ZONE.CI 全球网

云天安全党支部联合兴业银行济南分行赴大峰山革命根据地开展党建共建活动，通过参观旧址、重温誓词等环节传承红色基因，并探讨金融安全与网络安全领域协作，旨在将红色教育成果转化为岗位实践动力，展现银企合作推动高质量发展的决心。

2026年前9个月美国网络安全岗位招聘量同比减少26.4%，创四年同期最低，但AI安全工程师岗位激增268.3%，网络安全数据科学家增长203.5%。传统岗位如安全工程师、渗透测试等降幅明显，而法律顾问和密码学岗位逆势增长。报告显示AI技术提及率逐步上升，9月达20%，建议关注AI安全技能转型。

该文档为全国数字安全行业产教融合共同体2025-2026年度奖项评选申报通知，设置杰出贡献单位、卓越创新单位、优秀支撑单位三个奖项，面向2026年6月30日前加入的成员单位，要求材料真实且限报一项，申报截止2026年11月15日，需将申报表发送至指定邮箱，评审后将在共同体大会现场表彰。

证监会将发布金融行业AI安全合规应用意见，强调前置安全和数据合规，并引导科技向善，对证券期货业AI应用提出具体要求。安恒信息提供AI安全解决方案，助力机构应对合规要求。

本文从红队视角探讨不同搜索引擎在Web攻击面资产挖掘中的信息差问题。通过控制变量实验证明相同目标与查询语句在不同搜索引擎下结果集合存在明显差异，单一搜索引擎易导致资产遗漏。实战案例展示通过DuckDuckGo发现目标资产并最终验证漏洞。建议采用多源情报融合与差集优先策略扩大攻击面。

文档讲述开源AI渗透测试系统artex因被韩国黑客用于攻击银行而广为人知，随后项目停止开源。其后该工具被曝存在密码重置与命令执行漏洞，可致服务器被接管。最终韩国78研究实验室宣布二开该工具，引发热议。事件凸显AI渗透工具的安全风险与开源治理问题。

本文解答域名加非标端口访问HTTPS时流量走非标端口而非443，因端口由URL显式指定且证书绑定域名与端口无关。文章详细介绍了Nginx使用自定义端口搭建HTTPS反向代理的完整步骤，包括DNS解析、申请SSL证书、防火墙放行端口、配置server块监听非标端口及证书路径、设置反向代理头信息，并给出配置校验与平滑重载命令。操作建议：确保防火墙放行自定义端口，使用相对路径配置证书，设置X-Forwarded-Proto传递HTTPS协议信息。

PHP官方将于2026年10月21日发布安全更新，修复CVE-2026-109618和CVE-2026-109619两个CVSSv4.0评分9.2的远程代码执行漏洞，影响PHP5.4.0及以上版本。已有演示视频流出，可对WordPress等主流应用实现命令执行。建议管理员立即盘点PHP资产，在补丁发布后第一时间更新。

瞭望塔Watchtower是一款开源免费的AI安全工作台，支持双端组网协作、情报联动与资产自动化收集，覆盖Web、APP、小程序多场景渗透测试。平台提供AI控制台、内置浏览器、Burps流量分析、攻击链可视化等功能，支持团队协作与任务交接，并具备扩展生态与计划任务能力，旨在提升渗透测试效率与协作体验。

NCC首批安全众测项目正式上线，平台白帽用户可报名参与漏洞挖掘获取奖励，企业用户可发布众测项目排查安全隐患。项目已明确测试边界、漏洞定级标准及奖励规则，参与白帽须严格遵守法律法规，仅限授权范围内测试。操作指引包括白帽报名参与和企业发布项目两条通道，旨在打造规范化安全众测实战生态。

本文深入解析Sora技术原理，指出其核心创新在于将视频视为时空补丁序列，通过视频压缩网络映射至潜在空间，并采用DiffusionTransformer架构实现文本到视频生成。文章澄清常见误解，强调Sora并非简单扩展文生图模型，而是融合潜在扩散与Transformer的生成系统。对AI全栈开发者而言，理解该架构有助于建立数据流思维，判断生成瓶颈。

该文档披露了DiviPlus插件svg\\_image参数存在任意文件读取漏洞CVE-2026-91136，影响版本<=2.4.0，攻击者可读取系统敏感文件。提供了FOFA测绘语法、POC请求示例及Nuclei检测命令，建议升级补丁并部署WAF防护。

本文阐述态势感知平台分层整合逻辑，核心原则为检测下沉、关联上浮、展示分层。通过统一数据底座标准化告警，分域检测模块本地降噪，统一关联引擎跨域拼接攻击链，解决单领域监控盲区问题。建议分四步落地：先搭底座，再接入网络与终端核心模块，逐步补充应用与数据安全，最后接入密码服务等辅助模块。

该文档为好靶场平台于2026年10月21日发布的关于开展首期FDE专业能力认证培训的通知，地点位于四川。文档内容极为简短，仅包含标题、发布时间、地点及图片占位符，未涉及培训具体内容、课程安排、报名方式等实质性信息，更像是一则培训活动预告或推广公告，缺乏技术深度与可操作性建议。

文档分析ARTEXAI渗透测试工具未认证RCE漏洞及利用该工具攻击韩国金融机构的事件。漏洞源于认证逻辑缺陷与MCP设计串联，攻击者可无凭据覆盖管理员密码获取JWT并执行命令。影响v0.1.0至v0.3.14版本，已导致韩国16家金融机构约10万条信息泄露。建议升级至v0.3.15并收敛暴露面。

作者回顾2002至2027年出版十一本安全著作的演进历程，揭示从案例堆砌到体系构建、再到单点纵深及组织级视角的思维跃迁，核心结论为技术会过期但安全判断力永不过时，建议从业者关注资产认知与组织判断力而非仅修补漏洞。

ARTEX工具已闭源，其最后一版开源版本存在漏洞，需用户自测修复。获取方式为后台回复artex。文档内容简短，主要起引流作用，技术细节有限，建议关注官方渠道获取最新版本信息。

360漏洞研究院发布安全预警，PHP存在两项严重远程代码执行漏洞，编号CVE-2026-109618和CVE-2026-109619，CVSSv4.0评分均为9.2，攻击面疑似指向会话上传进度功能，可能导致网站篡改、信息泄露或服务器失陷。官方计划于2026年10月21日22时发布安全更新，建议相关单位立即排查PHP资产并做好紧急更新准备。

中昊芯英联合创始人闯小明在2026CSA大会上分享国产TPU芯片研发与产业化实践，指出AI算力正从通用向专用演进，其新一代芯片须臾及泰则系统面向大模型训练推理优化，强调算力底座自主可控对AI安全可信的重要性，需将安全防线前置到底层硬件。

本文从历史维度剖析芯片产业演化，指出其由冷战军需催生，后转向民用市场，经历全球化分工形成供应链依赖。核心结论是芯片是技术、资本、地缘政治交织的复杂系统，单点突破或完全依赖全球化均不可取，大国博弈根源在于供应链安全与效率的平衡。建议在产业效率与安全间寻求平衡。

本期统计20个网络安全采购项目，合计预算3354.39万元。国家税务总局网络与信息安全运维项目占比最高，达2199.75万元。项目类型以等保测评与密码评估为主，共8个。采购覆盖税务、党校等多系统及10个省级区域，北京金额最高。安全规划与咨询类项目为零。

PHP官方发布紧急安全更新预告，修复两项CVSSv4.0评分9.2的严重远程代码执行漏洞（CVE-2026-109618和CVE-2026-109619），可能导致网站被篡改、敏感信息泄露或服务器失陷。攻击面疑似指向PHP5.4引入的会话上传进度功能，存在释放后使用风险。建议相关单位立即开展PHP资产排查，关注互联网暴露业务系统，并等待官方更新发布后及时升级修复。

今日安全资讯速递涵盖三大板块：国内论坛热点包括tvm-recover去虚拟化、KernelGPT写fuzz规则、SDC2026代码保护议题、高德SDK逆向及国密签名实战；X平台工具更新涉及Dopamine3.0.12、Frida17.24.3、ios-sweet项目、S26Ultrakexec实验、reverse-skill及BinaryNinja6.0R2；事件热点包括PHPCVSS9.2紧急补丁预告及eMudhra证书私钥熵不足问题。内容均为公开信息整理，供学习参考。

本文介绍AIWorker标准，定义AI员工、AI团队与AI组织，强调将岗位职责、知识、技能与SOP、记忆和协作关系作为组织可积累、可复用、可迁移的数字资产，与模型和运行环境解耦，支持跨平台迁移。文章提出七类员工属性、SOP及团队协作机制，并公开标准规范以促进方法复用，建议组织按业务需求独立维护AI团队资产。

公安部176号令于2026年10月1日施行，取代151号令，监管范围从互联网安全扩展至网络空间安全，检查对象从两类增至八类，新增数据处理者、个人信息处理者等。新规明确检查频次、远程检测门槛及约谈制度，并列出11项检查内容。政企单位需自查等保、数据分类分级、算法安全等，并建立应急响应预案。