ZONE.CI 全球网

CVE-2026-40860是ApacheCamel中多个JMS组件存在的严重不安全反序列化漏洞，CVSS评分9.8。漏洞源于JmsBinding.extractBodyFromJms()方法在处理ObjectMessage时未加过滤直接反序列化，攻击者可构造恶意消息实现远程代码执行。影响版本包括camel-jms等组件从3.0.0到4.20.0之前版本。官方已发布修复版本4.14.7、4.18.2和4.20.0，建议立即升级并配置反序列化过滤器。

CVE-2026-54390是JTLShop5.2.0至5.7.1版本中的严重SSTI漏洞(CVSS9.8)。攻击者可通过联系表单注入Smarty模板语法，利用未过滤的输入触发远程代码执行，实现服务器完全控制。5.4.0+版本因注册危险修饰符(如file_get_contents)导致风险更高。建议立即升级至5.5.4/5.6.2/5.7.2修复版本。

本文介绍了JSONWebToken(JWT)的基础知识，包括其原理、结构及应用场景。JWT是一种开放标准，用于在各方之间安全传输信息，常用于用户认证和信息交换。其结构由Header、Payload和Signature三部分组成，用点分隔。关键安全提示是Payload仅Base64编码未加密，不可存放敏感信息。文章源自CTFHub平台，适合安全学习。

深度学习自2012年AlexNet在ImageNet夺冠后引发范式转移，核心是用多层神经网络自动学习层次化特征。其成功依赖大数据、大算力、大模型三大支柱，关键架构从CNN、RNN演进到Transformer，催生大语言模型等应用。深度学习同时改变了工业界和科学界，如AlphaFold预测蛋白质结构，但革命远未结束，正重新定义智能本质。

该文档汇总了2026年7月10日的数据泄露情报，涉及VexDB、SETTRA及Hackeddatabasesstore三个事件。VexDB泄露了俄罗斯电商平台29.6万条信息；SETTRA泄露了美国餐饮集团员工社保号、薪资等敏感数据；Hackeddatabasesstore打包了约800GB的泄露数据合集。这些信息对安全运营和威胁情报具有参考价值，但需注意数据来源的合规性。

湖南金盾评估中心党支部于7月10日召开支部会议暨主题党日活动，完成支委换届选举，邓庭波任新书记并明确党建引领业务融合的工作思路。会议表彰了获优秀共产党员称号的禹振博，并开展专题培训与研讨，号召党员凝心聚力推动公司高质量发展，擦亮网络安全金盾品牌。

CSOP2026·AI安全大会成都站聚焦AI时代新安全范式，探讨AI自动化攻击应对策略与AI赋能安全实践。专家指出AI加剧攻防不对称，攻击者利用AI实现工业化漏洞挖掘，防守方需重构安全基础设施并推动AI对抗AI的自动化防御体系。大会强调零信任架构、智能化渗透测试及多源数据联动运营体系的重要性，并签署川藏网络安全合作协议。

GigaWiper是一个基于Golang的模块化后门家族，集成了磁盘擦除、伪勒索软件和远程控制功能。它通过创建名为OneDriveUpdate的计划任务实现持久化，并利用RabbitMQ和Redis进行C2通信。该恶意软件可执行多遍安全擦除、伪装成勒索的加密擦除等破坏性操作。防御者应阻止其C2基础设施、加强EDR保护并监控计划任务和注册表修改。

这份指南针对2026年实战演练，梳理了覆盖20类资产和260个安全漏洞的高频组件风险排查清单，并配套开发了辅助排查工具。核心建议包括先查外网暴露面、对照清单重点排查漏洞，以及将结果纳入闭环管理。各单位可联系安全运营中心获取完整清单和工具。

本周网安热点涵盖政策与数据泄露。密码局要求电子认证机构限期合规整改，八部门推进工业互联网安全，上海整治未成年人网络及AI安全。全美保险协会与日产因Oracle零日漏洞遭勒索，GameStop等发生大规模数据泄露，乌美预警俄间谍窃取密钥实施监控。建议企业及时修补漏洞并强化防钓鱼演练。

美国白宫正联合国家安全部门与OpenAI、Anthropic、谷歌等企业加速制定AI模型发布的自愿性行业标准，旨在为具备高级网络渗透能力的尖端模型建立统一安全标准。此举落实特朗普人工智能行政令，明确先进AI模型的准入条件与安全审查机制。此前美方对头部企业的临时干预曾引发争议，此次制度化规则旨在化解行业困惑。但业界担忧碎片化行政介入可能拖累美国AI创新效率。

本文是ActiveDirectory安全攻防系列第五篇，重点解析Schema默认权限和SDDL安全描述符定义语言。文章指出AD对象权限有三大来源：Schema默认权限、OU委派和SDProp强制权限，其中Schema默认权限是对象创建时的初始权限模板。详细介绍了SDDL语法结构、权限代码和安全主体代码，并通过实战解析user类的默认安全描述符示例，说明DomainAdmins、System等拥有完全控制权，而用户自身仅有基本读取和更改密码权限。理解这些机制对安全审计和攻防研究至关重要。

上海市通信管理局发布铸盾模都2026年人工智能安全赋能专项行动通知，要求相关企业落实网络数据安全主体责任，加强人工智能研发训练部署应用等全流程安全管理，重点防范数据投毒、对抗样本攻击等风险，强化供应链、智能体、具身智能安全，并明确备案时间节点。企业需在8月31日前备案重要数据目录，11月30日前上报业务清单。该通知为上海地区AI安全合规提供明确指引。

豆包智能体功能因产品调整及《人工智能拟人化互动服务管理暂行办法》将于2026年7月15日下线，用户需在10月15日前备份数据。文章提供了抢救提示词的方法，包括直接复制、询问智能体、搜索创作者、行为克隆等，并强调了情感告别的重要性。最后引导用户思考智能体满足的需求，并建议寻找其他容器。

2026年7月意大利驱逐两名俄武官并逮捕两名前特工，揭露格鲁乌在意大利长达十二年的渗透活动。涉案前反间谍特工皮拉斯向俄方提供SAMP/T防空系统数据、北约任务细节及反间谍人员身份等敏感信息。此案是俄罗斯混合战争组成部分，显示其通过多层次代理结构持续获取西方军事与工业情报。

受乌克兰战争启发，韩国正加速推进无人机与机器人的采购立法。该国计划大规模采购低成本消耗性无人机，并提前部署K-LUCAS远程自爆无人机系统，同时启动‘50万无人机战士’培训计划。为提升效率，韩国还建立了‘预认证即购’的快速采购机制。在技术合作方面，韩国与美国深度绑定，将其无人机工业纳入美军生态系统。此外，韩国已成为全球第四大武器出口国，其国防预算也创下近年来最大增幅。这些举措反映了东北亚地区军备竞赛逻辑的转变。

本文揭露微软Windows系统中的全局设备标识符GDID，一种持久且无法完全关闭的数字指纹，可跨VPN和代理追踪用户。FBI利用GDID成功抓获黑客组织ScatteredSpider成员。文章建议使用本地账户、关闭活动历史记录和诊断数据以限制追踪，但指出无法彻底禁用GDID。

RedWing是一款通过Telegram以订阅制出售的Android间谍软件，与俄罗斯威胁组织关联，技术源自Oblivion恶意软件家族。它采用MaaS模式，提供定制APK生成、多阶段渗透、权限劫持、隐蔽通信劫持及远程监控功能，可窃取银行凭证、拦截短信、激活来电转移并组成僵尸网络发动DDoS攻击。防御关键在于避免从非官方渠道安装应用并谨慎授予权限。

攻击者利用GitHub公共API和幽灵账户对企业软件环境进行隐蔽侦查，通过自动化工具和休眠账户进行组织架构测绘，难以与正常流量区分。企业需监控审计日志、启用多因素认证并清理闲置账户以防范此类威胁。

本周安全热点涵盖多个高危漏洞与重大数据泄露事件。漏洞方面包括phpBB认证绕过、LinuxFUSE提权、XWiki路径穿越、Linux内核GhostLock提权及FirefoxJIT漏洞。安全事件涉及穆迪圣经学院230万账户泄露、Accenture数据泄露、皇家山大学遭攻击及AssuranceAmerica近700万驾驶员信息泄露。此外国家文物局发布《国有文物资源数据管理办法》规范数据安全。建议立即升级受影响系统并加强安全防护。

龙岗区教育局举办鸿蒙+AI教育全场景对接活动，常行科技展示校园食安方案。方案利用鸿蒙、AI和物联网技术，实现食堂晨检、食材溯源、后厨监控等全流程数字化，从人盯人转为系统管人。方案可分步实施，已在全国百余所学校落地，提升食安管控效率。

文章指出运维人员常因服务器安全事件背锅，建议学习网安技能如日常巡检来规避责任，提升职业硬气。

Zack-AI-Scanner是一款基于大语言模型的BurpSuite扩展，用于自动化Web漏洞扫描。它集成16家主流AI服务商，通过语义理解自动分析HTTP请求、生成测试Payload并验证漏洞，支持17种漏洞类型和WAF绕过。该工具旨在提升渗透测试、SRC挖掘和攻防演练中的效率与覆盖面。

本文以苹果印度塔塔电子工厂630GB核心机密泄露事件为案例，对照中国等保三级标准进行复盘。文章指出该事件暴露的五大核心漏洞（公网暴露、弱口令、明文存储、漏洞未修复、管理缺失）均属等保三级一票否决项。若落地等保三级，四层纵深防线可阻断泄密链条，将百亿美元级损失压缩至十分之一以内。文章最后提出对全球电子制造供应链的安全启示，强调将等保标准复制到全球供应链的必要性。

本文详细介绍了网络安全等级保护（等保）的全流程步骤与必备材料，涵盖定级、备案、建设整改、等级测评及常态化运维五个阶段。文章强调等保需遵循法定顺序，不可颠倒，并针对二级、三级系统提供了具体操作指南、材料清单及常见误区澄清，旨在帮助企业高效完成等保合规。