ZONE.CI 全球网

本文分析Brotli解码器漏洞CVE-2026-111497，该漏洞已被利用并影响多种云服务及Node.js、Python、.NET等组件，存在越界写入风险，可能导致崩溃、信息泄露或代码执行。文章指出排查应关注解压外部可控数据的路径而非仅搜索CVE编号，并建议企业建立受影响资产清单、确认补丁版本、完成镜像重建与回归测试，同时加强异常监测。

hashcatv8.0.0发布，为项目史上最大更新，改动4091个文件，新增146个哈希模式。核心亮点为4个新攻击模式：PCFG概率上下文无关语法攻击、HashRecipes命令行自定义哈希、Table攻击及Feed攻击。字典攻击能力升级，支持超大哈希列表多核并行装载、多字典合并。规则引擎重构，适用于所有攻击模式。硬件后端新增FPGA支持，整体性能显著提升。建议安全测试人员关注新攻击模式以提升密码审计效率。

该文档报道美企进入马来西亚稀土业的最新动向，包括2025年10月美马协议签署、2026年10月美国大使馆论坛及彭博社报道的DTECMineral企业计划投资6亿美元建稀土提炼厂，旨在推动马来西亚成为区域稀土加工枢纽。文档为开源情报分析，提供地缘政治与供应链动态信息。

上海举办具身智能数据跨境流动合规沙龙，解读数据出境新规。专家建议企业精准甄别重要数据与个人信息，匹配安全评估等合规路径，运用联邦学习等技术实现数据不动价值流动，构建数据全生命周期管控机制并定期审计，以释放数据资产价值。

《能力即威胁：如何构建AI智能体安全架构》新书发布，聚焦AIAgent从设计到运行的安全挑战，提出以架构确定性对抗AI非确定性。全书分理解变化、构建、守护、证明、规划五部分，由赵粮与李康合著，已上架亚马逊Kindle，并提供纸质版赠阅申请。

WordPress升级流程存在免登录RCE漏洞，源于竞态条件，攻击者无需登录即可利用，但需目标处于核心升级过程中。24小时内遭超6万次攻击尝试。官方已发布7.1.4版本修复22个安全漏洞，建议管理员立即安装补丁，并限制wp-content/upgrade目录访问权限作为额外防护。

珞安科技作为技术支撑单位护航2026年中国工业互联网安全大赛决赛，CEO孔令武发表演讲强调工业互联网安全人才培养重要性，介绍公司依托实训平台与产教融合机制开辟实战化人才培养路径，为大赛提供全方位技术支持与服务，助力工业互联网安全保障体系建设。

第三届数证杯电子数据取证分析大赛启动报名，由公安部网络安全保卫局等指导，公安部第三研究所等主办，面向全社会机构开放。报名时间为2026年11月2日至15日，初赛11月21日线上举行，决赛12月中旬线下进行。每队1至3人，设团队赛和个人赛，分设一二三等奖及优胜奖。

本文介绍网易智企易盾广告合规解决方案，针对双十一大促期间营销素材审核压力大的痛点，提出AI初筛加人工复核的流程。通过两个案例展示效果：检测量达80万次，约97%至98%结果无需人工复核，审核周期从5至7天缩短至1至3天。方案强调人机协同，将重复性工作交给系统，专业判断留给人工。

介绍了RISC-V处理器安全研究方法，包括漏洞检测、根因分析与漏洞利用，并以VeeR-EL2的PMP执行权限绕过漏洞为例，展示了从差分模糊测试到根因定位、再到PoC验证与报告交付的完整过程。

LiteLLM1.107.0版本遭供应链投毒，攻击者入侵发布流水线，在PyPI全部wheel及Docker镜像中植入凭据窃取器与远程代码执行后门。恶意代码通过.pth文件在Python启动时自动执行，窃取云凭据、开发者资产及AI工具凭据，并建立每小时远程执行通道。建议立即隔离受影响系统、轮换凭据、排查恶意文件并重建环境。

思科Talos曝光VOLTA窃密木马，该木马窃取浏览器Cookie、各类平台会话及加密钱包等凭证，并利用OpenRouter调用Claude等大模型自动生成受害者价值评级与安全评估报告，通过Telegram外传。木马以生成器形式商业化售卖，无固定C2，执行后自删除。建议个人重置凭证、迁移资产，企业管控Chrome无头启动参数并导入IOC检测。

该文档为看雪学院推出的Windows内核攻防实战课程推广软文，由15年专家humanbug授课，涵盖注入、hook、防御等实战内容，并融入AI赋能工具开发，课时120小时，售价16200元，强调实战落地与加密播放。

本周供应链安全周报聚焦3起攻击事件，重点剖析伪装成ClaudeCode的恶意IDE扩展，其加载时窃取敏感信息并植入SSH持久化后门，通过反向隧道回连C2。文档提供详细排查路径与处置建议，强调官方渠道也需持续验证版本、哈希与异常外连，并给出分平台清理步骤。

第三届数证杯电子数据取证分析大赛启动报名，由公安部网络安全保卫局等指导，公安部第三研究所等主办，面向全社会机构开放。报名时间为2026年11月2日至15日，初赛11月21日线上举行，决赛12月中旬线下进行。赛事设置团队赛和个人赛，分设一二三等奖及优胜奖，旨在加强电子数据取证分析人才队伍建设。

英国AI开发托管平台Northflank遭网络攻击致用户托管密钥泄露，多个客户AI密钥被滥用。近一月AI密钥盗用攻击猖獗，Wiz披露9起平台失陷事件。建议用户立即更换所有托管密钥、检查AI服务账单并报告可疑活动，关注相关安全新闻。

CNCERT监测发现新型僵尸网络VeilDHT大范围传播，主要感染Linux服务器与IoT设备，通过漏洞利用扩散，采用DNS假IP应答与DHT双通道获取控制地址，通信全程加密，具备DDoS攻击、命令执行、反向Shell及反向代理等功能。2026年10月16日至26日境内感染约40467台设备，建议及时修复漏洞、加强口令强度、安装防护软件并监测IoC。

FreeBuf推出白帽集市平台，定位为网络安全行业专属交易市场，汇集网安工具、安全产品及技术服务等资源。平台为买家提供海量资源与交易保障机制，包括七天退款政策与售后协调；为卖家提供零服务费入驻、低支付手续费、灵活提现等政策，并推出开店红包、销售补贴及流量扶持等六大福利，旨在促进网安资源流动与交易。

Android存在高危漏洞，通过特制短信可导致电话服务中断，甚至阻断急救通话，需及时更新安全补丁。

新一代通信网作为六张网之一，是贯通数字与实体的关键纽带。其新在四方面：连接对象从人到万物，覆盖范围实现空天地海一体，连接能力追求快又稳以支撑远程手术等场景，网络功能融合通感算智。应用案例包括火箭搭建空天网、5G-A赋能无人矿卡、渤海海域5G覆盖，展现通信网建设新活力。

常行科技在第88届中国教育装备展示会上展示鸿蒙+AI校园餐智慧监管方案，聚焦校园食品安全数字化落地与国产化适配。方案覆盖晨检、食材验收、后厨AI巡检等环节，已适配鸿蒙环境并支持国产化，在全国百余所学校落地应用。

vivo于2026年10月19日至23日举办第五届安全与隐私主题周活动，主题为智能涌现可信致远。活动包含大咖讲、安全学堂、线下展及线上互动等环节，聚焦AI智能体安全与隐私保护，邀请多位专家分享前沿议题，旨在提升员工安全意识与防护能力，构建全方位安全防护体系。

SecWiki周刊第661期汇总2026年10月26日至11月1日安全技术资讯，涵盖网络安全威胁年中报告、基于大语言模型辅助的安全漏洞静态分析工具IRIS，以及以提示词注入反击AI驱动网络攻击的取证分析等，涉及提示词注入、大语言模型、污点分析、静态分析、自主渗透智能体等关键主题。

本文介绍利用HTTP分块传输编码绕过WAF检测的技术方法，以安全狗WAF和Pikachu靶场为例，演示SQL注入的分块传输绕过原理与实操步骤，并介绍BurpSuite的Chunkedcodingconverter插件及其与sqlmap的联动用法。文章技术内容具实战参考价值，但后半部分包含较多商业推广内容，降低了纯粹性。

小红书自研稀疏训练引擎SparseGear旨在解决搜广推模型大规模扩展时面临的资源协同与显存占用问题，通过资源分工优化、多级存储和Agent自动调优，实现了20%-300%的训练性能提升。