ZONE.CI 全球网

SignalRingRTC2.72.0以前存在通话终止异常漏洞CVE-2026-113380，CVSS4.0评分9.3，对端可塞满事件队列致挂断后媒体资源未及时释放。文章区分界面、状态机与媒体资源三层，建议普通用户更新客户端并观察挂断后采集标记，开发者需核查RingRTC版本并做资源级测试。目前无公开利用证据。

本文介绍PHP2SHELL漏洞（CVE-2026-109618和CVE-2026-109619）的自查方法。该漏洞是PHP引擎的释放后使用漏洞，影响PHP5.4至最新版，攻击者无需认证即可远程代码执行。文章提供3条自查命令：检查PHP版本及运行模式、确认session.upload\\_progress配置、翻日志找攻击痕迹。若中招需按隔离、取证、修复三步应急处理。建议及时升级并纳入日常巡检。

山石网科发布统一AI网关企业级Token运营平台，旨在解决企业AI应用中的费用管理与安全治理难题。产品围绕成本可算、权限可控、风险可防、全程可溯四大核心能力，提供用量分析、权限管理、内容安全及审计追溯等功能，并规划了分阶段部署路径与多版本规格，帮助企业实现AI投入的价值可见与安全运营。

Samba文件服务器安全（5）
原创
寰宇秘阁

寰宇秘阁
寰宇密阁
2026年10月23日 14:00

安徽
去阅读
正文需兑换合集后才可阅读

复旦大学与上海创智学院提出MATE系统，将自然语言安全规则作为显式条件，与任务指令和Agent执行轨迹共同输入审计模型，实现可解释的违规判断。MATE-3B在MATEBench上达到95%以上审计准确率，较现有方法平均提升约20%。该系统通过可编辑规则解耦安全定义，支持跨App泛化，为智能体安全审计提供了可复用的基础设施方案。

本文详细分析了某OA系统的License授权验证机制，包括MAC地址获取、MD5处理、License文件结构及RSA验签流程。通过代码审计揭示了授权验证的完整逻辑，包括公钥验证、参数解析和有效期检查等关键环节。文章提供了具体的代码分析和逆向思路，对安全研究人员理解类似授权机制具有参考价值。

本文为网络安全攻防实验室帮会的推广软文，宣传其帮会优势包括10000+原创实战干货、100T网盘资源库、千人精英社群、考证低价返利、大厂内推、兼职增收等权益，目前终身会员仅119元并附20元优惠券，属于典型的付费社群推广内容。

今日安全威胁速递涵盖多个高危事件：PHP曝两个可致未认证远程代码执行的高危漏洞致欧洲多政府网站下线；卡普空CAPCOMID遭入侵致超1170万账户信息泄露；CVE-2026-97785等三个Azure相关漏洞严重程度达10.0。国际刑警组织行动逮捕1462人，世界经济论坛报告揭示地缘政治网络攻击风险。建议优先修复高危漏洞并排查泄露风险。

本文复现CVE-2026-109618/109619（php2shell）漏洞，影响PHP5.4至8.5全系列，触发面宽但稳定RCE条件苛刻。漏洞本质为OOM长跳转绕过清理导致跨请求UAF，需两个请求配合利用。作者在64位环境复现成功，32位环境结构性不成立。文章强调需区分PoC边界与漏洞边界，并指出关闭upload\\_progress仅能挡住四条路径之一。

KCon2026黑客大会将于11月1日在北京举行，以AI攻防为核心主题，超六成议题围绕AI/Agent/大模型展开，覆盖推理层到供应链完整攻击面。讲者多为学术会议常客，议题强调真实环境验证与可下载工具。文章公布六个议题亮点，涵盖AIAgent隔离、黑盒AI服务验证、按需反编译、MCP生态安全、AI应用运行时攻防及状态转换Fuzzing等方向，并开放购票通道。

10月22日全球勒索软件攻击事件30起，专业服务与法律机构占比三成，德国企业数据泄露，攻击团伙活动频繁，攻击手法多样化，专业服务成为主要目标，攻击者利用漏洞和凭证暴露，建议加强防护措施。

山石网科发布统一AI网关企业级Token运营平台，旨在解决企业AI应用中的成本管理与安全治理问题。产品围绕成本可算、权限可控、风险可防、全程可溯四大能力，提供费用管理、权限控制、内容安全、审计追溯等功能，并支持分阶段部署。建议企业结合自身需求选择版本，并围绕省钱、提效、决策、审计和追责五项结果验证投入价值。

AI正重新定义程序员价值，代码编写门槛降低但复杂问题解决能力更珍贵。程序员应转向系统架构、复杂排查、业务理解、AI协作及产品商业能力。建议资深C++程序员深耕系统编程与网络通信，同时发展独立产品。提出三年转型策略：首年建立AI开发体系，次年形成产品，第三年建立选择权，避免中年被动。

Anthropic与Theorem合作让Claude为123个真实开源库生成汇编级形式化证明，共约1.8亿行Rocq代码，由证明检查器验收。文章详述从fuzzharness到数学规格、二进制语义建模、三定理结构及证明构造的完整流水线，以zstd为例展示真实证明链路。该工作首次大规模用AI验证生产软件，显著降低形式化验证成本。

第十届‘强网杯’全国网络安全挑战赛报名正在进行，比赛将于2026年10月23日举行。

北京市公开征集2026年度AI赋能网络安全防御领域储备课题，聚焦基于AI的网络安全防御技术及产品研发与高仿真对抗测试验证平台建设两大方向。企业可牵头申报方向一，高校和科研院所可申报方向二。申报需通过指定平台于2026年10月29日18时前提交，企业配套经费比例不低于2:1。

2026年10月21日CNVD公告PHP核心层两枚高危RCE漏洞（CVE-2026-109618、CVE-2026-109619），影响WordPress、Laravel等主流框架，POC已公开，攻击门槛低。建议升级至PHP8.5.12等修复版本，暂无法升级需落实FPM内存限制、WAF拦截等缓解措施，收缩公网暴露面。

Meta因剑桥分析公司滥用8700万用户数据事件，被新墨西哥州法院裁定误导用户，罚款250亿美元。陪审团认定其26份声明存在误导性，法官将罚金从2195亿减至250亿。Meta表示将上诉。此案警示科技企业须重视数据隐私合规，否则将面临重大财务后果。

印度最大银行SBI于2026年10月21日遭网络攻击，约37.5万条记录泄露至暗网，确认近4000条含客户个人信息，包括姓名、手机号、出生日期、邮箱及住址等。事件凸显印度银行业网络安全风险，专家建议金融机构强化安全运营中心，央行警示网络风险威胁金融稳定。银行已启动调查，称不影响核心业务。

本文分享了人脸识别系统漏洞测试与绕过案例，包括AI面试小程序手机号随意绑定、照片处理绕过识别、手机录屏绕过人脸验证及抓包篡改请求数据绕过接口校验等三类漏洞。建议企业加强人脸识别服务端校验、限制链接来源并验证用户真实操作过程。文章声明内容仅用于技术讨论，渗透测试需获授权。

PHP官方于2026年10月21日披露两个严重级远程代码执行漏洞CVE-2026-109618与CVE-2026-109619，统称php2shell，未经身份验证的远程攻击者可利用内存破坏与释放后使用实现远程代码执行。影响PHP8.2至8.5多个版本，建议立即升级至安全版本并重启全部PHP工作进程，同时可采取临时缓解措施并加强监测。

澳大利亚首次公开幽灵鲨无人潜航器三种任务载荷方案，包括水雷布设、后勤补给舱投放及发射ALTIUS系列无人机。该装备采用模块化架构，单次可布设12枚水雷，具备隐蔽布雷、预置补给及无人机协同作战能力。澳政府已投入17亿澳元采购，未来十年计划投入58亿澳元发展自主水下作战能力，反映澳海军无人水下作战从平台研发转向任务能力拓展。

滴滴安全应急响应中心发布2026年第三季度奖励发放公告，公布个人及团队季度奖励名单，奖励通过官网消息发送。D-Grade奖励含首次达标实物奖励、漏洞基础积分额外最高0.5倍奖励、等级定制周边及生日礼等，兑换截止时间为2026年11月15日，需在积分商城兑换。

文档汇总2026年10月22日多条科技新闻，包括DeepSeek完成约1000亿元融资、Anthropic冲刺史上最大规模IPO、特斯拉三季度净利润大跌43%、微信适配iPhoneDuo、宇树科技预判物理AIGPT时刻临近、比尔盖茨警告AI二十年颠覆性变革、1Password推出AIAgent登录方案、日本钓鱼邮件事件等，内容涵盖AI行业动态、科技公司财报、产品发布与安全事件。

中国人民银行河北省分行于2026年10月22日公布行政处罚信息，河北灵寿农商行与赞皇县农信社因违反账户管理、数据安全管理、人民币反假等多项规定被罚，罚款金额分别为150.19万元和139.8万元，相关责任人因违反数据安全管理规定被罚款。此事件凸显金融机构数据安全合规的重要性，建议加强内部数据安全管理体系建设。