ZONE.CI 全球网

该文档披露了两个高危漏洞:CVE-2026-43499是Linux内核rtmutex子系统中存在15年的Stack-UAF漏洞,影响所有未打补丁的发行版,可用于容器逃逸和本地提权;CVE-2026-10702是FirefoxJIT编译器的类型混淆漏洞,允许远程代码执行。两者可链式利用实现从浏览器到内核的全链路RCE。建议立即更新系统并限制对恶意页面的访问。

独立研究员VictorFresko从入侵ISP路由器入手,发现并利用MediaTek内核0day漏洞实现远程代码执行.过程涉及CVE-2025-13942等漏洞,通过构建任意读写原语覆盖函数指针获得内核shell.该案例被收录进Linux内核利用资源合集,展示了从现实设备出发的漏洞发现路径,鼓励在合法环境中实践学习.

本文档为CTFHub平台JWT敏感信息泄露题目的实战指南，通过解码JWT的Header和Payload部分获取flag。核心步骤包括登录靶场、截获数据包、解码JWT三部分中的前两部分，拼接得到flag。操作性强，适合CTF入门练习。

浑象是面向AI安全Agent的评测基座，通过动态Flag注入、原生MCP协议集成、支持Windows/AD域环境等设计，解决传统靶场语料污染与交互瓶颈，提供150+题目与自动化接口，旨在构建闭环评估生态，鼓励社区共建。

邮储银行最新AI进展显示已落地超370个大模型应用场景，日均调用超600万次，token超百亿。已上线AI算力管理平台，计划年底实现1000个场景。AI覆盖科技支撑、客户营销、经营管理、信贷全流程等领域，智能体应用广泛。银行正制定十五五IT规划，目标构建AI原生数字生态银行。

该文档为中国船级社船舶网络安全指南第六部分，详细阐述了产品网络安全检验与评估流程，包括图纸资料提交要求、安全能力验证方法、测试项目与用例、测试工具及网络连接测试等核心内容。文档提供了具体的测试方法如身份绕过、权限提升测试，并明确了高风险漏洞的缓解措施举证要求，具有较强可操作性。

2026年7月11日发布的数据泄露情报显示，美国移民律师事务所LawOfficesUS、俄罗斯民宿平台azur.ru及医疗EDI清算所Infinedi发生重大数据泄露，涉及1.5TB客户移民档案、员工财务数据及医疗账单信息，包含护照、SSN、银行流水等高度敏感信息。情报指出这些数据可用于店铺注册、人脸识别绕过及B2B获客，但需警惕其非法用途。

该文档预告了2026年7月12日晚8点由朝阳师傅主讲的IoT安全分享活动，主题为IoT安全是靠近真实设备的安全工作，嘉宾郭小白和Op1n师傅将补充学术与就业讨论，活动通过腾讯会议进行，并提供微信群加入方式。

本文介绍了实现人工智能的本地化方案，强调使用本地LLM和MCP服务器进行AI赋能逆向工程。作者推荐Claude、Codex、Qwen等模型，并指出手动逆向流程是基础。文章还推广了付费星球用于记录Agent本地化与MCP利用，并提供了微信邀请减免优惠。

本文系统梳理了机器学习与大型语言模型场景下的隐私攻击与数据泄露领域，涵盖成员推理攻击、模型反转攻击、训练数据提取等核心攻击方法及差分隐私等防御技术，提供了攻击分类体系与评估框架，适用于AI安全研究人员和隐私工程师参考。

文章讨论海淀某校2026初一下期末新定义数学题，涉及t-关联点概念。作者认为题目难度高，考场上性价比低，建议战略放弃。新定义题型考验建系与空间想象能力，提前学习解析几何有助但有限。作者分享与女儿cby共同解题的亲子互动，强调青春期教育需耐心陪伴。

该文档指出2026年网络安全行业两极分化严重，AI虽引发担忧但实战型人才仍稀缺。作者以运维转行网安的个人经历为例，强调网安岗位技术壁垒高、经验越久越吃香、薪资高于运维且工作节奏更健康。文章核心目的是推广一套网络安全学习路线，属于软文广告性质，缺乏深度技术分析。

本文针对HVV期间HTTPS资产无流量解密和RASP的场景，提出将观测点移至TLS终止之后，通过访问行为、文件变化和JVM运行时三条证据线进行关联分析。核心结论是流量异常仅能报出异常，JVM排查才能完成定性。可操作建议包括先确认TLS终止点，再按三条线收集证据，最后在SIEM中关联。

本文记录了对STM32F103固件的提取与逆向分析全过程。作者从购买开发板开始，通过串口烧录程序，使用stm32flash工具提取Flash固件，并借助大模型和Capstone库进行反汇编分析。文章展示了嵌入式安全研究的基本流程，并指出固件加密与破解的对抗关系，为相关从业者提供了实战参考。

海光信息在光合组织2026智能计算应用大会上首次展示云边端完整算力体系，覆盖数据中心、边缘计算和端侧全场景AI计算布局。DCU软件栈的完善使国产AI算力从可用走向好用，已适配多款主流大模型。同时布局嵌入式原生AI，拓展工业、能源等场景应用。中国首个全国产十万卡AI超集群曙光8000落成，验证了海光芯片支撑大规模AI应用的能力。

本文介绍某信息基础设施运营单位构建的体系化、流程化、智能化网络安全运营新范式。通过协同化组织架构、纵深化技术架构和常态化管理准备实现体系化建设；采用PDCA循环的规范化应急响应流程，以钓鱼邮件和主机异常外联事件为例展示处置效果；深度应用态势感知平台作为智能中枢，实现秒级自动封禁。实战演练累计拦截攻击3万余次，处置安全事件150起，有效保障了关键信息系统安全。该模式为提升网络安全防御质效提供了可复用的实践路径。

工信部发布《智能网联汽车组合驾驶辅助系统安全要求》强制性国家标准(GB47955-2026),拟于2027年1月1日实施。该标准针对基础单车道、基础多车道、领航驾驶辅助三类系统提出安全要求,涵盖功能、数据记录、人机交互等维度,并构建多层级评价方法。与联合国UNR171法规相比,更契合中国复杂交通环境,对提升智能网联汽车安全水平、保障产业健康发展具有重要意义。

中国代表在联合国人工智能治理全球对话首次会议上发言，强调以联合国为主渠道弥合人工智能鸿沟，倡导普惠包容和数字主权，反对胁迫选边站队。中国作为AI能力建设先行者，提出全球人工智能治理倡议，并宣布举办2026世界人工智能大会，助力各国共享智能红利。

我国电诈案件发案数量自2025年10月起连续8个月同比下降，多部门协同治理成效显著。当前十大高发诈骗类型占全部案件85%，虚假网络投资理财损失最重。全民反诈在行动集中宣传月启动，强调多一句提醒多一道防线，通过源头断卡、技防拦截、金融防护和基层宣传构建常态长效反诈格局，守住群众内心防线。

本文揭露AI荐彩实为网络赌球引流手段，不法分子通过社交平台诱导用户下载境外赌博App，导致财产损失与信息泄露。专家指出AI无法稳定预测比赛结果，提醒球迷理性观赛，远离赌博，并建议加强平台治理与监管打击。

Kalidroid是一款面向安全研究人员的Android应用，能在无需root权限的Android8+系统上运行完整KaliLinux环境。它通过Android虚拟化框架与pKVM硬件虚拟化实现接近原生CPU性能，采用SquashFS+ext4Overlay存储架构。核心功能包括无root容器运行、USB外设直通、GPS联动WarDriving、集成NMAP等渗透测试工具及远程桌面访问。该方案为移动安全测试提供了完整解决方案。

国务院国资委发布《中央企业绿色低碳供应链建设指引（试行）》，推动央企15万亿采购体系向绿色能力倾斜。绿色制造与碳管理成为供应商准入新门槛，影响采购份额与项目参与。企业需建立碳管理、完善绿色认证、避免购买碳指标等误区，通过系统化减碳提升竞争力。绿色转型已从未来趋势变为现实门槛，提前布局的企业将获得供应链竞争优势。

QuadRF是一款基于树莓派5和FPGA的相控阵无线电设备，支持4.9-6GHzC波段信号处理，可穿墙探测WiFi信号并追踪无人机。实测中设备表现惊艳，但用户界面粗糙。其设计利用树莓派MIPI接口实现超过5Gbps的低延迟射频信号传输，为SDR应用提供创新方案。该设备适用于射频环境可视化和本地无线电实验。

2026下半年渗透测试已从传统套路转向云资产、小程序API、JS逆向自动化等新方向。越权与逻辑漏洞成为金矿，供应链攻击和AI安全是新增攻击面。免杀技术转向行为对抗如SleepMask和BYOVD。核心结论是信息收集广度、逻辑挖洞深度和AI驾驭能力决定胜负，建议关注云原生、小程序、AI应用和供应链。

本文介绍基于GPT架构的webshell识别模型，参数量约10M。预训练效果不佳，SFT后出现误报，通过注入增强改进。扩大预训练规模反而增加误报，最终结论是数据量不足，模型能力未达上限。建议收集更多高质量黑样本。