ZONE.CI 全球网

爱快iKuai路由器遭大规模DNS篡改攻击，恶意IP实现劫持且具备持久化与定时断网特征，日志无异常。官方已发修复版但未披露根因。受影响者多为酒店及校园等管理面暴露公网场景。建议立即收敛公网管理面，升级后观察DNS是否复现，若仍被篡改须格式化重装，重置凭据并先取证。

Zoom全平台客户端曝出高危漏洞，攻击者利用屏幕共享批注功能即可无警告远程接管设备。AI仅用24小时便完成漏洞利用开发，极大降低攻击门槛，致数亿用户面临数据泄露风险。建议立即升级Zoom及macOS系统，敏感场景慎用批注工具并监控异常进程。

本文汇总近期多起重大安全事件，涵盖美国枪械制造商数据外泄、雅诗兰黛等因漏洞与社工致信息泄露、MOVEit零日漏洞波及全球两千余家组织。同时揭露了硬件钱包木马、首例安卓车载恶意僵尸网络，及AI模型加密上下文注入攻击，建议企业强化供应链漏洞修补与终端防护。

iOS27Beta7更新带来显著流畅度提升和细节优化，Siri响应更快且能理解屏幕内容，动画丝滑，老机型性能改善。续航与发热控制优于前版，但国行AI功能仍未上线。建议测试版用户升级，普通用户等待正式版。

本文分享了针对某大学网站的渗透测试过程，通过hunter语法搜索注册页面进行信息搜集，利用目录扫描发现未授权访问漏洞，导致班主任管理后台及资金流水等敏感信息泄露。文章还提及使用wpscan工具扫描WordPress框架，并强调所有渗透需获授权，切勿违法。

2026年8月15-16日，CCF网络与系统安全专委会在南开大学举办研讨会，聚焦AI及智能体赋能安全研究。与会学者围绕智能体安全防护、开源供应链风险、AI推理系统安全、车联网越权漏洞等议题分享成果。提出为AIAgent重建安全边界、AgentGuard轻量级访问控制框架、开源数据基座可信重构等方案。强调传统安全边界消解，需重构人才培养模式。会议为网络安全前沿研究提供交流平台。

奇安信披露DeepSeekHarness极危漏洞QVD202657410，CVSS评分9.8，因Host头校验缺陷可致未授权RCE。攻击者无需APIKey即可执行任意命令。建议立即隔离管理API公网暴露面、配置严格Host头校验并升级版本。该事件警示AI平台需强化独立认证与零信任架构。

2026年8月北京警方查处一起涉汛谣言案。朱某某为博流量将旧视频拼接谎称台风致门头沟山洪暴发。该视频浏览量超3万次造成社会恐慌。警方依法对朱某某处以行政拘留。提醒网民不传谣不信谣核实信息真实性。

第二届大学生人工智能安全竞赛决赛将于8月28日至30日在上海交通大学闵行校区举办。本次赛事吸引全国91所高校近千名选手参与，分为作品赛与对抗赛两大赛道。决赛要求全程线下进行，作品赛采取盲审机制，答辩包含7分钟陈述、5分钟演示与3分钟问答，严禁透露学校及指导教师信息，违者取消成绩。该赛事紧扣国家关键行业安全需求，旨在推动AI安全人才培养。

该文档是隐雾安全推出的移动安全漏洞挖掘课程推广，核心观点是移动安全是未来趋势，Web安全从业者应扩展APP测试能力。课程涵盖APK分析、抓包、逆向、Frida动态分析、客户端漏洞挖掘及AI辅助工具使用，强调真实案例与实战。适合想扩展攻击面或提升实战能力的安全从业者与学生。

2026年8月24日安全文章合集涵盖多项技术分析:苹果FindMy协议逆向实现Linux伪装窃取位置数据;ApacheCommonsCollections反序列化漏洞调用链解析;ChainDropnpm蠕虫利用区块链C2与内存窃密;俄系APT组织TA488利用零日漏洞发动半点击攻击;以及LLM六层防御体系搭建、WordPress和GitLab漏洞预警等。建议关注相关补丁与防御措施。

AIAgent的安全核心不仅在模型本身，更在于连接模型与现实世界的执行层Harness。通过三大真实案例揭示风险：信任边界失效导致顶级AI厂商被攻破、仅更换Harness即可使攻击成功率从1%飙升至24%、恶意Skill实现供应链持久化感染。建议企业建立Agent动态资产清单、实施最小权限原则、将所有Agent输入视为不可信内容、对完整Agent系统进行红队测试并严格审查默认配置以应对此新兴攻击面。

AI与非人类身份的快速增长带来了提示注入、身份欺诈及传统IAM机制失效等新挑战。为此安全牛启动AI时代多元身份治理与数字信任体系研究，聚焦NHI与AI智能体身份治理及可信身份数据中台建设。该报告旨在梳理身份治理新范式，输出参考架构与合规基线，并通过行业案例弥合理论与实践鸿沟。现诚邀IAM、特权访问管理及零信任等赛道的身份安全厂商参与调研共创，共同推动数字信任产业发展。

本文预告了山石网科关于网络安全产业中芯片使命的直播活动，强调自主可控技术的重要性，并邀请观众参与讨论。

本文为山石网科发布的线上圆桌派活动预告。活动定于2026年8月25日下午举行，主题聚焦网络安全产业三十年发展历程，探讨网安领域的核心技术使命及山石网科的企业担当。由于仅为活动引流宣传，缺乏实质性技术内容与可操作的安全建议，整体信息密度较低。

CVE-2026-74480是Linux内核桥接模块中严重的释放后使用漏洞，CVSS评分达9.8。攻击者可利用组播快速离开路径中的悬空指针实现本地权限提升至root。该漏洞影响自2017年以来的多版本内核分支且已有公开提权代码，建议尽快升级至已修复的内核版本，并参考公开PoC构建检测规则以排查系统暴露风险。

Bybit就15亿美元加密失窃案在美国起诉朝鲜Lazarus团伙及侦察总局,目前仅追回约7890万美元,超90%资金已通过混币、跨链、场外OTC洗白消失。文章详细拆解了Lazarus通过招聘社工钓鱼、供应链投毒、多签前端篡改的入侵流程及多层洗钱手法,并提供了交易所、开发者、普通用户的分维度防御方案和中招应急处置流程。

DeepSeekHarness(dsh0.1.0-rc.7)Web控制平面存在未授权远程代码执行漏洞。攻击者通过伪造Host头可绕过信任校验，利用settings.mutate注册恶意LLM提供方并提权至danger-full-access，最终通过session.prompt诱导模型执行bash命令，实现root权限任意命令执行。根因是信任墙仅校验Host头不校验连接来源。建议立即升级dsh、移除0.0.0.0绑定或前置真实认证网关。

OWASP发布智能体技能十大安全风险白皮书，指出AI技能混合自然语言与代码并具备真实权限，已成需独立治理的供应链对象。风险涵盖恶意技能、权限越界及更新漂移。企业应建五道底线：构建统一目录与内部准入，实施Skill级最小权限与隔离，将更新视为重审，具备快速撤销能力，将其纳入常规代码治理流程。

本文详细分析了JDBC反序列化在实战中的利用场景与攻击链。核心前置条件是攻击者能控制JDBCURL，常见入口包括fastjsonautoType、配置注入及框架参数透传。攻击分为两段：第一段通过驱动反序列化投递payload，第二段依赖gadget链实现RCE。文章具体介绍了MySQL和PostgreSQL驱动的利用方法，包括版本差异、参数配置及触发逻辑，并提供了测试代码示例。

Forescout团队在BlackHatUSA2026披露TP-LinkOmadaZTP信任链的13个CVE，涉及硬编码密钥、弱凭据、证书复用、客户端劫持、存储型XSS和CORS绕过。攻击者可冒充控制器或客户端，获取全网配置。建议用户启用MFA、更换默认密码、及时更新固件。

邬贺铨院士在第五届互联网基础资源高质量发展会议上指出，智能体时代IPv6价值凸显，传统DNS需升级为能力发现基础设施，并探索SRv6、APN6等技术以开发基础资源潜力。他强调中国应抓住机遇，参与并引领互联网底层技术创新，构建公平合理的全球资源分配生态。

工信部通报26款APP及SDK违规收集个人信息，问题集中在超范围收集、过度索权、后台自启动及SDK合规漏洞。监管已转向常态化抽检，企业需建立全周期合规思维，落实最小必要原则与按需动态申请权限，将第三方组件纳入统一审查并开展常态化自查，以规避下架风险。

国务院总理李强8月21日主持召开国务院常务会议，听取新一代通信网建设情况汇报，强调应用牵引、适度超前，统筹推进基础网络、空间网络、国际网络、融合网络建设，普及智能终端，培育智慧城市等高价值场景，并加强关键网络基础设施和数据安全保护。会议还部署了清理拖欠企业账款、改善空气质量、审议通过电力安全事故应急处置条例和市场监督管理所条例等工作。

北京磐石安科技有限公司发布文章祝贺其客户顺利通过CCRC三个方向认证，文章包含商务合作信息及免责声明，属于企业宣传软文，无具体技术细节或可操作建议。