ZONE.CI 全球网

PlexMediaServer被曝出未授权RCE漏洞链plex2shell，由四个CVE串联组成，CVSS评分9.8，无需登录凭据即可利用。攻击者已于10月17日起在野利用该链投放挖矿木马和住宅代理，CISA已将其列入KEV目录。建议用户立即升级至1.43.3.10861或更高版本，关闭32400端口转发，并使用官方提供的YARA规则和只读排查脚本检查入侵指标。

ARTEXAI渗透测试控制台存在未认证管理员接管漏洞，影响v0.1.0至v0.3.14版本。攻击者通过高并发请求耗尽PostgreSQL连接池，利用authInit接口忽略数据库错误实现fail-open，覆盖管理员密码获取JWT，进而通过MCPstdio传输执行任意命令获得root权限。建议升级至v0.3.15，限制管理端口访问并加强MCP安全配置。

本文汇总2026年10月21日网络安全领域多项动态，包括CNVD漏洞周报显示高危漏洞占比高，CCTGA启动银狐木马专项打击行动，美CISA等发布失控AI智能体处置清单，以及医疗数据泄露成本高企、智能眼镜隐私漏洞、OpenAI内部窃听事件等安全事件，并涉及WordPress目录影子攻击等新型威胁，为安全从业者提供威胁情报与防护建议。

本文介绍开源渗透测试工具EvilWAF，通过透明代理模式在传输层轮换TCP配置与伪造TLS指纹绕过WAF行为检测，支持auto-hunt发现源站IP直连绕过防护，也可作为独立WAF扫描器检测十层防御配置弱点。文章强调现代WAF已进化到行为分析阶段，传统载荷混淆失效，需关注传输层绕过思路，并指出Cloudflare等先进WAF仍难被有效突破。

本文档介绍DeepSeekHarness渗透测试模式插件dsh-pentest，提供安装方式、架构设计、工具集与Web界面。核心功能包括探索链路、漏洞、资产视图及报告生成，强调授权测试原则，记录按会话作用域，支持sqlite后端存储。建议用户通过dshpluginadd安装，并遵循授权要求使用。

公安网安部门查处一起网络造谣事件。网民王某某为引流招揽代抢票业务，编造艺人演唱会高价门票谣言并发布至朋友圈，引发热议并扰乱公共秩序，被依法行政拘留七日并罚款一千元。该案例警示网络空间非法外之地，编造不实信息博取关注、谋取私利将触碰法律红线，网民应自觉遵守法律法规，共同维护清朗网络空间。

本文介绍开源自动化回归测试工具iTest，针对录制脚本易碎、意图驱动不稳定及AICoding后回归盲跑三大痛点，提出意图驱动与机械指令双引擎、用例随版本自愈、按影响面自动筛选用例的解决方案，并落地为工具，为团队提供可操作的回归测试优化思路。

PaloAltoNetworks披露CVE-2026-0257漏洞，Qilin与INC勒索团伙正利用其绕过MFA建立未授权VPN会话。攻击者可能无需密码即可入侵，并进一步攻击vCenter和ESXi虚拟化平台提取凭据。建议管理员按版本、配置和日志三线排查，冻结可疑会话、轮换Cookie、升级补丁，并将虚拟化层和备份系统纳入调查范围。

本文介绍一个人的SOC系列第09篇，核心是LLM作为安全运营副手的10个AI场景，覆盖查资产、风险摘要、对账解读、合规基线、AI报告、影响分析、行为画像、本体抽取及通用分析等读写工作。文章详述模型界面配置与场景路由，支持多模型切换与本地部署，并内置QPS限流、单日上限、熔断器三层护栏防预算失控。强调LLM只做读写，主干业务规则计算不经过LLM，架构上防幻觉。

本文通过6个真实案例展示AI智能体在SOC中的落地应用，涵盖调查报告自动生成、威胁狩猎、检测规则优化、漏洞管理、例外治理及跨平台监测等场景。文章提出建设AgenticSOC需遵循安全内生设计、数据基础、知识沉淀和统一编排四项原则，并给出从具体问题出发、沉淀知识、受控扩权、持续验证等渐进式实施路径，强调智能体与安全专家协作而非替代。

PHP团队将于2026年10月21日发布安全更新，修复两个CVSSv4.0评分9.2的严重远程代码执行漏洞，关联CVE-2026-109618和CVE-2026-109619。PHP2Shell演示视频已流出，覆盖WordPress、Magento、Drupal等9款主流应用。约150万台暴露主机中59%运行已EOL的PHP8.1或更早分支。建议立即盘点PHP资产，更新发布后数小时内完成修补，并重启所有相关进程。

本文为隐雾安全培训课程软文，宣称利用AI辅助SRC漏洞挖掘可半年赚数十万，推广其10人小班实战带挖课程，售价3600元，包含AI自动化挖洞技能、内部项目回本计划等，并附报名优惠与联系方式。

本文介绍瞭望塔Watchtower开源免费AI渗透平台，支持双端组网协作、情报联动、资产自动化收集、AI渗透、Web/APP/小程序渗透、扩展生态等功能，旨在提升安全测试效率与团队协作能力。文章详细描述了平台各功能模块，属于产品推荐文章。

本文解读风险投资底层逻辑，指出其非简单投钱赌博，而是制度、人才网络与商业方法论的结合。核心观点包括限时有限合伙制解决激励问题，幂律法则决定少数全垒打项目贡献主要回报，硅谷积极行动主义投资与分阶段融资方法论，以及人才信息网络的关键作用。同时指出行业缺陷及国内本土化挑战，强调耐心资本与创新生态建设。

本文为谷安双11网络安全认证培训优惠活动推广软文，介绍CCSP、CISP、CISSP、OSCP等主流认证课程直降优惠、前200名返现、组合购课及老学员专享等促销政策，建议有考证计划者抓住年度低价窗口期报名。

OVHcloudCLI五个旧版本发布资产在93分钟内被替换为恶意二进制，可窃取云凭据与开发工具数据。攻击者通过被入侵的开发者账号直接替换GitHub发布资产，版本号未变但文件哈希不同。建议通过固定SHA-256校验、检查goversion-m构建信息、隔离受影响主机并轮换凭据，从v0.16.0重新安装。

CNCERT报告披露境外自治域AS402425发布虚假路由并篡改DNS解析，导致中国多省用户访问正常网站时跳转至博彩站。攻击者通过两种方式实施篡改：直接替换域名解析地址或将用户重定向至恶意DNS服务器。建议用户通过切换网络环境、核对本地与可信公共DNS解析结果区分终端异常与链路攻击；若发现路由器被篡改，应及时恢复DNS配置并升级固件。企业应监测DNS解析异常及路由变化，保留完整证据包交运营商处置。普通用户遇异常应关闭页面、清除缓存，并避免操作可疑按钮。

文档分析美国警告乌克兰停止袭击俄炼油设施否则可能限制情报共享及武器供应的地缘政治事件。核心涉及美国以情报和武器供应为杠杆迫使乌克兰调整行动，同时关联柴油价格压力与美财政部对俄柴油进口许可。事件凸显降低安全合作中单点依赖的重要性，建议在卫星、云平台、通信链路等设置替代方案。文档末尾推广知识星球付费内容。

PingCAP旗下TiDBCloud遭FulcrumSec窃取约10.6TB数据，含控制平面、客户SQL、明文API密钥、Jira凭证、CRM、源码及四年网关日志等。攻击者利用其自身代码仓库中的凭证搭建复制订阅源，连续88次导出数据未被察觉。文档指出多租户隔离与监控长期缺失，早在2022年内部安全工单已记录root密码可被无条件重置的漏洞。建议企业加强云环境监控与多租户隔离验证。

PHP远程代码执行漏洞（CVE-2026-109618、CVE-2026-109619）存在高危风险，可能影响千万级用户，建议尽快更新至修复版本，并采取临时缓解措施。

国家数据集团成立，对网络安全行业影响深远，带来新的商机和挑战，行业将走向价值驱动的资产市场，企业需关注数据流通基础设施、数据资产化配套服务和AI安全等领域的机会与风险。

本文介绍工业PoE交换机在智能制造、智慧交通、新能源、水务环保、智慧城市等领域的应用场景。该设备通过网线同步传输数据与电力，具备宽温、抗电磁干扰、防尘等特性，解决前端设备取电难、环境恶劣、网络易中断等痛点，成为行业数字化改造的核心网络设备。

本文介绍Vulfocus漏洞集成平台，基于Docker实现一键启动漏洞环境，整合Vulhub和Vulapps镜像资源，支持Flag自动生成验证、计分考核与可视化场景编排。平台采用前后端分离架构，提供DockerCompose部署方案，适用于企业安全培训、CTF比赛及渗透测试场景。文章末尾含广告推广内容。

本文聚焦区块链运营中私钥存储与签名模块的安全设计。核心结论是应将签名能力集中到独立加固模块，避免私钥在微服务间扩散；签名模块必须验证审批，防止绕过机制。私钥保护方式包括HSM、安全Enclave和云KMS，各有优劣。应检查攻击者能否取走私钥或调用私钥完成恶意签名。需避免将私钥存放于.env、环境变量和数据库等高风险位置。

证监会主席吴清在2026金融街论坛年会上提出四大举措推动中国股市向上向优，包括应对输入性风险、批准主动ETF基金产品、建立基金业运行监测中心和细化违规减持处罚规则，旨在提升市场价值塑造能力。