ZONE.CI 全球网

微步情报局复现Linux内核IPv4TCP协议栈UAF漏洞CVE-2026-98432，CVSS9.8，影响Linux4.4及以上版本。攻击者可远程触发致内核崩溃，公开利用链需MPTCP监听。建议升级内核或采用临时缓解措施，并排查受影响资产。

飞天诚信亮相2026年德国纽伦堡it-sa展会，展示FIDO安全密钥全系列产品，包括ePass、BioPass、iePass、MultiPass等系列，主打抗钓鱼无密码MFA身份认证方案，面向欧洲企业及公共机构，强化欧洲市场布局，推动全球数字信任。

本文为OSCP备考系列第26期，聚焦AD域攻击中的权限提升技术，涵盖ACL滥用、委派攻击、RBCD、影子凭据及ADCS攻击等核心手法。文章强调利用配置错误而非密码获取高权身份，通过BloodHound识别攻击路径，并给出具体工具命令与操作步骤，是OSCP+新增重点内容，实战指导性强。

该论文评测LLM渗透测试智能体的功能属性，基于14台靶机覆盖多类攻击任务，提出子任务完成率等指标。研究发现单智能体在结构化任务表现良好，但所有模型在实时MITM攻击上均失败，复杂多步任务性能下降。论文识别三大失败模式并提出五项针对性增强方案，实验证明可显著提升智能体性能，结论强调角色取决于任务而非架构。

360承办朝阳区第四届朝匠技弈网络安全技能竞赛总决赛，设置理论与实操考核，综合检验选手专业与实战能力。获奖选手可获职业技能等级证书并纳入人才数据库，择优参评朝阳工匠。360将产业实战优势转化为赛事组织优势，推动考核标准与岗位能力衔接，助力区域数字安全人才生态建设。

本周安全事件频发，币安遭史上最大黑客盗窃案，约63亿美元资产被窃取，初步调查指向运维终端失陷，已冻结30亿美元。此外，哥伦比亚大学因数据泄露赔偿上亿元，日本云桌面服务器被植入恶意软件，PHP2Shell漏洞被利用，AI开发平台Railway发生密钥泄露。建议重点排查特权终端、第三方密钥管理，强化异常行为检测与应急演练。

币安疑遭史上最大黑客攻击，被盗资产或超420亿元，币安承诺承担全部损失并已冻结约30亿美元资金。Tether、Circle等多家机构参与冻结涉事资产，事件具体原因和最终损失尚未公布。建议用户提高警惕，谨防诈骗，勿轻信非官方链接或索取账户信息的请求。

本文解读国家网络安全通报中心2026年10月26日通报的84款移动应用违法违规收集使用个人信息问题，归纳为十类并逐条对照个保法条款。核心落点为说清楚、单独同意、给得出入口、守得住数据，并给出短期与长期整改建议，强调隐私政策需完整可查、单独同意不可打包、撤回注销需便捷、未成年人信息需专门保护。

工信部副部长余晓晖主持召开加快新一代通信网建设发展座谈会，多部门及电信、华为等企业参会。会议部署统筹推进基础、空间、国际、融合四类网络建设，强化技术创新与应用牵引，并强调完善投资机制、加强规划统筹与要素保障，以推动新一代通信网高质量发展。

2026年10月30日网络安全动态显示：日本航空因第三方服务商遭入侵致9.2万乘客信息泄露；Android存在零点击短信致死漏洞可致设备电话功能崩溃；MicrosoftEdge被曝串联五个漏洞实现零点击代码执行与沙箱逃逸；美国某高校因310万师生数据泄露以1610万美元和解。事件凸显供应链与零点击攻击风险。

该文档汇总2026年10月末全球科技政策与产业动态，涵盖美芬科技合作备忘录、OpenAI安全体系、欧盟芯片补贴、德国抗量子加密指南、FCC对华测试限制、Coinbase清退稳定币、美制裁华大基因、FDA基因疗法新政、美海军微堆、日本钙钛矿电池补贴、澳关键矿产战略及小鹏固态电池等，反映各国强化关键技术自主与安全监管趋势。

Nacos3.0.0至3.2.3版本存在鉴权绕过漏洞，因@Secured注解漏写apiType参数导致管理接口被当作普通API处理，而普通API鉴权开关默认关闭，造成未授权访问，CVSS评分9.8。攻击者可匿名创建账号、绑定角色并授予通配权限，进而完全控制管理面。建议升级至3.2.4版本，或开启普通鉴权并收敛暴露面，同时检查异常账号与通配权限。

本文介绍网安人员如何利用AI工具实现自动化漏洞挖掘，核心思路是结合桌面级Agent（如腾讯马维斯）、网络安全技能库（Skill）及Kali工具集，通过MCP协议联动BurpSuite等工具完成渗透测试流程。文章提供了具体操作步骤和提示词示例，并推荐了可白嫖的模型和工具资源，但结尾有引流公众号获取资料的软文性质。

盛邦安全发布2026年三季报，前三季度营收1.37亿元，研发投入5753.11万元，营收承压但整体平稳。公司聚焦卫星互联网安全与AI安全，推出天权星地融合智能通信安全平台和天枢多源资产漏洞融合治理平台，深耕星地融合通信与资产漏洞治理场景，强化空天地海一体化安全战略布局，推动第二增长曲线发展。

本文档记录某国政府主站及关联系统的授权渗透测试，发现13项漏洞，其中严重6项、高危5项、中危2项，取得WordPress主站、支持门户、客户登记系统及RoundcubeWebmail等四处代码执行权限，影响77个WordPress用户、345条客户记录、49,976封邮件等数据。核心风险在于应用、身份、邮件与主机权限间缺乏必要隔离，建议加强系统间权限隔离与凭据管理。

本期周报涵盖多个热点安全事件:PHP双零日漏洞被利用可致未授权远程代码执行;LiteLLM发布流水线被控致恶意包混入PyPI供应链;新型UEFI引导件BlackX复刻BlackLotus绕过安全启动;恶意agents.md文件可劫持AI编程智能体;Apple修复CoreGraphics零日漏洞;Lazarus滥用韩国安全软件投放后量子加密载荷;HPEArubaOSSQL注入等。数据安全方面多起勒索与泄露事件。监管动态包括公安部公布净网典型案例及84款应用违规通报。

本文报道思科SD-WAN严重0Day漏洞CVE-2026-20127被国家背景黑客组织UAT-11473利用，该漏洞CVSS评分10.0，无需认证即可远程接管控制器。攻击者部署KeyDrift恶意软件框架，包含PolyFlame后门和LittleFilch密钥窃取模块，目标涉及航天和国防机构。思科已于2026年2月修复漏洞，建议企业确认补丁版本并检查入侵指标。

EDKII存在潜伏16年的高危漏洞CVE-2026-97631，位于PXE网络启动代码中，缓冲区溢出可致启动挂起或代码执行，影响几乎所有UEFI固件。修复代码已合入主线但尚无稳定版本，建议禁用PXE功能并监控网络流量。

万径安全与西安电子科技大学联合举办网络安全技术交流活动，分享国产安全语言YAK、程序编译分析与AIAgent安全应用等议题，旨在促进产教融合，培养实战型网络安全人才，推动安全自主可控事业发展。

openpilot全新SR上线，主要升级包括数据中转采集、行程数据统一入库、APP端导航、多设备使用等功能，同时提供语音提醒和比亚迪车型控制转向灯等额外功能。存在摄像头数量不足、硬件瓶颈、SR画面美观度不足等问题待优化。

360图龙锋以99.4%漏洞复现成功率登顶CyberGym国际AI安全榜单，刷新世界纪录。其采用安全大模型加专业智能体蜂群技术路线，通过多智能体协同、专家经验知识库、智能审计双引擎及验证闭环机制，实现高效漏洞挖掘。目前已发现超15000个漏洞，500余家企业接入使用，推动AI漏洞挖掘规模化产业应用。

谷歌发布网络安全AI模型Gemini4Carbon并明码标价销售，面向经审核的安全团队开放。该模型在漏洞利用测试中成功率54.8%，领先竞争对手，漏洞修复得分71%获独立评估。但其通用能力优势不明显，部分测试缺乏第三方独立验证，实际防护效果待考。

众安天下创始人杨蔚受邀为河南省地方铁路公安局讲授AI实战课程，围绕AI技术发展趋势与实战应用，结合铁路安保特点展示大模型原理与AI工具应用场景，助力民警理解新形势新挑战。公安局将学习内容融入豫铁警智数据建模作战单元建设，推动AI与铁路公安业务深度融合，众安天下持续为科技兴警提供技术支撑。

天翼安全大模型安全检测与防护系统V2.0通过公安部第三研究所增强级认证，为该认证最高安全等级。系统以安全网关形态部署，具备内容双向把关、生成标识合规溯源、敏感信息检测、流量精细管控、接口合规校验、主动防御及高可用底座七大核心能力，构建大模型立体防护体系，支撑政企客户AI安全高质量发展。

本周网络安全态势整体评价为良，基础设施运行平稳，主要威胁来自软件高危漏洞、恶意代码传播及网站攻击。CNCERT协调处理网络安全事件680起，含跨境事件218起，其中仿冒投诉事件467起。建议持续关注高危漏洞与恶意代码风险，加强网站安全防护。