表达式执行任意系统命令，可能导致服务器控制与数据泄露。官方已发布修复版本，建议用户立即升级至JimuReport2.5.1或JeecgBoot3.9.5，并可在网关或WAF层对相关接口增加强制认证作为临时缓解措施。

本文系统梳理美国网络安全行业二十年整合历程，从数百家单点公司收敛为11家平台厂商，历经创业繁荣、平台萌芽与并购加速三阶段，总结激进收购、内生增长、自主研发、云厂商与私募股权五种整合模式，并指出客户需求、平台协同与规模效应是整合底层逻辑，最后提出中国网安行业将走向集中，平台型企业将成为头部，创业企业退出路径将更多元。

俄罗斯黑客利用CursorAI智能体攻击多家企业，加速AI辅助网络攻击普及。同时汇总了Carhartt数据泄露、WordPress劫持、AsyncRAT传播、机场勒索软件、Evilginx钓鱼、DarkCaracal恶意软件及ClaudeCode提示注入等安全事件，凸显AI与网络攻击结合的新趋势。

本文分析JFrogArtifactory路径穿越漏洞CVE-2026-66384，该漏洞已被CISA列入已知被利用目录，已认证用户可在特定远程仓库条件下越界写入Docker缓存路径。文章指出制品库因连接构建、镜像与发布链路而成为供应链风险点，建议升级修复后在隔离实例验证，核查远程仓库、存储挂载与凭据配置，实施最小权限、短期Token及独立管理网段等治理措施。

彼德研究院20260831大模型能力监测样刊称：开源第一梯队完成权重兑现，KimiK3、Qwen3.8Max、GLM-5.3、腾讯Hy4四强并立，GLM-5.3许可非MIT且Hy4独立分待互证；闭源由ClaudeOpus5以AA指数63领跑，OpenAI守编码Agent，xAI守性价比；建议8月31日前迁移Codex默认模型，企业通用场景优选Opus5，未证实传闻不写入能力结论。

本文系统梳理登录入口的渗透测试思路，涵盖弱口令爆破、验证码绕过与轰炸、短信轰炸、XSS、SQL注入、RCE、SSRF、URL跳转、越权访问及支付漏洞等测试方法，提供具体payload与抓包重放技巧，并强调需在授权环境下测试，适用于SRC漏洞挖掘与攻防演练参考。

JeecgBoot积木报表组件auto/export接口存在未授权远程代码执行漏洞，由微步XGPT发现并报送官方。攻击者可远程执行任意命令完全控制系统，影响JeecgBootversion<=3.9.3及积木报表version<=2.5.0。官方已在v2.5.1修复，建议受影响用户尽快升级，并可通过防护设备拦截恶意请求特征作为临时缓解措施。

cPanel高危漏洞CVE-2026-65643允许低权限普通用户通过API1Park接口的arg-4参数注入phpfpm\\_domain，利用内部路径穿越实现以root身份创建任意文件，最终可提权至root并接管宿主机，影响共享主机租户隔离。官方已发布修复版本，建议及时升级至11.138.0.2及以上版本，并限制普通用户的域名停放权限。

TOTOLINKA720R路由器MAC过滤功能存在CVE-2026-82539栈溢出漏洞，CVSS9.1严重级别。根因是strcpy无边界拷贝且未开启canary和PIE，可稳定劫持控制流远程开启Telnet。PoC已公开，官方补丁未发布，建议关闭WAN侧管理口并关注固件更新。

本文评测商用自动化渗透机器人ridgebot，其以ML模拟攻击者并持续学习，可多agent覆盖云与IoT，定位企业级规模化自动化。实测显示其对已知漏洞模式如SQLi效率高，测试时间降约70%，但对越权、逻辑类漏洞及社会工程学几乎无能为力，且商用setup成本高。作者建议大中企业将其作为常态化扫描已知面的放大器，真正高价值漏洞仍需红队人工钻点。

CISA已将CVE-2019-1068（微软SQLServer远程代码执行漏洞）加入KEV目录，因其正被实际利用。该漏洞允许攻击者以服务账户权限执行代码，可能导致数据窃取、持久化与横向移动。CISA要求受影响机构于2026年8月29日前完成修复，并建议梳理SQLServer实例、安装更新、核查日志、检查异常账户并缩减暴露面。

Composer曝出路径遍历漏洞CVE-2026-59944，恶意或被入侵的PHP包可借路径遍历或符号链接修改包目录外文件权限，在共享主机、多租户及CI环境导致敏感文件泄露并绕过旧防护。受影响1.0至2.10.2版本，已在2.10.3与2.2.30修复，建议尽快升级并避免复用不可信vendor目录。漏洞无RCE，涉及CWE-22、59、732。

该方案以网络安全法、数据安全法、个人信息保护法为合规基准，依托ISO/IEC27001框架构建企业信息安全管理体系，规划12个月分四阶段实施。方案涵盖组织架构搭建、资产梳理与风险管控、制度体系建设、人员培训、应急管理及审计合规六大任务，设定加密覆盖率100%、漏洞72小时修复率100%等量化指标，并配套预算保障与考核机制，具备较强可操作性。

本文为宁波市第九届网络安全大赛初赛WriteUp，覆盖Web、Pwn、Misc、Crypto、Reverse五大方向共11道题。核心考点包括bcrypt72字节截断SQL注入、Shiro正则绕过、HouseofApple2堆利用、VM逃逸、USB流量分析、Acropalypse漏洞、Franklin-Reiter攻击及Unity逆向等，每题附详细利用链与踩坑提示，对CTF学习具有较高参考价值。

JeecgBoot积木报表组件autoexport接口存在远程代码执行高危漏洞，影响积木报表<=2.5.0及JeecgBoot<=3.9.3，攻击者可利用恶意代码特征请求实施攻击。建议升级至JimuReportv2.5.1，并在防护设备添加拦截规则、收敛匿名放行配置以缓解风险。

奇安信CERT通告JeecgBoot积木报表autoexport接口存在未授权远程代码执行漏洞QVD-2026-56805，CVSS评分9.8高危，影响万级资产。漏洞源于参数值以等号开头时被表达式引擎按Excel公式解析，底层具备Groovy脚本能力且未过滤，攻击者可远程执行任意命令。建议升级JimuReport至2.5.1，并配置防护规则拦截恶意请求及收敛匿名放行。