ZONE.CI 全球网

本周安全简讯涵盖六起事件:Steam论坛遭社会工程攻击传播XMRig挖矿木马;伊朗黑客入侵美水务能源系统篡改PLC;OriginEnergy和OnTrac发生数据泄露;酒店Wi-Fi被劫持用于钓鱼;Clop团伙利用PTC漏洞攻击PLM系统。建议用户警惕论坛恶意命令,组织加强OT防护和补丁管理。

Fastjson2<=2.0.62版本存在严重远程代码执行漏洞(CVE暂无,评分9.8)。攻击者无需认证即可通过构造特殊JSON数据绕过AutoType校验白名单,导致服务器被完全控制。建议立即开启SafeMode禁用AutoType功能,过滤@type字段请求,并持续关注官方修复版本发布。

东北大学发布的2025年工业控制网络安全态势白皮书全面分析了工业互联网安全态势，涵盖政策法规、安全事件、漏洞分析、OT通信暴露及蜜罐观测数据等层面，为安全研究人员提供参考。报告强调多方位感知安全现状，并给出下载方式。

本文详解AUTOSAREcuM模块，重点介绍EcuMFlex状态机与启停休眠机制。EcuM管理ECU上下电状态，包含Startup、UP、Sleep、Shutdown四个阶段。Startup分PreOS和PostOS，Shutdown为逆操作。Sleep支持Poll和Halt低功耗模式。RUN和POST\\_RUN请求机制控制状态切换。文档还涉及唤醒源确认、Bootloader进入流程等关键功能，为汽车电子开发者提供可操作的技术参考。

《智能工厂安全一体化》系列国家标准于2026年7月1日起实施，旨在指导智能工厂建立安全一体化生命周期。标准包含一般要求、风险评估、系统协同设计和系统评测四个部分，覆盖从风险评估到设计实施及评测的全过程，适用于智能工厂的用户方、设计方、评测方及安全监管机构。建议相关方下载完整标准并参考实施。

安全厂商Hunt.io披露一起针对泰国财政部的网络攻击，攻击者使用HermesAI智能体（运行于YOLO模式）和Hades恶意软件实施侦察与持久化控制。由于攻击者部分基础设施暴露，研究人员得以观察其利用AI自主完成环境侦查、提权分析、工具利用等环节。攻击者已成功访问多个内部系统，并针对Hadoop等基础设施编写了定制脚本。该事件表明AI智能体正从实验性项目演变为切实可用的攻击工具，防御者需做好准备。

国家网信办与公安部联合发布《小型个人信息处理者个人信息保护简化措施规定》，自2026年9月1日起施行。该规定明确了处理不满10万人个人信息的小型处理者的适用范围，并提供了制定处理规则、履行告知义务、取得同意、受理权利申请及删除信息等方面的简化措施。同时，规定在特定条件下免予申报数据出境安全评估等义务，并提供了合规审计与影响评估的自查表，旨在降低合规成本并保障信息安全。

贵州某政务系统因未及时修复高危漏洞被诈骗团伙利用造成400余万元群众财产损失运营方承建方运维方均未落实安全责任事件暴露了重业务轻安全的普遍问题文章强调高危补丁缺位是系统性安全溃败的根源建议企业建立闭环补丁管理体系并加强全员安全意识培训

2026年第30周工信领域要闻回顾涵盖APEC数字和人工智能部长会议、全国工信座谈会、零碳工厂建设、节能监察、网络安全保险试点、汽车安全监督检查、造船业三大指标创新高及电动汽车电池耐久性国家标准发布等核心事件，体现了政策推动、产业升级与安全监管并重的趋势。

湛江市网信办查处粤西首例未备案生成式AI服务案件，涉事App因未履行算法备案且生成历史虚无主义有害信息被约谈、警告并罚款。此案释放AI监管全面落地信号，要求所有面向公众的生成式AI服务必须完成备案并建立内容安全审核机制，否则将面临法律处罚。

2026年7月27日AI行业多项进展包括Midjourney收购Co-Star拓展个性化内容、抖音升级未成年人模式引入多模态大模型、美团AI助手小团升级代理执行能力、企业微信智能助理大圆开启内测、AI剧漫剧市场预计全年达400亿元、OPPO启动小布Next计划、千问办公官网上线、美团CatPaw平台上线、SpaceXAI将推Grok4.6与4.7、连连与银联合作智能体支付、低空物流大模型落地、曹操出行Robotaxi测试等。这些事件反映了AI在办公、安全、市场、合作等领域的快速渗透与创新。

文档提出AI时代企业需构建覆盖数据、模型、智能应用全链条的常态化安全能力。核心包括五大服务：个人信息合规治理、数据分类分级、数据安全风险评估、大模型安全测试及智能体安全检测。强调依据《数据安全法》《生成式人工智能服务管理暂行办法》等法规，通过事前评估、事中监测、事后整改的闭环体系，实现安全赋能业务与产业可持续发展。

本文详细介绍了MacOS企业微信5.0.7中定位protobuf序列化与反序列化Hook点的逆向分析方法。核心在于区分protobuf消息层、网络帧层与CGI外层，精准HookInternalSerialize和Parse函数。作者提供了从搜索类型名、XREF找vtable、反编译确认读写逻辑到Frida抓取数据的完整流程。建议实操时先验证消息对象与vtable，结合外层封装关联具体接口，并通过类型、函数、数据、链路四类证据闭环验证防误Hook，版本升级时需重新走查地址。

该文档推广一门关于利用人工智能辅助逆向分析的课程,核心观点是从’用AI工具’转向’造AI工具’,通过MCP和Skill将AI集成到逆向工具链中,提升分析效率。课程包含实战案例,讲师兼具安全与AI背景,旨在帮助学员掌握AI逆向工作流并开发专属工具。

Fastjson1.x被曝高危RCE漏洞CVE-2026-16723，CVSS评分9.0，影响1.2.68至1.2.83版本。该漏洞突破传统限制，无需开启AutoType及依赖特定Gadget，利用SpringBootfat-JAR机制可实现无身份认证的任意代码执行。目前已有针对金融等行业的野外攻击捕获，官方暂未发布正式补丁。企业建议长期迁移至Fastjson2，短期可通过添加JVM安全模式启动参数或切换至受限版本来进行临时缓解，并加强日志审计与异常行为监控。

国家网信办与公安部联合发布《小型个人信息处理者个人信息保护简化措施规定》，依据《个人信息保护法》第六十二条，对处理不满10万人个人信息的中小微企业实施差异化监管。规定从告知公示、合规审计、内部管理等多维度简化合规程序，降低制度成本，同时强调简化不等于免责，核心安全义务不可豁免。企业应利用简化措施降低合规成本，但需确保核心安全义务不豁免。

本文为吴建平教授对IPv6技术创新与融合应用的专家解读，核心要点包括：推动源地址验证技术SAVA筑牢安全基础，发挥IPv6原生安全优势支撑AI发展，全面推进IPv6从双栈向单栈演进，以及通过制度、设施和应用升级释放IPv6价值。文章强调IPv6是网络强国建设的关键，需统筹发展与安全。

本文分析了涉未成年人网络娱乐团播的乱象，包括违法招募、模仿未成年人直播和诱导打赏，指出商业逻辑与社会责任逻辑的冲突，并提出建立疏堵结合机制、提升内容质量、加强监管等治理建议，强调以未成年人利益最大化为导向。

支付机构纷纷布局AI支付，其全民普及需迈过三道坎。安全关要求防范伪造与隐私泄露，落实数据最小化原则；普惠关需做好适老化与下沉适配，避免数字鸿沟；价值关应聚焦赋能实体与民生，摒弃流量思维。机构需守责，监管应包容审慎，多方协同让AI支付惠及大众。

报告警告AI正将网络安全带入高风险阶段,前沿模型能大规模发现未知漏洞并快速生成攻击工具,漏洞利用速度从数月缩短至数天甚至零天,但企业修补能力未同步提升,形成不断扩大的补丁缺口。开源软件和工业设施尤为脆弱,维护资源不足且大量设备无法修补。AI也可用于防御,但攻击能力可能扩散,网络安全支出预计长期增长。

2026年7月27日，苹果多项核心服务如AppStore、AppleMusic等出现故障，大量用户受影响。苹果官方回应称是例行维护，但用户对此解释不满，认为缺乏提前通知。文章指出苹果服务稳定性近年频出问题，并引发对云端依赖的讨论。

本文分析了全球科技发展范式的深刻重塑与多维竞争格局，指出技术发展正从平稳期迈向颠覆性交叉技术爆发期，产业布局从全球布局转向区域闭环，风险认知从单点防御转向全域协同，治理格局从协调共治滑向阵营联合。全球科技竞争呈现中美两极多维格局，聚焦集成电路、AI、量子科技、生命科学四大领域，并形成全政府介入和泛安全化模式。文章提出十五五时期中国应筑牢创新根基、织密防护网络，构建前沿引领、自主可控的科技发展新范式。

2026年7月27日，安全圈内一名QQ昵称超级飞侠的用户在群聊中自称日薪1200并炫耀水平，引发群友质疑。随后其微信小号和大号被曝光，发现其曾倒卖安全软件，最终被迫承认装逼并道歉。事件属于安全圈娱乐八卦，无技术价值。

NDSS2026论文BLERP揭示BLE重配对机制缺陷：攻击者无需破解原密钥，通过冒充设备发起未认证安全请求，即可诱使目标用新密钥覆盖旧密钥实现接管。实测影响多款主流系统。但研究未充分探讨RPA地址机制下的身份识别难题，未知IRK时攻击链难闭环。建议厂商重配对时强制校验旧密钥。

绿盟科技披露Fastjson2.x远程代码执行漏洞，影响2.0.62及以下版本。攻击者在默认未启用autoType时，可利用内置白名单处理@type字段，无需第三方类即可实现RCE，CVSS评分9.8。建议立即升级至高版本；若暂无法升级，应通过代码、JVM参数或配置文件开启safeMode彻底禁用autoType，或利用WAF拦截包含@type的请求，并更新安全设备规则包进行防护。