ZONE.CI 全球网

JetBrains修复了三个安全漏洞，包括一个CVSS满分的认证绕过漏洞CVE-2026-50242，影响Hub、YouTrack和GoLand。该漏洞可被拥有直接数据库访问权限的攻击者利用获得管理员控制，影响超过1500万开发人员。自托管实例面临风险，Cloud客户已受保护。建议用户立即升级到已修复版本。

中国网络空间安全协会组织会员单位赴蚂蚁集团开展交流活动，参观展厅了解网络安全、数据安全及AI安全实践。专题分享围绕政策法规、AI时代安全实践、智能体技术等展开。活动成立互联网平台企业小组，强调行业协同应对严峻安全挑战，协会将发挥桥梁作用。

本文为第四届京津冀科技期刊创新发展论坛的征稿与报名通知。会议定于2026年9月8至11日在北京举办，聚焦期刊数智化转型、学术诚信与人才培养，参会可获24学时证明。征文截止7月31日，早鸟注册费1400元。整体属于会议及协办期刊的宣传软文。

信息安全漏洞周报第081期由零零捌信安观察发布，汇总了国家信息安全漏洞共享平台及国家信息安全漏洞库等权威机构近期公告。报告收录了被认定为风险的安全漏洞信息，并强调相关官方已发布补丁和修复方案。建议用户和组织及时关注并采取相应安全措施，以保障信息系统安全稳定。

CyberStrikeAI新增图编排功能，允许用户在画布上拖拽节点和连线，将渗透测试步骤固化为可保存、可绑角色、可重复执行的流程图。该功能适合固定流水线、条件分支确定、人机协同卡点等规程型任务，与适合探索型任务的Agent编排互补。技术实现基于工作流引擎，支持节点类型包括Start、Agent、Tool、Condition、HITL等，并具备Checkpoint和审计记录。用户可通过角色绑定workflow\\_id实现自动执行，并利用模板传参确保数据流正确。

Adobe于2026年7月3日修复了ColdFusion和CampaignClassic中的七个CVSS满分漏洞，这些漏洞可被低复杂度攻击利用，无需用户交互，风险较高。Adobe建议管理员在72小时内安装更新，目前未发现这些漏洞遭在野利用。此外，Adobe将改为每月两次发布安全通告以加快部署速度。

本文介绍了一款名为LoadReload的Shellcode加载器工具，专为Sliver-Shellcode设计，具备多字节XOR解密、反仿真、EDR绕过等免杀特性。文章同时推广了付费圈子，提供红队工具、免杀技术、钓鱼思路等资源，并强调工具仅用于安全测试，禁止非法使用。

本文介绍了制作FART脱壳机的过程，使用Nexus6P硬件和开源镜像，通过fastboot刷机并解决驱动问题，最终成功脱壳并获取dex文件。作者认为镜像虽旧但体验良好，值得练手。文章强调技术分享仅用于防御目的，并附有相关法律免责声明。

本文介绍了腾讯云与阿里云大模型免费Token的领取与使用教程。用户通过推广链接可批量领取腾讯云2400万及阿里云1.3亿Token。文章演示了获取APIKey并在第三方客户端配置接口地址与模型名称以免费调用的步骤。该文属于云服务营销引流内容，操作明确但缺乏技术深度。

公开资料显示一种名为InkJect的新型视觉提示注入攻击，利用多模态大模型读取图片中隐藏的恶意指令，绕过文本安全防线。攻击者将指令嵌入图片并置于公开仓库，当用户要求模型处理仓库内容时，模型会自动读取并执行指令，如创建管理员账号。该攻击利用安全检测工具与视觉语言模型的能力差，通过白色背景白色文字或倾斜变形文字实现，测试显示多款商用模型均存在脆弱性，凸显多模态AI安全体系的设计盲区。

本文介绍在Windows上通过CCSwitch工具统一管理多个AI模型并配置ClaudeCode接入DeepSeek-v4模型。文章详细说明了环境配置包括NodeJS和Git安装、CCSwitch的安装与模型添加、ClaudeCode的安装与初始化以及如何在终端和VSCode中使用。核心结论是CCSwitch能解决多模型切换问题提高开发效率。可操作建议是遵循步骤配置环境并注意安全风险。

该文档介绍了一款基于fscanv2.1.3修改的内网渗透扫描工具魔改版,主要针对红队场景进行了参数混淆与特征规避以绕过HIDS检测。工具支持内网存活探测、端口扫描、服务识别、弱口令爆破、POC漏洞检测及后渗透利用等功能,并提供了详细的参数映射表和使用示例。可操作建议是用户可根据实际网络环境调整扫描线程和超时参数以平衡速度与隐蔽性。

本文介绍了Xjar解密流程，包括获取启动参数脚本的方法，并附有免责声明强调技术仅供学习，使用者需自行承担后果。文章来自Z1sec公众号，发布于2026年7月3日，属于安全技术分享。

本文分享了一个有趣的IDOR漏洞发现过程。在允许用户上传私密照片的私人程序中，每个用户有12位数字的ownerid。通过分析发现ownerid的前7位来自电子邮件用户名，后3位固定，中间2位可暴力破解。由于缺少电子邮件验证，攻击者可通过创建别名账户获取受害者ownerid的前7位，再暴力破解中间2位，从而未经授权访问用户私人照片。该漏洞将原本无法猜测的12位标识符变为可预测值。

第一届中国网络空间安全大会CCSC2026报名开启，由CCSS主办、中科大承办，2026年9月18-20日在合肥举行。大会以智启新程、安领未来为主题，预计邀请8位院士和200余位专家，设置主论坛和40场专题论坛。早鸟优惠截止7月31日，会员价2200元、学生会员800元，建议尽早注册。

阿里因ClaudeCode存在沙箱逃逸、开源投毒及npm供应链后门三大高危漏洞，并内置识别中资设备逻辑，违反数据出境法规，决定7月10日起全面禁用该工具，推广自研Qoder。字节、快手等已先行封禁同类海外工具，行业趋势转向自研内网代码助手以保障数据安全。建议中小团队避免使用境外AI编程工具，拉取开源项目前扫描依赖。

OpenWrt25.12.5稳定版发布，重点修复多项高风险安全漏洞，包括严重的DHCPv6缓冲区溢出漏洞、cgi-io路径遍历及LuCI多组件的XSS和命令注入问题。本次更新还改善了6GHz无线、EAP认证和DHCPv6的稳定性，升级了Linux内核与OpenSSL等核心组件，并新增多款设备支持。建议用户及时升级至最新稳定分支以保障安全，但部分老版本或特定型号设备需注意分区布局变化，升级前务必做好配置备份并查阅相关说明。

IRify新增AI代码审计与AISkill安全分析两项联网功能，通过AI对话助手分析代码，支持普通项目源码和Skill场景。用户可通过引导窗口三步完成目录选择、审计风格设定并开始审计，工作台支持代码浏览、选中内容发送至AI及生成审计报告。与传统离线扫描互补，提供更深入的上下文分析与修复建议。

本周蓝军技术推送汇总了Web安全、内网渗透、终端对抗、漏洞相关、人工智能安全及云安全等领域的最新攻击技术与工具。核心内容包括CivetWebPUT+SSI组合实现RCE、MITM6结合NTLMRelay导致域入侵、滥用云日志服务进行防御规避、LinuxDRMUAF本地提权漏洞CVE-2026-46215、以及AzureKeyVault权限提升方法等。这些技术细节和PoC为安全团队提供了重要的防御参考。

小鹏发布MonaL03SUV，纯电14.38万起，增程14.98万起，顶配16.58万。设计由前法拉利设计师主导，强调时尚与智能，搭载图灵AI芯片算力1500tops，辅助驾驶向旗舰看齐。欧阳娜娜参与共创。一车双能，全球车型面向64国。小鹏第二季度交付10.33万台，出海为第二增长曲线。何小鹏与团队打赌8月30日VLA达到特斯拉FSD效果。

中关村自主大模型产业联盟发起网络安全人员开放计划，面向安全机构、团队及研究人员，限时提供智谱GLM-5.2API及CodingPlan五折权益，用于漏洞挖掘、代码审计等防御性场景。申请需提交场景说明，审核通过后享受折扣，有效期至10月1日。

本文探讨了一种绕过ARM64指针认证（PAC）的新方法。该方法利用JavaScriptJIT编译过程，通过精心构造的shellcode喷射，在指令域签名而在数据域校验，从而绕过PAC验证。文章详细分析了PAC的密钥分域机制、JIT喷射攻击原理，并从细粒度密钥管理、JIT常量隔离等方面提出了防御建议。

文章提出Agent-ReadyCLI概念，旨在让CLI工具更适合AIAgent自动化部署。核心设计包括完整覆盖云资源管理、输出结构化JSON结果、采用OAuth等安全认证机制、沉淀最佳实践降低部署复杂度。通过FastAPI部署、双机联动评测、临时GPU算力三个场景展示应用，并给出安装CLI、自然语言描述目标、获取结果的快速验证步骤。该思路推动云平台从服务开发者向服务Agent演进，提升工程交付自动化水平。

全国网安标委发布《智能体部署使用安全指引》，旨在指导智能体安全部署与使用，降低安全风险。指引涵盖评估、准备、部署、使用及停用等阶段，适用于风险防范及商业服务选型。建议相关单位及时下载学习，确保AI技术安全合规落地。

本文作者经历了一起macOS剪贴板劫持攻击，起因是点击搜索广告链接并执行伪装成开发工具的恶意命令。恶意程序伪装成Apple系统组件并具有反虚拟机检测能力，持续监控并替换收款地址。作者使用Codex工具快速定位恶意启动项并分析攻击链。建议用户检查LaunchAgents等目录的可疑启动项，警惕搜索广告链接，转账前完整核对地址。