ZONE.CI 全球网

本文详细记录了Bread域渗透靶机的完整攻击流程，从信息收集发现WeGIA管理平台，利用任意文件上传漏洞结合phar://协议实现RCE，获取Webshell后读取用户flag。通过分析系统配置获得数据库凭证，SSH登录后利用Python**pycache**注入攻击提权至root，最终获取rootflag。该过程展示了从Web漏洞到系统提权的典型渗透思路，对安全测试具有参考价值。

UAC-0099威胁集群利用Notepad++插件加载恶意DLL进行攻击，感染链始于钓鱼邮件，通过VBS脚本部署LUNCHPOKE、BURNYBEAR和MATCHBOIL.V2等工具，利用计划任务维持持久性。建议更新Notepad++、WinRAR等软件，加强钓鱼邮件监控和异常进程检测。

一名威胁行为者声称拥有包含约1.6亿条记录的迪卡龙客户数据库并在网络犯罪论坛出售，数据包括个人身份信息和账户详情，但事件尚未得到独立核实。客户应更改密码、启用多因素认证并警惕钓鱼活动，以降低凭证填充和身份欺诈风险。

微软已修复Windows11及Server2025中代理文件系统驱动的高危漏洞CVE-2026-50458。该漏洞源于并发操作引发的Use-After-Free内存破坏问题，CVSS评分7.8。攻击者需具备本地低权限，可通过特制IOCTL请求绕过沙盒隔离机制，将权限提升至SYSTEM级别，导致系统完全被控。目前尚无在野利用记录。建议安全团队立即核查受影响系统的构建版本号，紧急部署2026年7月累积更新KB5101650；若暂无法补丁，应限制低权限账户本地登录并收紧应用控制策略以降低风险。

Vercel修复了Next.js框架中的九项安全漏洞，包括高危SSRF、中间件认证绕过、拒绝服务攻击及敏感数据泄露等风险。漏洞影响多个版本，建议立即升级至15.5.21或16.2.11版本，并审计重写规则、自定义服务器配置及缓存组件使用情况。

CERT/CC于2026年7月23日披露Logto身份认证平台存在六个漏洞，允许攻击者通过未验证邮箱劫持账户、绕过MFA及重放SAML断言。厂商SilverhandInc.未响应协调，目前无补丁。建议管理员避免本地账户与联合登录使用相同邮箱、停止使用socialSAML连接器、在上游IdP强制启用MFA并监控日志。

KnotResolver的DNS-over-QUIC模块存在无需认证的堆越界写入RCE漏洞。攻击者利用大小追踪错误覆写TLS对象函数指针实现代码执行，进而伪造下游DNS应答。目前PoC已公开。建议立即升级至6.4.1版本，或禁用DoQ、限制端口访问并监控进程崩溃，DoT与DoH不受影响。

安全公司any.run联合BCALtd、Northscan假扮招聘方，诱捕朝鲜Lazarus组织旗下FamousChollima的三名黑客入职虚拟DeFi公司。通过沙盒云桌面全程监控黑客操作，暴露其工具链、私人邮箱及攻击手法。黑客使用AI生成假证件、ChatGPT应付面试，目标为钱包私钥和企业内网。建议企业加强远程招聘活体核验、证件EXIF检查、限制非授权远控软件，并实施最低权限原则。

本文科普了五种后量子密码(PQC)算法:ML-KEM(密钥封装)、ML-DSA(数字签名)、SLH-DSA(无状态哈希签名)、FALCON(格基签名)及中国设计的Aigis-enc。这些算法由NIST标准化或正在标准化中,旨在抵抗量子计算机攻击,是未来密码学迁移的关键技术。建议关注其标准化进展并提前规划系统迁移。

该漏洞为WindowsSMBv3内核级远程代码执行漏洞(CVE-2026-57089)，无需认证即可利用，影响广泛，具备蠕虫级传播潜力。建议立即安装补丁或采取封禁445端口等缓解措施。

伯明翰大学研究发现恶意SIM卡可通过标准AT命令中的RUNAT功能控制物联网设备,26台设备中9台受影响,涉及充电桩、工业路由器等。攻击利用蜂窝模块标准接口,厂商默认开启该功能导致风险扩大。建议立即盘点资产、向供应商确认补丁状态、加强物理防护。

乌克兰CERT-UA预警APT44通过虚假招聘对IT人员发起定向攻击。攻击者伪造企业账号进行仿真面试，诱导受害者下载基于WireGuard改造的恶意VPN客户端。该后门利用自定义Base64编码与AES加密隐藏载荷，在权限降级前执行恶意代码实现跨平台持久化。建议求职者严格核验企业资质，拒装不明VPN，企业需加强终端入网管控。

DeepSeekV4-Pro与V4-Flash于2026年8月17日起调价，引入峰谷分时计费机制。高峰时段输出价格涨幅达350%，缓存命中价格涨幅最高达1100%。建议用户利用空闲时段（价格50%）调用以控制成本。尽管大幅涨价，其高峰价格仍低于海外竞品ClaudeFable5约57倍，具备成本竞争力。

本文揭露美西方对华认知战中的公关雇佣军西区战略团队WEST,其核心团队由前情报特工与政客组成,通过索罗斯政治黑金运作,实施双轨战略:一方面武器化人权议题炮制反华叙事,另一方面为经济绞杀战提供理论掩护,并拆解其认知战战术如创伤知情与验证者培育,揭示其作为霸权主义政治打手的真实面目。

本文介绍了两个渗透测试常用技能:CK-Skills是一套面向SRC漏洞挖掘的Agent提示词工程与技能知识体系,通过四层架构让通用Agent在垂直安全领域达到专家级表现;JS逆向分析Skill则围绕camoufox-reverseMCP构建工作流,覆盖JS混淆还原、Cookie归因分析、反爬决策等场景。两个工具均提供GitHub链接供用户安装使用。

CyberStrikeAI项目9个月获5.8kStars和1200+部署，新版对话页从会话中心升级为项目化安全作业台，支持先选项目再开任务、任务清单进度跟踪、模型切换、人工审批等关键变化，旨在支撑真实部署中的持续安全作业与协作审计。

DeepSeekAI开源智能体框架DeepSeekHarness，核心理念为一切皆插件，基于Cordis系统实现高可组合性与扩展性。框架具备全程可追溯日志，支持Standard、Code、Minimal与Creator四种模式及开箱即用的WebUI，可通过npx命令快速启动。项目处于预览阶段，采用MIT协议。本文为技术资讯转载并含安全社区推广。

DeepTutor是港大开源的终身个性化辅导系统，核心创新为三层记忆体系，能记住用户学习进度。它提供知识中心、引导式学习、多AI代理支持、活书编译器和题库系统。开源免费，可部署使用，旨在解决教育个性化不足问题。

盛邦安全漏洞扫描评估系统凭借10万+资产指纹库与66万+漏洞特征库，在香港特区政务场景中从多家国际厂商中脱颖而出。产品具备复杂异构资产透视、AI智能降噪、0day快速应急等能力，已落地香港政务安全检测与风险管理体系。该案例验证了其技术实力，并为其拓展国际市场提供了权威背书。

本文深入分析SkidMapRootkit挖矿窃密活动，揭示其通过Redis未授权漏洞入侵，利用mldconfig和review核心样本释放多种恶意组件，包括替换系统命令、劫持PAM认证、加载Rootkit实现持久化，并窃取SSH密码进行挖矿。攻击链涉及20多个样本，具备高度隐蔽性和清除难度。建议加强Redis安全配置并监控异常系统行为。

CVE-2026-55040是MicrosoftSharePointJWT令牌验证链中的认证绕过漏洞，由四个校验缺陷组合导致：外层令牌未强制签名、内层令牌仅解析证书指纹未验证签名、未注册证书路径被接受、签名仅检查非空。远程未认证攻击者可利用此链冒充用户或管理员，导致文件披露和数据修改。公开PoC后风险迅速升级，管理员应立即安装2026年7月安全更新、缩小互联网暴露面并审计异常身份操作。

美国白宫发布总统备忘录，授权国土安全部建立新项目，允许私营企业在政府监督下对境外网络犯罪组织实施进攻性网络行动。项目由司法部和国土安全部双重监督，企业需通过背景审查并缴纳100万美元保证金。行动禁止造成人员伤亡或武装冲突，误伤美国系统需立即上报。该政策旨在利用私营企业技术能力打击跨国网络犯罪。

本文披露名为NullReceiver的npm供应链攻击。攻击者通过仿冒前端UI包，在运行时查询以太坊钱包的零金额空转账，将收款地址解码为C2的IP。该方法无需智能合约，以收款地址作一次性编码容器，极难指纹识别。建议审查依赖锁文件，监控Node进程异常访问以太坊RPC行为，失陷后须隔离主机并轮换凭据重建环境。

本文为辽宁省教育系统网络安全保障专业人员ECSP-G培训的开班通知，旨在提升教育行业网络安全人员的专业技能。由于缺乏具体培训内容、时间安排和报名方式等实质细节，信息价值有限，仅能作为一项培训活动的预告。

该通知由中国计算机行业协会网络和数据安全专业委员会发布，旨在举办人工智能安全工程师（高级）培训班。培训目的是提升AI安全技能，涵盖机器学习、模型安全、大模型安全等。培训对象为相关从业人员及学生，报名需满足学历或工作经验条件。费用为9900元，考核合格后颁发双证书。可操作建议是联系指定方式报名。