ZONE.CI 全球网

安全研究员成功逆向苹果私有FindMyPeople协议，首次在Linux上无需苹果设备即可解密已共享的实时位置。研究剖析了GrandSlam认证、IDS令牌获取及特定证书签发机制，揭示了通过SubscribeAndFetch触发密钥分发，并利用ECDH与AES-GCM解密坐标的完整流程。此成果未发现新漏洞，但填补了苹果私有位置服务协议的技术空白，为构建自托管客户端提供关键参考。

AgentKitSandbox是火山引擎推出的云端安全隔离运行环境，旨在解决DeepSeekHarness在团队和企业生产中本地运行的稳定性、安全性和成本问题。它基于microVM提供独立执行环境，支持7x24小时持续运行和按需创建回收，成本低至每小时约0.9元。文档提供了5分钟快速部署的详细步骤，并指出其可无缝对接火山方舟CodingPlan，适合研发团队试用。

厦门大学吴荣鑫教授课题组论文ValScope荣获OSDI2026最佳论文奖，实现国内高校在该奖项零的突破。该研究针对数据库管理系统中的逻辑错误难以检测的问题，提出统一的SQL查询近似模型与自动化测试系统，将检测从集合语义拓展至值语义层面。团队在MySQL等六大主流数据库中发现67个未知逻辑错误并获大量确认，部分问题潜伏超十年，显著提升了数据库系统可靠性与数据处理正确性，具有重要的学术价值与工业应用意义。

中国信通院启动首批互联网智能体治理办公智能体能力评估以应对数据泄露等风险。豆包工作凭借任务自主拆解、多模态生成及飞书集成等能力成功通过该评估。该产品可执行文档处理等复杂任务，此次获评为政企选型提供可信标尺，推动智能办公兼顾效能与合规安全。

本文披露某金融集团直播平台严重未授权访问漏洞。无认证的getuserinfo接口直接返回用户虚拟资产与手机号，结合未授权的SearchUser接口分页遍历，可批量拉取约1191万用户资产数据。建议强制校验Token、剥离未授权响应敏感字段，对遍历接口强制登录与限频，杜绝默认信任调用方的隐患。

CipherBridge是一款面向APP/Web加解密逆向分析与渗透测试人员的可视化解密框架。其核心功能包括搭建代理链实现明文进Burp自动加解密、可视化拖拽配置加解密流程、AI自动化分析加解密链路、BypassHook功能以及Burp扩展联动。该工具支持AES、DES、SM4等常见算法，并提供插件编辑器与项目导入导出功能，旨在提升安全测试效率。建议安全测试人员可将其用于接口联调与渗透测试场景。

绿盟科技2026上半年营收8.13亿元同比增1.51%,归母净利润-1.29亿元同比减亏24.77%,经营现金流大增136.05%为亮点。AI安全签单在运营商和金融行业高增超300%,但政企项目验收延后导致签单收入转化不足,上半年亏损属行业季节性特征。公司聚焦AI安全、数据安全、实战攻防三大主线,全年业绩取决于下半年交付节奏。

360凭借图龙锋在Codex等AI产品中发现多项高危漏洞，入选工信部CAIVD最高级技术支撑单位。该工具采用安全大模型与智能体蜂群技术实现漏洞挖掘规模化，涵盖命令执行等风险。企业应重视AI产品权限管控与信任机制安全，引入自动化工具防范数据泄露与代码执行风险。

本日报显示攻击者正利用AI工具、合法软件和社交工程扩大攻击面，包括Weedhack恶意软件通过虚假Minecraft客户端传播、Keycloak严重密码重置漏洞(CVE-2026-18963)允许未认证账户接管、UAT-10147组织利用AI扩大服务器攻击等。建议及时更新补丁、加强AI工具治理并防范社交工程攻击。

逆向分析发现微软Paint和Photos本地AI生图并非完全离线，提示词需发送至微软审核并获取唯一GUID。该GUID通过InvisMark算法隐写入图片像素，同时绑定C2PA元数据实现双重溯源。Paint强制要求水印嵌入，可见水印开关对此隐形水印无效。此隐蔽机制涉及用户隐私且缺乏透明度披露。

DeepSeekHarness框架存在高危沙箱逃逸致远程代码执行漏洞。攻击者无需认证，通过提示词注入加载恶意插件，利用未守卫上下文获取子进程服务执行任意命令，绕过VM与进程隔离。影响v0.1等早期版本。建议立即升级最新版，排查异常日志，限制Agent访问权限并加强审计。

Keycloak26.0.0至26.7.1版本存在严重漏洞CVE-2026-18963，允许未认证攻击者绕过邮件验证环节，为任意已知用户名的账号重置密码，实现完全账号接管（ATO），CVSS评分9.1。根因是认证选择器状态未绑定执行与重置密码动作未校验令牌两处缺陷叠加。建议立即升级至26.7.2+或临时关闭忘记密码功能。

本文记录了对某学校报修系统进行授权渗透测试时发现的水平越权漏洞。攻击者通过枚举工单ID可查看其他用户报修详情，涉及姓名电话地址等敏感信息。测试使用两个账号交叉访问验证。建议服务端增加数据归属校验并使用UUID替代连续ID。强调合规测试与过程记录的重要性。

GhostDesk攻击链结合nativeWindowsloader与Chrome扩展间谍软件。用户从仿冒CCleaner网站下载恶意exe后，通过CScript启动多阶段脚本，替换runtimebroker.dll并修改ChromeSecurityExtension的manifest.json，注入content.js和background.js实现键盘记录、凭证窃取、剪贴板劫持及cookie窃取。攻击者使用DuckDNS域名作为C2，并利用本地WebSocketrelay。检测需关注跨层链路，包括文件监

GhostBits是2026年BlackHatAsia披露的Java生态系统性安全缺陷，利用Unicode字符到byte转换时静默丢弃高8位的机制，可绕过WAF/IDS实现路径穿越、SQL注入等攻击。传统WAF因架构性鸿沟无法检测此漏洞。建议使用开源Secrux-GhostBits-Scanner工具进行代码与依赖层扫描，并结合代码加固、输入验证等多层防御方案进行修复。

LightSpy已从APT工具演变为产品化监控平台SurveillanceasaService。研究通过SSL证书指纹将已知C2从1台扩展到117台服务器。平台支持70+插件覆盖iOS、Android、Windows、macOS、Linux和路由器。操作面板暴露多租户架构含demo和计费层级。通过面板中开发者遗留的炸鸡外卖订单完成部分归因。建议检查MikroTik路由器固件和计划脚本。

CVE-2026-21962是OracleFusionMiddleware中OracleHTTPServer和WeblogicServerProxyPlug-in的访问控制不当漏洞(CWE-284),CVSS评分10.0,影响12.2.1.4.0、14.1.1.0.0和14.1.2.0.0版本。未经验证攻击者可通过HTTP网络访问导致未授权数据操作,POC已公开。建议参考Oracle官方安全公告进行处置。

文章探讨了手机App是否在监听用户对话以实现精准推送。专家指出，技术上可行但成本极高，商业上不划算。精准推送主要源于大数据用户画像和跨应用数据关联，而非监听。文章建议用户从正规渠道下载App、删除Cookie、举报恶意App并管理手机权限以保护隐私。

红帽Keycloak存在高危密码重置漏洞CVE-2026-18963，CVSS评分9.1，允许未认证攻击者绕过邮件验证直接重置密码接管账户。影响keycloak-services组件，红帽已发布修复补丁，建议立即升级或临时关闭忘记密码功能。

奇安信CERT披露Keycloak高危漏洞CVE-2026-18963，CVSS评分9.1。该漏洞源于密码重置流程缺陷，攻击者可利用参数污染绕过邮箱验证，直接重置任意已知用户密码实现账户接管。全球受影响资产近39万个。建议尽快升级至安全版本，临时可采取禁用忘记密码功能、配置WAF拦截及启用多因素认证等措施。

本文详细介绍了VUE框架渗透测试的实用技巧，包括通过浏览器插件识别框架特征、利用工具获取接口和路由、挖掘Swagger等接口文档、以及强制开启VueDevtools调试模式以提取路由信息。文章提供了具体操作步骤和代码示例，强调手工测试的重要性。

本文系统阐述了企业AI应用安全落地的完整架构与实操路径。核心要点在于摒弃单一过滤或提示词依赖，将身份、数据、模型、检索与工具执行拆分至八个独立控制点，通过AI策略网关实施九阶段精细化请求管控。文章强调五类身份隔离与RAG七点权限控制，配套六道评测门禁和十类安全测试场景以固化发布质量。建议企业按90天路线图，优先建立四张台账与统一日志，逐步接入策略网关、工具代理与高价值告警，实现从防御到监控、事件响应的闭环安全运营体系。

本文记录了2026年山东省某市网络安全职业技能大赛CTF解题思路，涵盖逆向、密码与杂项。逆向题通过去除花指令并逆向MSVC伪随机算法求解；密码题利用已知前缀对重复密钥异或进行推导恢复明文；杂项题深入剖析WPA2-PSK四次握手中PMK、PTK与MIC的生成原理，并附带一套基于Scapy的通用WIFI握手爆破Python脚本，支持多版本加密，对流量分析实战具有较高参考价值。

该文档详细解析了2026年中国-东盟人工智能安全攻防大赛中两个赛题的漏洞利用过程。赛题一针对RAG系统，通过向知识库提交仅包含目标答案句的附录，成功实施检索劫持，使抽取式问答模型输出错误答案。赛题二针对AIAgent，利用记忆投毒和工具调用无鉴权的漏洞，通过两轮对话实现跨租户信息泄露。核心攻击手法包括检索劫持、记忆投毒和间接注入，强调了AI系统数据流中信任边界的重要性。

思维世纪AI数据安全合规检查工具箱入选中国《AI+网信安全典型案例集》，该产品以AI大模型加知识库增强加本地规则兜底为核心，覆盖数据全生命周期合规核查，提供智能工具矩阵与多层权限控制，旨在解决法规标准多、人工效率低等痛点，推动数据安全合规从经验驱动转向智能驱动。