ZONE.CI 全球网

本文分析PHP核心引擎两个高危漏洞CVE-2026-109618与CVE-2026-109619，合称PHP2Shell，CVSS4.0评分9.2，属Use-After-Free类型，可致未认证远程代码执行。漏洞源于内存耗尽时非局部跳转绕过状态清理，影响PHP8.2至8.5多版本。建议立即升级至修复版本，排查时注意核对实际Web二进制与发行版补丁，并留存证据。

币安热钱包遭窃63亿美元，系加密货币史上最大盗窃案。攻击路径为黑客通过钓鱼邮件等方式攻陷DevOps工程师笔记本电脑，进而进入服务容器提交未经授权提现，私钥未泄露。币安承诺全额赔付63.4亿美元，链上冻结约30亿。事件警示终端安全是防守短板，后续关注提币恢复、剩余10%窟窿及33亿在逃资产去向。

本文分析CopelandXWEBPro冷链控制器安全漏洞，共发现23个漏洞，其中21个高危。核心问题包括Lua空表鉴权绕过、基于MAC和日期的可预测管理员口令生成，以及19处OS命令注入，可导致未认证远程代码执行至root权限。物理演示展示了篡改温度显示和隐藏告警的能力。建议升级固件1.13并隔离管理网络。

好靶场平台举办10月EDU系统月赛，比赛时间为2026年11月2日至7日，旨在让网络安全初学者低成本入门。参赛者需在指定系统中发现漏洞并提交报告，按漏洞完成度和提交时间排名，奖励包括京东卡、会员等。平台提供靶场资源和学习资料，并设有邀请码福利。

币安发生63亿美元资产失窃事件，FBI指向朝鲜黑客组织，同时多起数据泄露和安全漏洞事件被报道，包括美国国土安全部数据泄露、Virtualine域名被查封、高校数据泄露、思科防火墙漏洞、地方政府平台数据泄露、索尼ISP数据泄露和Linux内核漏洞等。

银狐情报日报显示云存储桶占域名榜三分之二创新高，AWS香港区首入列，新增四家C2托管商含欧洲首落点。山石网科披露VM保护壳对抗细节，通过NtTraceEvent一字节盲化废掉EDR遥测。CTG段位扩至第十段，瑞星披露显卡解壳新变种。建议加强云商举报联动、段级封禁及ETW完整性校验。

2026年10月网络安全态势月报显示，风险主战场下沉至基础设施与供应链。PHP解释器内核曝出两个高危漏洞，影响全球近七成网站，PoC已广泛传播，需72小时内完成处置。境外自治域AS402425通过篡改DNS解析将用户跳转至博彩网站，暴露BGP与DNS协议层脆弱性。国内Weaxor勒索病毒与银狐木马新团伙活跃，分别利用弱口令与搜索引擎投毒入侵。全球数据泄露呈千万级常态化，日本六家企业合计泄露约3900万条记录，丹麦CPR数据库880万人信息被非法访问。AI供应链风险凸显，LiteLLM官方流水线被劫持，La

本文为安恒信息公众号一周资讯汇总，回顾往期文章，涉及乌镇互联网大会、三季报解读及通信行业信息安全托管运营服务实施指南获批发布等内容，文末附法律声明与投资风险提示，属企业宣传类内容。

VAPORPANDA组织利用AI代理框架ARTEX结合DeepSeek等大语言模型，自2026年10月起对全球200多家机构发起并行入侵，目标涵盖外交部、国防、半导体等领域。攻击者部署BLOODALCHEMY后门，将传感器规避整合进自动化流程，标志着AI代理在攻击中的升级使用。建议安全团队关注此类AI驱动攻击手法并加强端点防护。

本文披露macOS本地提权漏洞CVE-2026-112445，源于2020年遗留的launchd配置，root权限bash读取普通用户终端输入，通过TIOCSTI注入命令实现提权。苹果在GoldenGate27.2中删除该配置修复，但未在安全公告中列出该编号。建议用户尽快升级系统，并审查LaunchDaemons配置及setuid二进制变化。

AiScan-N是一款国产AI全自动化渗透测试平台，具备对话与工作台、资产与风险、漏洞与交付、APK逆向与脱壳、流量与抓包、MCP与技能等功能，支持多种工具和技能包，适用于红队和蓝队安全测试。但存在一些安全问题，如提示注入面、中间人信任扩张等，需注意使用安全。

本文分享FastadminCMS渗透实战思路，从二级路径资产入手，识别官网CMS类型，利用旁站任意文件读取漏洞获取数据库权限，进而获取后台路径与管理员密码，最后通过两种手法GetShell，包括远程下载与编码分批写入Webshell，并强调操作注意事项。

本文为人民日报发布的一图速览二十届五中全会公报，以图文形式概要呈现全会核心内容与精神，便于读者快速了解全会主要决策部署与政策方向。内容简洁直观，属于官方政策解读类信息，具有较高权威性与参考价值。

网安市场周度监测Vol.333报道了国内外网络安全行业投融资、并购以及IPO事件、上市公司动态、行业政策导向、行业研究报告以及网络安全上市公司的二级市场表现。涵盖了AI安全、移动端EDR、零信任、威胁情报、工控安全等多个领域。

文章讲述开发者用ClaudeAI编写杀毒工具myav，成功检测出数据窃取器和摄像头间谍软件。工具采用五层检测架构，强调先隔离再处置原则。作者发现8项安全问题中仅1项在工具检测范围内，其余为配置问题。文章提供实用自查建议：检查摄像头麦克风授权、开机自启项、远程登录和管理员账户，并强调别关闭系统自带保护。

本文介绍开源工具bastion，可扫描家用路由器安全风险，发现运营商能明文看到用户访问的网站，因DNS查询未加密。工具检查12项安全项，如TR-069、UPnP、明文DNS等，并支持AI分析建议。作者用AIagent开发，零手写代码。工具仅提供诊断不自动修复，强调授权使用。

本文解析DSH插件市场npm包dsh-plugin-blender-3d遭供应链投毒事件：恶意版本0.2.1植入postinstall钩子下载S3载荷释放XMRig挖矿程序，同源包@walknpm/todo-cli携带字节级相同脚本，归因倾向于npm发布凭据泄露。处置为移除恶意版本并回退latest，建议用户排查受影响主机，维护者将install脚本检查固化为自动检查。该事件为针对dsh前缀npm包的持续投毒浪潮之一，暴露版本与名字不受约束的结构缺口。

发现SSO暴露资产下隐藏的登录接口，通过弱口令测试和接口参数构造成功接管管理员后台，并发现垂直越权漏洞。

文档作者自称因得罪特朗普被美国悬赏制裁，导致求职困难，发帖多次被删，情绪愤懑。文末附个人求职信息，称可做安全服务、渗透测试、iOS/Android开发，拒APT，不要求工资，欢迎正规公司联系。内容主观情绪化，缺乏事实依据，技术价值有限。

Jev是TypeSafe开发的决策模型，不做文本生成，仅输出概率判断，支持选择、是非、评分三类问题，响应快且成本低。其核心优势是输出结构化概率分布，避免LLM幻觉问题。典型应用包括GTM自动化、注册审核、内容监控及安全护栏等。Jev常与treg数据平台配合，形成数据获取到AI决策的自动化闭环。

本文介绍PrismML团队推出的TernaryBonsai227B模型，将Qwen3.8-27B从FP16的54GB压缩至5.95GB，压缩比近9倍，平均每权重仅1.72-1.76bit。核心技术为三值量化，配合旋转基底、FP16分组缩放及手写内核，官方称综合保留98.2%性能，数学代码几乎无损，但知识推理与视觉下降2-3分。RTX5090上解码速度约143token/s。建议用户注意私有运行时绑定、中文能力无官方数据及Agent场景需谨慎实测。

中国电信安全创优杯安全赛道复赛即将启幕，经海东青训练营训育赛一体化评审遴选，优胜战队已集结就位，复赛大幕将近。该活动旨在通过竞赛形式提升安全能力，展现战队实力，后续赛程值得关注。

本文档为Flask(Jinja2)服务端模板注入(SSTI)漏洞复现实验教程，详细介绍了漏洞原理、实验环境搭建及利用方法。通过构造恶意模板代码可实现命令执行，获取敏感信息。文档强调需在授权环境下测试，并提供了具体POC代码与操作步骤，对安全学习者具有实践指导价值。

本文介绍DirtyFrag临时Root利用工具，针对三星手机CVE-2026-43284及CVE-2026-43500漏洞，无需解锁Bootloader或刷写自定义内核即可动态加载内核模块获取临时Root权限。核心原理为滥用页缓存写入原语，通过splice()将只读文件页缓存固定到内核数据结构并原地写入以修改只读文件提权。文章详述双漏洞链技术细节及Android工程实现，并提供禁用相关内核模块的临时缓解措施。

大模型抹平信息差，知识创作与分享的意义受到质疑，但人类凭借判断力和独有数据优势，仍能在知识生产中发挥独特价值，人机协作的知识生产与分享仍具意义。