ZONE.CI 全球网

2026年6月17日，AI智能体开发框架Mastra近140个NPM组件遭受供应链投毒攻击。攻击者通过入侵维护者账号，在package.json中注入恶意依赖包easy-day-js，该包会在安装时自动执行高度混淆的恶意脚本，从C2服务器下载第二阶段Payload窃取LLMAPI密钥、云凭证等高价值敏感信息。受影响组件包括周下载量超百万的@mastra/core等核心包，建议开发者立即排查6月17日安装或更新的@mastra系列组件。

本周漏洞周报披露了四个高危漏洞：MozillaFirefox和Thunderbird存在代码执行漏洞CVE-2026-0892影响147以下版本；MicrosoftOffice存在代码执行漏洞CVE-2026-42831影响多个版本；FirefoxJIT组件存在代码执行漏洞CVE-2026-8389影响150.0.3以下版本；IBMWebSphereApplicationServer存在SAML组件漏洞CVE-2026-9330可导致远程代码执行。所有漏洞均建议及时升级到最新版本进行修复。

华盟网庆祝成立23周年，回顾从技术探索到行业深耕的发展历程，强调以专业和创新推动网络安全行业发展。文章包含创始人寄语及两项周年庆活动：留言点赞送网安书籍、网络安全就业班限时特惠课程。内容聚焦于品牌历史、行业情怀及市场推广。

本文回顾了FFmpeg作为开源多媒体处理工具的发展历程，重点解析了其创始人FabriceBellard设计的分离容器与编码的架构（libavformat/libavcodec）以及通过逆向工程破解商业格式的技术细节。文档揭示了核心维护者MichaelNiedermayer在社区分裂后通过代码优化赢得技术竞争，并指出开源开发者依靠兴趣、成长性和成就感驱动的现实困境。

本文系统解析我国数字安全治理体系中等级保护、关键信息基础设施保护、数据安全保护和个人信息保护四项制度的法律定位、保护对象、标准体系及实践方法差异，指出《网络数据安全管理条例》的出台强化了制度衔接，提出企业应通过统一安全架构实现协同治理的发展趋势。

本文系统介绍网络安全监控工具Zeek的核心功能与部署应用。Zeek作为开源网络分析框架，具备深度协议解析、灵活脚本引擎和丰富日志记录能力，支持HTTP/DNS/SSL等协议分析。文档详述其高性能、可扩展性优势，并提供Linux环境部署步骤与基本配置指南。主要应用于入侵检测、流量分析、合规审计等场景，帮助安全人员构建主动防御体系。

文档详细介绍了ClaudeCode的AutoMemory长期记忆功能，包括v2.1.59版本更新内容、验证方法（如/memory命令检查、跨会话验证）、工作原理（自动加载索引文件、按需读取主题文件）及与用户手动编写CLAUDE.md的区别。关键发现是Claude能自主积累项目相关知识，可操作建议包括使用特定命令验证记忆功能及观察界面提示确认记忆操作。

本文深入解析Linux系统调用机制，从用户态与内核态的本质区别入手，阐述系统调用作为内核受控接口的工作原理。详细介绍了系统调用号与调用表、参数传递约定、特权级切换指令演变等核心原理，并对比了系统调用与库函数的差异。文章强调内核对待用户参数的不可信原则及错误处理机制，为性能优化和安全开发提供实用指导。

该文档介绍Windows驱动签名绕过技术，提供开源工具DriverLoader的项目地址。内容涉及驱动程序加载机制，探讨在特定环境下规避数字签名验证的实用方法，为安全研究人员提供技术参考。

该文档详细介绍了Windows密码提取工具Mimikatz的核心功能与应用，包括读取明文密码、NTLM哈希、Pass-the-Hash攻击、Kerberos票据传递及黄金票据等攻击技术，同时提供了具体操作命令和防御措施如启用CredentialGuard、监控LSASS进程等，帮助安全人员评估系统漏洞并加强防护。

BugHunter是一款2026年推出的AI驱动开源漏洞赏金工具包，通过集成大语言模型与35款安全工具实现端到端自动化漏洞挖掘。其核心创新在于AI智能编排工作流，覆盖Web2和Web3漏洞类型，并通过7道质检关卡将误报率降至30%。工具支持多平台报告自动生成和5种AI算力配置方案，显著提升白帽黑客效率。

2026年2月NSO集团违反法院禁令在WhatsApp测试群组发布照片，背景中印有公司标志的桌垫成为关键证据。Meta通过技术分析发现23个非法账户和34个测试群组，揭露其持续通过恶意链接传播Pegasus间谍软件。Meta已向法院提起藐视法庭诉讼，要求巨额罚款并强制NSO高管签署合规宣誓书，案件将于2026年7月16日开庭审理。

本文介绍了AutoSec2026第十届中国汽车网络安全周的相关信息。该会议将于2026年9月16-17日在上海举行，聚焦汽车网络安全领域，特别是GB44495强标合规、AI安全与后量子密码等议题。作为行业内的权威盛会，它汇聚了众多主流车企与专家，旨在促进产学研用深度融合，共同应对汽车产业面临的复杂安全挑战。

该文档通告LinuxKernelnet_schedact_pedit组件存在本地提权漏洞CVE-2026-46331，漏洞源于tcf_pedit_act()函数未正确处理COW复制导致页缓存污染，攻击者可通过CAP_NET_ADMIN权限修改只读文件页缓存并覆盖SUID程序获取root权限。影响内核5.18至7.1-rc7版本，已公开PoC且存在在野利用。建议立即应用官方补丁（提交899ee911和d504a978）并遵循最小权限原则加强系统防护。

本文虚构钉钉前总裁无招入职拼多多的段子，通过其两个月离职事件对比两家企业的加班文化。文章指出无招在钉钉期间实行严苛考勤却自身松弛，而拼多多全员统一高强度节奏；核心揭示职场人反感的不是加班而是管理双标，强调公平职场规则的重要性。

自2025年末起，Steam创意工坊出现批量恶意WallpaperEngine动态壁纸，攻击者利用应用壁纸的代码执行特性传播恶意载荷，主要目标为窃取Steam账户权限并植入后门、挖矿程序等。攻击通过直连打包或加密隐藏两种方式实现，涉及DarkKomet后门、DLL篡改、会话窃取等关键技术环节。建议用户谨慎下载应用类壁纸、使用杀毒软件扫描并开启Steam二次验证。

豆包AI日均用户超2亿但日收入不足百万，算力成本达数千万导致严重收支缺口。分析指出AI产品用户越活跃成本越高，与传统互联网模式相反，免费模式虽获用户但难持续。关键发现是商业化路径未通，行业需从技术竞争转向成本控制与商业闭环建设。

本文针对程序员35岁转行中医的职业规划进行深度剖析，指出该计划表面荒诞实则反映普遍年龄焦虑，但论证其在时间周期、患者信任、收入支撑等方面存在现实瓶颈，并揭示35岁危机本质是能力积累不足的体现，强调应关注可迁移的行业经验与解决问题的能力。

该研究提出激发式电磁侧信道攻击框架，通过主动电磁注入将设备内部低频信号调制到高频载波实现远距离窃听。在11款商用设备上验证了30米隔墙音频窃听能力，并可推断智能设备状态。研究揭示了电磁注入与泄漏的闭环风险，提出了硬件防护思路。

本周CNNVD统计新增安全漏洞1699个，微软公司漏洞数量最多，跨站脚本类漏洞占比最高达10.95%。通报GoogleChrome远程代码执行重大漏洞（CNNVD-202606-1877），同时列举AdobeCampaignClassic、ApacheAnswer等关键漏洞实例，建议用户及时更新补丁修复漏洞。

Weaxor勒索软件近期出现针对Linux平台的变种，继承Mallox家族技术，通过OA系统漏洞入侵。样本需AVX2指令集支持，使用ChaCha20加密文件并排除系统扩展名，附加密钥数据至文件尾部。报告提供防护建议包括强化认证、漏洞修补、EDR部署及3-2-1备份策略。

星盟安全团队成立于2018年10月，专注于网络安全研究，为成员提供定制化成长体系、全场景实战机会、行业资源对接和技术交流平台。纳新要求对CTF有热情，能投入一年以上时间，无不良记录，技术要求满足70%即可进入预备队。报名需将简历发送至指定邮箱。

该文档是一套Web安全知识选择题集，涵盖SQL注入、XSS、CSRF、命令注入等常见攻击方式及其防御措施，涉及PHP、Java、Python等多语言安全函数使用。内容聚焦于漏洞识别、安全编码实践和配置防护，如参数化查询、输入验证、会话管理等核心安全知识点，适合基础安全能力检测。

360威胁情报中心检测到APT-C-48(CNC)组织近期以招聘简历为诱饵的定向钓鱼攻击。攻击者通过邮件投递伪装成PDF的双后缀EXE文件，用户点击后经多层加密URL下载VBS脚本及诱饵文档，最终下载使用OpenSSL加密通信的远控木马，实现文件窃取与命令执行。报告详细分析了攻击链、载荷解密过程及C2通信机制，并基于攻击手法、载荷特征与历史活动关联性进行归属研判，同时提供了相关IOC。

本文系统总结了支付类逻辑漏洞的九大挖掘技巧，包括修改金额、支付状态、订单信息、数量、优惠券等参数，以及利用并发、遍历、精度误差等方法。文档指出漏洞主要源于前端验证不足、服务器校验不严等成因，并提供具体操作示例和测试思路。