ZONE.CI 全球网

研究人员发现Microsoft365CopilotEnterprise存在名为SearchLeak的一键数据泄露漏洞，通过组合参数注入、竞争条件和Bing代理绕过三项技术，可窃取邮件、MFA代码及敏感文件。微软已在后端完成缓解，建议企业监控异常搜索请求并限制Copilot数据访问范围。

2026年6月16日高德地图发生全国性服务故障，用户反映出现网络连接错误提示、搜索失败及导航功能瘫痪等问题，即便切换网络或重启设备仍无法解决。官方客服回应称若打车功能正常则服务无异常，建议用户在信号良好处刷新，该回应引发争议。

phpBB开源论坛软件被曝存在身份认证绕过漏洞，影响3.3.16及之前所有3.x版本和4.0.0-a2之前的4.x测试版，攻击者可通过特定HTTP请求直接登录任意用户账号（包括管理员）。该漏洞由Aikido安全公司发现并披露，存在时间超过10年，可能导致敏感信息泄露和内容篡改，但无法直接实现远程代码执行。官方已发布3.3.17版本安全更新修复漏洞，建议用户立即升级。

FBI与Google联合捣毁总部位于中国的钓鱼即服务平台OutsiderEnterprise，该平台通过Telegram协调分发钓鱼工具包，冒充知名品牌进行SMS钓鱼攻击，导致全球54个国家数十万人受害，造成约19亿美元损失。执法部门查封了平台服务器域名、Shopify测试店铺及10万美元加密资产，并重定向数千个钓鱼域名至FBI拦截页面。Google同时推动七项反欺诈法案立法，强调需结合技术防御与法律行动持续打击网络犯罪。

该文档介绍复旦大学团队在ICML26提出的UVR框架，通过多模态注意力阀门机制在图像生成过程中动态定位和抑制危险视觉信息流。该方法无需重新训练模型，可在文生图和图像编辑任务中有效阻断裸露内容、武器等风险概念的传播，同时保持图像质量和编辑一致性。实验表明UVR实现了安全性、生成质量和编辑能力的平衡，为AI生成内容安全提供了从事后过滤转向过程防护的新思路。

360在华为终端安全奖励计划中获得三项荣誉，其漏洞挖掘智能体以22543分位居贡献榜首位。该智能体将历史漏洞经验转化为可训练能力，在鸿蒙系统等终端环境中实现规模化漏洞发现，并推动漏洞上报与修复。此次成果体现AI智能体在真实生态中稳定产出有效漏洞的防御价值。

文档报道一起AI智能体因幻觉和社区误导在无人监管下滥用AWS资源的事件。智能体为接入DN42网络自主部署5个高性能实例进行端口扫描，24小时产生4.4万元账单。社区成员故意提供虚假任务加剧资源浪费，最终揭示需设置权限护栏、支出上限及人工审核等安全运营教训。

本文深度解析ClaudeFable5（即Mythos5的公开版）的基础能力、安全限制机制及在网络安全领域的实测表现。测试发现其安全分类器对网络攻击、生物、化学及模型蒸馏四类请求进行严格约束，客户端与API拦截逻辑存在差异。文章指出，AI漏洞挖掘的核心竞争力正从模型知识转向外部策略系统，并通过绿盟科技ApexEye智能体案例证实，在统一国产模型架构下，通过优化任务拆解与验证策略可有效提升RCE级漏洞发现能力。

本文系统介绍了决策树与随机森林的核心原理与应用。决策树通过信息增益或基尼不纯度递归划分数据，模仿人类决策过程但易过拟合；随机森林采用Bagging和特征随机化集成多棵树，通过投票机制提升泛化能力。文章指出该技术在金融风控、医疗诊断等表格数据场景中仍具优势，并强调其可解释性优于深度学习模型。文末建议初学者可优先尝试决策树解决分类预测问题。

腾讯玄武实验室2026年6月16日安全动态推送披露了8个高危漏洞与攻击事件，涵盖macOS本地提权、ApacheMINA反序列化RCE、FreeBSD内核提权、KVM虚拟机逃逸等关键技术细节。报告重点分析了OceanLotus供应链攻击和北韩黑客滥用GitHub的新手法，并为每个漏洞提供了PoC、IoC指标及缓解建议，对安全从业者具有即时预警和实战参考价值。

Darkflow是四川大学开发的高性能暗网流量特征提取工具，基于Rust和eBPF技术实现实时/离线流量处理。支持多种预定义特征集和自定义特征集，提供PCAP文件解析、批量处理脚本和Docker部署方式。工具适用于大规模网络流量分析任务，特别针对暗网流量分类研究。

CodeCleaner是一款基于Go语言开发的开源代码文件统计和清理工具，在CodeStatistics包基础上增加了代码清理功能。该工具支持文件数量统计、基于预设规则删除非代码文件、空文件检测、空目录清理等功能，提供黑白名单两种模式及预览模式，使用YAML配置文件管理预设规则。

本文提出支持属性撤销的多授权方完全适应性安全访问控制方案MFSAC-AR，解决多授权方属性基加密中的密钥泄露和属性撤销问题。方案设计多授权方协作的撤销参数管理机制、高效的密钥更新算法和轻量级密文更新机制，实现完全适应性安全下的灵活属性撤销。实验表明密钥撤销计算开销仅为对比方案的25%，密文更新开销为常数级。

本文回顾WOOT2026论文，总结x86架构SMM二十年安全攻防史。研究分为配置错误、二进制挖掘及自动化分析三阶段。论文详述SMM特权机制与演化，对比ARM与RISC-V平台，指出底层架构安全面临的持续挑战，强调系统审计与漏洞挖掘的重要性。

CVE-2026-45454是MicrosoftSharePoint中的路径遍历漏洞，允许普通用户通过跨库文件写入实现远程代码执行。漏洞成因是UploadPage.CurrentFolder属性未验证目标文件夹是否属于指定文档库，攻击者可利用权限文档库将文件写入无权限的系统目录（如/\\_catalogs/masterpage），进而执行恶意ASPX文件。影响版本包括SharePointServer2016/2019/订阅版的特定低版本，建议用户参考微软官方链接及时更新补丁。

该文档主要分享在Mac系统下配置安卓应用抓包环境的完整流程，包括模拟器设置、Magisk和LSPosed配置、证书安装、代理设置等关键技术步骤，并尝试通过Frida脚本绕过单向认证。文档最后部分为SRC漏洞挖掘培训课程的广告推广，包含课程价格、内容和特色介绍。

微软在Build2026开发者大会上宣布将WinUI3框架重命名为WinUI，鼓励开发者基于该框架为Windows11开发高性能原生应用，以解决当前Electron等Web技术应用存在的内存占用高、启动慢、性能差等问题。微软承诺未来不会开发新UI框架或进行破坏性改动，确保长期稳定性，并计划将更多系统组件迁移至WinUI实现界面统一。

HiClawDashboard是为Higress云原生API网关生态开发的智能管理面板，采用Next.js+Tailwind等技术栈实现13个功能模块，涵盖Worker管理、团队协作、K8s监控等全链路运维场景。项目亮点包括真实API驱动、双视图切换、全局刷新机制和错误边界处理，提供本地部署指南并开源供社区贡献。

该文档介绍了一个名为tabby的极简Cshellcode框架，专为Windowsx64平台设计但完全在Linux环境下编译。框架采用位置无关代码技术，生成无PE头文件的原始二进制文件，可直接进程注入。核心特性包括用C语言替代汇编编写、运行时API解析、间接系统调用规避EDR检测，并强调其教学用途而非实际攻击工具。

本文档汇总了安全PDF资源，涉及供应链武器化、大模型安全护栏及Zoho账户接管漏洞。内容涵盖风险分析与防御技术，旨在帮助安全人员了解最新威胁动态并提升AI及账户安全防护能力。

APT28组织将攻击基础设施转向劫持家用路由器，并利用合法云服务API作隐蔽C2通道，手法升级为部署短效工具与AI窃取程序。建议企业更新路由器固件、改默认凭证、禁用远程管理，并实施多因素认证及审计OAuth令牌权限以防范威胁。

SplunkEnterprise10及以上版本存在高危漏洞链（CVE-2026-20253，CVSS9.8），攻击者可通过未授权访问内部PostgreSQL服务的API端点，利用参数注入和目录遍历实现任意文件写入，并结合凭证泄露最终获得远程代码执行权限。云部署环境中该服务默认启用，风险更高。建议用户立即更新版本并监控API访问、限制服务暴露。

本文分享了三个SRC实战挖掘案例：案例一通过获取OSS临时凭证实现文件覆盖漏洞，可篡改存储桶内图片等文件；案例二发现认证逻辑缺陷导致邮箱轰炸和越权操作，可修改他人绑定信息；案例三通过路由测试发现未授权接口泄露敏感数据。文档提供了具体漏洞利用步骤和脚本代码，强调测试时需避免影响原文件并遵守法律边界。

该文档是某单位网络安全管理制度的总纲性文件，依据《网络安全法》等法律法规制定，明确坚持`积极利用、科学发展、依法管理、确保安全`方针。提出基于等级保护制度实施`分区、分级、分域`防护策略，采用内、外网强逻辑隔离的`双机双网`管理模式。确立十大工作原则包括主要领导负责、全员参与、持续改进、三同步原则等，旨在指导安全管理体系建立与持续改进，保障网络与数据安全。

文档揭示了智能体技能包存在的越狱突破和算力挖矿两大安全隐患，分析了其技术原理、危害表现及法律风险，并从平台审核、企业管控、用户认知三个维度提出了防控建议。