ZONE.CI 全球网

微软WinRE环境存在漏洞CVE-2026-45585，允许攻击者通过滥用UEFIBootNext变量绕过固件密码保护，在物理访问场景下可操纵系统配置或削弱BitLocker防护。微软建议禁用或限制WinRE、强化BitLocker配置（如启用TPM+PIN）并限制对NVRAM变量的未授权更改。

看雪学苑推出系统0day安全课程，聚焦主流企业防火墙漏洞挖掘。课程涵盖Fortinet、Cisco等10+厂商，详解30+高危漏洞，并引入自研LangGraph工作流实现半自动化挖掘，旨在培养学员独立挖掘0day、漏洞利用及自动化提效能力。

本文深入分析云上元数据服务的安全风险，以CapitalOne数据泄露事件为例说明攻击者如何通过SSRF漏洞获取角色临时凭证实施数据窃取。详细解析从凭证获取、权限判断到实例控制、横向移动的完整攻击链，并介绍AWS的IMDSv2安全改进方案。最后指出即使采用IMDSv2，在RCE漏洞场景下元数据服务仍存在安全隐患，建议云用户加强实例安全防护。

该文档揭示了GitLFS机制中存在的两类安全风险：指针文件在格式验证后与实际下载前存在竞态条件攻击窗口，攻击者可替换恶意内容；SmudgeFilter配置可被恶意篡改，在gitclone时执行任意命令实现隐蔽持久化。文章详细分析了攻击原理并提供PoC脚本，最后给出检测方法和防御建议，包括禁用仓库级Filter定义、实施完整性校验等。

苹果公司于2026年6月16日发布Beats固件更新1B211，修复BeatsStudioBuds蓝牙耳机中的一个高危漏洞CVE-2025-20701。该漏洞存在于蓝牙协议栈中，允许附近攻击者在设备配对前通过麦克风窃听，无需用户同意或触发警报。用户应确认设备固件版本已更新至1B211或更高版本。

开源网络论坛phpbb修复一个潜伏十年的身份验证绕过漏洞，影响3.3.16及以下版本和4.0.0-a2版本，攻击者可利用该漏洞以任意用户身份登录获取管理员权限，建议受影响版本立即升级至3.3.17或master分支。

安全研究人员披露了VSCode零日漏洞利用代码，攻击者可通过恶意扩展程序利用Webview消息传递系统窃取GitHubOAuth令牌，从而访问用户所有私有仓库。目前暂无官方补丁，但用户可通过清除浏览器中github.dev的Cookie和站点数据缓解风险。微软表示已缓解该问题，但研究员因过往与MSRC的不愉快经历选择直接公开披露。

暗网出现名为'欧洲CEO数据库'的售卖帖，声称包含超过6.5万条欧洲企业高管信息，涵盖CEO姓名、职务、公司基本信息、联系方式及地址等字段。该数据集以Excel、CSV和JSON格式出售，可能被用于商业营销或恶意目的，提醒企业加强数据保护意识。

2026年6月，Socket安全团队披露黑客利用GitHub上postinstall自动安装脚本发起供应链攻击，污染超700个代码库。攻击者修改上游package.json脚本，依赖安装时自动执行并下载伪装成/tmp/.sshd的恶意木马以窃取信息。建议开发者勿盲目信任第三方依赖，定期审计自动执行脚本及包管理器配置以降低风险。

国家安全部警告境外间谍正以有偿兼职为诱饵，网络勾连境内人员赴军事科技展会拍摄照片或测量设备数据。看似零散的公开信息经专业整合后可推导出国家核心机密。建议公众提高警惕，切勿因贪图小利而落入间谍陷阱，发现可疑情况应及时举报。

该文档报道了2026年第四届京麒CTF挑战赛初赛情况，北京理工大学BITs2Net战队获得全国初赛第二名。赛事由京东安全主办、Nu1LTeam协办，面向高校学生旨在提升网络安全实战能力。文档包含赛事简介、战队介绍及决赛安排信息，并提供了比赛Writeup的技术分析资料下载链接。

该文档系统梳理了2026年开源情报(OSINT)领域的技术栈体系，涵盖12大类别93款工具，包括调查平台、社交媒体监测、暗网数据泄露、威胁情报等方向。文章指出OSINT已发展为分层化产业，强调付费数据层（如暗网泄露、加密货币取证）的价值高于免费工具，并引用多项市场数据说明行业规模。核心结论是有效的OSINT依赖安全、规模化的数据采集能力，未来趋势将向工具整合与采集安全演进。

该文档揭示了AI行业存在的严重算力浪费问题，指出前沿实验室GPU利用率可能不足10%，企业峰值利用率普遍低于70%。核心问题在于数据饥饿、存储IO瓶颈等结构性因素导致GPU大量闲置空转。文章提出通过优化基础设施实现`产出最大化`，将利用率提升至60-70%即可等效增加6倍算力，并指出AI竞争重点正从算力规模转向利用效率。

该文档是网络安全攻防实验室的帮会招募广告，宣传即将取消的119元永久会员资格，承诺提供100T网安资料、HW/CTF资源、技术交流社群及兼职机会等内容。文档强调限时优惠并展示帮会已有的10000+干货笔记、红蓝队工具包等资源，核心为促销性质的社群服务推广。

本文通过FBI耗时12个月未能破解巴西银行家TrueCrypt加密硬盘的真实案例，分析开源加密软件的技术优势。文章指出VeraCrypt继承TrueCrypt安全机制，具备隐藏卷等硬核功能，强调密钥管理的重要性，并建议普通用户使用系统自带加密工具，高隐私需求者才需选择VeraCrypt。

微软OneDrive的`回忆`功能因算法缺陷将用户12年前已删除的私密照片自动打包发送至邮箱，引发严重隐私泄露事件。安全专家指出云存储的`删除`可能仅为标记而非真实清除，暴露了云端数据永久留存的风险。建议用户立即检查云盘历史文件并重新评估云存储隐私设置。

本文针对企业无线AP选型提供实用指南，强调需先明确覆盖面积、用户密度、扩展性等需求，避免盲目追求高端。详细对比Wi-Fi标准、带机量、MIMO技术等关键参数，推荐根据场景选择适配方案，并建议现场勘测与PoE供电。指出瘦AP+AC管理模式更适合大型项目，同时提醒关注品牌售后与安全功能。

本文是反无人机作战体系构建的付费报告导读。基于局部冲突分析无人机威胁与防护短板，提出军民一体探测、分布式指挥及梯次处置的体系架构，强调社会化探测与非对称低成本反制。但本文实质为宣传软文，仅公开目录与摘要，缺乏实质技术细节，需付费获取全文。

本文复盘美伊战争教训，指出美军应对低成本无人机群仍遇困境，建议加快部署多光谱传感器与激光防御系统，提升本土设施被动防护及民众预警能力。同时强调空中作战管理机队不可或缺，需加速国防工业创新生产，文末含星球引流广告。

本文深度解析MicrosoftEntraID条件访问策略中资源排除配置的潜在风险，指出在多路径决策系统下Graphtoken获取可能存在策略执行不一致问题。关键发现包括publicclient与low-privilegescope的特殊行为可能导致CA策略上下文丢失，建议企业最小化排除范围、启用现代CA评估行为并审计登录日志。

本文分析AI编码工具中CLAUDE.md等指令文件存在的安全风险，指出攻击者可通过修改这些自然语言指令文件间接控制AI行为输出，从而引导开发者执行不安全操作。文档系统阐述了四种攻击向量（行为引导、外部引用、路径规则注入、多工具污染），并揭示其与传统供应链攻击的核心差异在于攻击门槛更低且检测机制缺失。最后提出防御建议：开发者应在使用AI工具前主动审查项目中的指令文件以确认信任边界。

国家网信办联合工信部、公安部公布《网络数据安全风险评估办法》，自2026年8月20日起施行。办法要求重要数据处理者每年开展风险评估，鼓励一般数据处理者至少每3年评估一次。明确评估机制、机构认证要求及监管措施，规定发现重大风险需及时通知，拒不整改者可被责令停止处理重要数据。

该文档系统讲解如何利用AI工具进行漏洞挖掘，强调基本功是AI发挥价值的基础。核心内容包括：根据任务类型选择合适模型（如GPT-5.5初筛、Claude深挖）、推荐使用ClaudeCode工具链管理项目上下文、通过CLAUDE.md文件结构化记录测试进度、利用Skill机制将审计思路转化为可执行规则。文档提供了具体的配置模板和操作示例，旨在帮助安全研究人员高效整合AI能力到实际漏洞挖掘工作中。