ZONE.CI 全球网

美国国土安全部发生大规模数据泄露，超4.1万名雇员及承包商信息遭曝光，涉及ICE、CBP等机构，包含卧底行动、监控技术及内部权限等敏感线索。数据由DDoSecrets公布，可关联分析美国执法体系组织架构。专家警告可能放大渗透风险，建议关注后续影响。

十万卡算力规模虽大，但高效协同才是关键。央视《对话》探讨算力供需、超智融合与软件生态，指出优质算力仍稀缺，需软硬协同。超智融合结合AI与高性能计算，已在农业、材料、钢铁等领域见效。国产算力需完善软件生态，科学智能体将辅助科研，最终比拼系统协同与解决实际问题的能力。

日本GMO旗下Onamae云桌面服务遭网络攻击，约2.6万台服务器被植入恶意软件，客户MT4/MT5交易凭证可能泄露。攻击者索要80亿日元赎金未遂，GMO关闭服务器并建议客户断网关机，与趋势科技合作开展恢复，将向受影响客户提供补偿。

文档为DX安全实验室发布的全国长期驻场岗位汇总，面向安全领域求职者。该实验室专注渗透测试技术及全球最新网络攻击技术研究。建议求职者关注其岗位更新，并提升渗透测试与红队相关技能以匹配需求。

2026年10月22日国家计算机病毒应急处理中心发布预警，Weaxor勒索病毒在我国境内持续活跃，主要针对企业数据库、OA办公系统等，加密文件后缀为.weax，并窃取Windows平台凭据。攻击通过弱口令和漏洞入侵，采用ECC、AES、ChaCha20三层加密，数据难以恢复。官方提出十条防范措施，包括网络边界管理、系统隔离、强密码、补丁更新、杀毒部署、备份演练、权限最小化、日志审计和全员培训。攻击呈现AI增强趋势，自动化水平提升。

安全厂商披露的Gheist攻击活动自2026年9月15日起被追踪，攻击者利用窃取的GitHub访问令牌在13500多个分支植入窃取密钥的Actions工作流，波及850多个账号。攻击链无需C2服务器，通过API下载日志并删除记录。GitHub的人工审批控制措施可拦截公开仓库攻击，但私有仓库与GHE需单独加固。建议令牌最小化轮换、扫描硬编码密钥、保留人工审批、清理泄露凭据并验证凭证风险暴露面。

本文介绍哪吒网络安全渗透测试工具,一款基于Rust的终端UI应用,集成DeepSeek大模型,支持实时对话、函数调用自动化工具编排及多智能体管理,面向红队演练与渗透测试人员,提供文件操作、对话记忆、代码审计、威胁情报等功能,并附下载方式与免责声明。

Google发布Gemini4Carbon模型，定位网络安全防御与长时程任务，在SEC-benchPro、ExploitGym、CWE-bench三项网络安全基准上领先ClaudeOpus5.5与GPT-6Astra。但数据均由厂商自行提供，可验证程度有限，且首批仅向部分网络安全防御方开放，面向开发者的开放时间未公布。

美国国土安全部超4.1万员工数据遭黑客组织DepartmentofPeace泄露，经DDoSecrets以Icepick档案公开，含姓名、职位、权限组等敏感信息，涉及卧底、窃听及AI工具使用情况。数据源自Okta系统入侵，已获媒体部分验证。建议相关机构立即排查Okta账户安全，评估暴露风险并加强身份管理。

该文档为江苏地区信息技术应用创新专业人员培训开班信息，涉及教育网络信息安全领域，发布于2026年10月29日，地点为北京。内容为培训通知，未包含具体技术细节或操作建议，属于教育培训类信息。

该通告披露WordPress的ViteposPOS插件存在SQL注入漏洞(CVE-2026-92766)，影响所有版本包括3.5.1及以下。未认证攻击者可通过src\\_by参数附加SQL查询提取敏感信息，危害评级高危，已在野利用。官方已发布修复补丁，建议用户立即升级至最新版本以规避风险。

Nacos客户端库存在路径穿越漏洞，可导致任意文件写入和目录删除，需满足特定条件，影响版本为3.2.4及更早。

中国移动东莞分公司以607.20万元中标2026年东莞市教育局网络安全服务项目，服务期350日。中标方技术分68.40、商务分20.00，综合95.48排名第一，价格分仅7.08，靠技术与商务优势胜出。项目面向中小企业采购，四家投标人一家因资格不符出局。分析指出运营商正从卖资源转向承接安全运维总包。

graphql-core存在max\\_tokens计数绕过漏洞，注释虽被跳过但仍创建Token对象并挂载链表，导致资源耗尽。10万条注释可绕过配额限制，影响3.2.3至3.2.11等版本，修复版本为3.2.12和3.3.0rc1。建议升级版本，设置解压后请求体独立上限，解析阶段单独设超时和内存预算，并监控注释占比。

本文提出智能合约访问控制成熟度模型，分四级应对私钥失陷风险。2024年黑客盗取资金中43.8%源于密钥失陷。从单EOA控制、中心化多签、时间锁与角色分离，到彻底不可变设计，逐级提升安全性。建议评估协议层级、引入时间锁并监控、按最小权限原则划分角色，从设计早期构建运营韧性。

该通告披露AmazonSageMakerPythonSDK存在信任管理漏洞CVE-2026-112408，影响V33.10.0之前及V22.257.3之前版本，攻击者可预创建S3存储桶实现代码执行并窃取IAM凭证，危害评级高危且已有在野利用。建议用户尽快升级至V33.10.0或V22.257.3及以上版本，并排查default\\_bucket函数调用情况。

WordPress插件Backuply存在SQL注入漏洞(CVE-2026-93953)，影响1.5.8及之前所有版本。攻击者可利用BiographicalInfo字段通过恢复操作触发二阶SQL注入，以完整数据库权限执行任意SQL，将默认用户角色改为管理员并启用注册，导致权限提升和站点接管。漏洞评级高危，已在野利用，官方已发布修复补丁，建议用户立即升级至最新版本。

WPConsent插件1.1.9及之前版本存在存储型XSS漏洞，编号CVE-2026-97640，经SimpleHTMLDOMParser噪声键恢复机制触发，攻击者可注入任意脚本，需启用ScriptBlocking且依赖两条协同评论。处置优先级高，官方已发布补丁，建议立即升级，临时方案包括关闭ScriptBlocking、WAF拦截特征串及移除调试参数。

2026年10月29日发布的数据泄露情报显示，美国多家企业（含NescoBusMaintenance、Emerge2Digital、PioneerConstruction、McKeeverVarga&Senko等）发生严重数据泄露事件，涉及数据量从12GB至168GB不等，包含员工个人信息、财务资料、合同协议等敏感数据。文档提供获取泄露数据的途径但需私信或打赏，存在引导获取泄露数据的不当行为，涉及数据安全与隐私保护风险。

今日安全资讯涵盖ARM64VMP自研思路、IoT固件审计Skill、Weax勒索软件预警及IOC、OrangeTsai纯逻辑链攻破Edge沙箱获17.5万美元奖金、LinuxRunner1.0.1免越狱跑ARM64Linux、LiveSimBooter真机跑iOS模拟器PoC等热点，并附多款工具版本更新，强调学习交流与合规边界。

GEEKCON2026聚焦AI时代安全变革，揭示AI重塑攻防效率，展示通信、金融、IoT、智能车等多领域漏洞利用实战，强调人类黑客在AI辅助下的新价值与责任。

卡巴斯基漏洞管理解决方案将漏洞修复从一次性检查转为受管闭环流程，覆盖资产清查、漏洞检测、配置评估、补丁管理及修复验证，通过统一控制台与卡巴斯基生态集成，帮助团队聚焦高风险漏洞、缩短修复周期并支持合规审计。文档指出44%攻击利用已知漏洞，关键漏洞平均修复周期40-55天，适合被漏洞处理困扰的团队评估。

本文介绍CentOS7无人值守安装配置方法，核心原理是通过应答文件ks.cfg预设安装向导的所有交互答案，实现全自动安装。分别详解BIOS和UEFI两种模式下的配置步骤，包括应答文件编写、自定义ISO制作、启动菜单修改及efiboot.img同步更新等关键操作，并提供具体配置示例，可操作性强。

CVE-2026-107377影响datamodel-code-generator0.59.0-0.80.0，源于weakimport路径穿越导致任意文件写入，CVSS7.5。根因是路径基准不一致，检查与写入位置不同，可覆盖构建关键文件。0.81.0通过resolve后校验路径包含关系修复。触发条件为处理不可信.proto，影响完整性，不直接导致RCE。

日本索尼网络通信公司披露数据泄露事件，超258万条客户记录遭未授权访问，涉及So-net会员及plala客户数据，含姓名、邮箱、用户ID等，另有54,401个邮箱及密码泄露，16条银行账户记录受影响。索尼已重置受影响账户密码，向日本个人信息保护委员会报告，并提醒用户警惕可疑通信。建议受影响客户通过官方渠道重置密码并防范钓鱼攻击。