ZONE.CI 全球网

研究人员披露Squid代理中存在堆越界读漏洞CVE-2026-47729（Squidbleed），可泄露用户明文HTTP请求如凭据会话令牌。漏洞源于1997年FTP解析代码缺陷，攻击需代理访问权限且仅影响明文流量。修复方案为升级至Squid7.7或禁用FTP服务，CVSS评分6.5。

安全研究员JustinO’Leary发现谷歌Kubernetes操作器ConfigConnector存在严重漏洞ConfigConfusion，允许攻击者绕过GCP身份管理控制获取组织级完全控制权。谷歌最初将漏洞评级为P1/S1但后续以`按预期工作`为由拒绝修复和赏金，引发争议。该漏洞利用混淆代理机制，仅需三行YAML代码即可在五秒内完成权限提升，类似问题曾在GoogleCloudRun/Composer中出现。

本文详细解析SM3哈希算法的长度扩展攻击漏洞，攻击者仅凭截获的hash值和密钥长度即可伪造消息认证。通过图解展示攻击者如何利用SM3的Merkle-Damgård结构特性，在不知道密钥的情况下成功添加&admin=true权限提升字段。文档给出具体攻击步骤演示，并推荐使用HMAC-SM3、密钥后置等五种防御方案，强调避免直接使用裸哈希进行消息认证。

本文探讨AI时代安全运营挑战与认知升级。作者指出大模型降低攻击成本使传统检测响应面临困境，强调安全本质是解决组织与成本问题。价值感知受多因素影响，无绝对最优解。建议突破单一技术视角，若环境长期不匹配，主动更换环境也是一种有效破局策略。

本文介绍WordCopilot在文档翻译中的应用，能实现单段落或全文精准翻译，自动保持原文格式并生成中英对照排版。操作步骤包括选中段落输入指令或发送全文翻译需求，Copilot自动处理并保留原文结构。该工具简化双语文档制作流程，避免传统翻译的格式错乱和术语错误问题，提升办公效率。

《网络数据安全风险评估办法》由国家网信办联合工信部、公安部制定，将于2026年8月20日施行。办法明确了重要数据处理者需每年开展风险评估，一般数据处理者建议每3年评估一次。规定评估机构需通过认证且不得转委托，重要数据评估报告需在20个工作日内报送主管部门。对违规行为将依法处理，并建立风险信息共享和协同处置机制。

该文档介绍了GB/T36959-2026《网络安全技术网络安全等级保护测评机构能力要求和评估规范》国家标准，主要规定了网络安全等级保护测评机构应具备的技术能力、管理要求和评估标准。标准涵盖了机构资质条件、人员技术要求、测评过程规范、质量控制体系等核心内容，为测评机构的能力建设与评估提供了明确指导。

文档宣布国家级HVV（护网行动）招聘进入尾声，仅限中高级职位（中级/高级研判），月薪20k-30k。核心信息包括腾讯文档投递链接、筛选流程（简历初筛、厂商考试与面试）。建议符合条件的候选人尽快通过指定渠道投递。

360发布的2026年5月勒索软件报告显示全球773个组织遭受双重勒索攻击，近八成中招设备存在防护缺位问题。主要发现包括Sorry家族跨平台攻击、Weaxor和LockBit持续活跃利用漏洞武器化。报告建议企业重点守住暴露面管理、关键资产防护、安全策略生效验证、备份机制和应急预案五道防线。

Codex存在SQLite诊断日志高频写入缺陷，主要影响~/.codex/logs_2.sqlite及其WAL文件，在流式响应和IDE常驻场景下可能导致SSD年化写入量达640TB。关键原因为TRACE级别日志持续插入和裁剪引发写放大，涉及WebSocket事件和重复telemetry记录。官方已在0.142.0版本通过过滤噪声目标和停止每事件日志记录修复，建议用户升级版本并检查日志文件大小。

该文档分析美团《置身团内》文章，指出美团强管控体系导致基层产品经理沦为指令传话筒，数据闲置与AI应用流于表面，过度依赖旧有低价竞争模式难以应对存量市场竞争。文章认为美团需跳出单纯执行逻辑，重建创新与洞察能力以应对行业挑战。

文章提出全栈AI安全能力的核心价值在于将安全专家经验转化为可流程化、可追溯的组织级安全中枢系统，而非简单替代人力。关键能力包括信息归一化、风险初筛、证据链组织和流程推进，适用于权限复核、告警筛选等低风险高重复场景。作者强调需优先关注数据质量、权限治理和接入成本，建议通过影子模式分阶段落地，最终实现安全工作的工程化转型。

OpenAI推出Daybreak网络安全项目，通过GPT-5.5-Cyber专用模型和CodexSecurity工具实现从漏洞发现到修复的全链路自动化。项目覆盖3000万次代码扫描，与30个开源项目合作推出PatchthePlanet计划，并联合五眼联盟等机构提升关键基础设施防御能力。核心目标是推动网络安全从发现时代转向修复时代。

本文介绍红队场景下对Frp工具的二次开发技术，通过修改流量特征和配置文件加载方式实现绕过安全检测，同时增加删除配置和钉钉通知功能防止信息泄露。文章展示实际效果并推广包含多种免杀工具和攻防技术的付费社群，强调技术仅用于合法安全测试。

点星是一套端到端AI自动化代码安全审计系统，在14个开源项目中累计发现8451条漏洞，其中包含11条零权限RCE漏洞。该系统通过密码学哈希锁定漏洞清单并设立3万元挑战赛，邀请全球研究者验证其漏洞覆盖率，目前已接收的社区提交均命中既有记录。采用细粒度计数口径反映可独立利用攻击面，在9种语言测试中实现零遗漏，真阳性率达98.6%。

点星（DianXing）是一套端到端AI自动化代码安全审计系统，在14个开源项目中单次运行发现8451条可独立利用漏洞，包括11个零权限RCE漏洞。系统通过密码学哈希锁定漏洞描述并发起公开挑战赛，以三万元奖金邀请全球研究者验证其漏洞覆盖率。采用细粒度计数口径反映实际攻击面，在9种语言测试中实现零遗漏，横向对比显示其检出量级远超竞品。

APT37推出NarwhalRAT远控木马，利用仿微软OTP钓鱼邮件投递诱饵，滥用合法工具实现内存无文件加载，并以pCloud云存储作为死信站隐蔽通信，有效规避传统检测。建议企业部署内存检测型EDR，管控系统脚本权限，审计异常云盘API流量，并强化防钓鱼培训。

本文提出OT网络安全应从传统基于概率的风险评估转向`可信度`新框架，该框架通过定性判断攻击场景的合理性，聚焦最坏后果、攻击者动机和技术路径分析。文章强调跨学科协作评估、构建具体攻击场景及优先投资降低后果的防御措施（如网络隔离、备份恢复）的实践路径，以应对国家级APT等低频高影响威胁。

北京磐石安科技启动2026年HW选手招募，面向全国招聘红队和蓝队成员，要求具备重保或HW经验。公司提供免费培训、项目支撑及多重福利，承诺1-3个月快速结款。主营业务包括攻防演练、渗透测试、安全培训等，强调项目稳定性和公司资质保障。

工商银行行长刘珺在APEC论坛指出AI对金融业将产生革命性影响，金融机构需从三方面做好准备：技术必须面向实际应用才能释放红利；全球系统重要性金融机构需高度重视AI安全性；人力资源配置需与AI应用充分匹配。

2026年5月全球数据泄露态势严峻，暗网情报达16万份，金融和互联网行业成重灾区。勒索软件攻击活跃度达去年同期157%，政府及关键基础设施为重点目标。报告揭示中国公民信息在匿名平台大规模泄露，建议个人加强密码管理、企业完善防护机制、监管部门加大执法力度。

AI竞争情报平台Klue遭黑客组织Icarus入侵，攻击者利用泄露的第三方集成凭证窃取客户数据，导致RecordedFuture、HackerOne等9家网安公司业务信息泄露。事件暴露通过SaaS平台链式攻击的新趋势，建议企业加强第三方访问凭证管理与实时威胁监测。

谷歌在2026年6月裁撤威胁情报团队核心成员，包括参与SolarWinds事件和援乌网络战的首席分析师，反映科技巨头正从人力密集型防御转向算力密集型AI自动化防御。谷歌云业务增长63%却削减安全人力，将资源投入AI军备竞赛，其Sec-PaLM2模型驱动的智能体可实现微秒级威胁调查。行业趋势表明网络安全进入AI智能体对抗时代，从业者需掌握驾驭AI能力以应对职业风险。

Storm-Breaker是由ultrasecurity团队开发的社交工程渗透测试工具，具备设备信息采集、实时位置追踪、摄像头访问和麦克风窃听等功能，采用PHP+Python混合架构并配备Web管理面板。该工具适用于企业授权的红队演练、安全意识培训等合法场景，需严格遵守网络安全法规。

Unauth-Vuln-Scanner是基于JavaSwing的未授权访问探测工具，支持批量目标输入、39种以上常见未授权服务探测、指纹识别、SOCKS5全局代理功能，扫描结果可表格展示并导出CSV。文档强调该工具仅供安全研究使用，使用者需承担全部法律责任。