ZONE.CI 全球网

日本电信运营商KDDI因第三方软件漏洞导致数据泄露，约1422万用户邮箱地址和密码遭窃取，波及STNet等5家合作运营商。泄露数据部分采用哈希/加密存储，但具体加密强度未披露。KDDI已采取阻断攻击、通报监管机构等措施，建议受影响用户立即重置密码并启用双因素认证。

国家审计署2026年第1号审计公告披露中央部门单位2025年度预算执行问题，重点指出网安与信息化领域存在等保分保未测先上、违规分包致数据泄露风险、系统重复建设与闲置等乱象。涉及发改委、能源局、海关总署等部门未落实安全合规要求，公安部48个软件月均使用不足1次。建议开展专项自查、收紧外包管控、定期清查闲置资产。

美国网络司令部通过`持续网络训练环境`（PCTE）项目为美军网络部队提供标准化网络作战训练平台，该项目2025-2031财年总预算约9.62亿美元。PCTE作为联合网络作战架构组成部分，已实现多密级运行授权、平台升级、AI内容开发等成就，并通过活动管理、环境运行、连接设施和测试评估四个子项目持续推进训练能力集成与创新。

该文档为第二届`湾区杯`网络安全大赛青少年组线上培训通知，由赛宁信息发布。主要内容包括培训时间安排、参与方式及比赛样题开放信息，旨在提升青少年网络安全知识水平。文档提供了官方附件链接供查阅详细内容。

该文档为星航安全实验室发布的免费DeepSeekV4token获取信息，提供两个API密钥及OpenAI/Anthropic兼容协议接口地址，主要包含token赠送群组邀请和具体使用端点。

JFrog安全团队公开了Linux内核权限提升漏洞CVE-2026-43503（DirtyClone），CVSS评分8.8，允许本地无权限用户通过篡改页缓存获取root权限。该漏洞源于DirtyFrag漏洞家族底层缺陷，利用IPSec隧道原地解密覆盖内存。Debian与Fedora等默认开启非特权用户命名空间的发行版受影响，Ubuntu24.04+通过AppArmor限制可阻断。建议立即升级内核至5月21日主线补丁版本，或临时设置kernel.unprivileged_userns_clone=0、拉黑e

欧盟AI法案DigitalOmnibus修正案已通过，高风险AI合规期限延后16个月至2027年12月，但禁令、大模型监管和AI生成内容水印义务仍按期执行。法案新增AI脱衣工具禁令，要求企业分阶段落实合规：大模型厂商需立即完成数据文档留存，生成式AI工具须在2026年8月前嵌入溯源水印，高风险系统需提前搭建风险管理流程。境外企业必须指定欧盟授权代表，违规最高处罚全球营收7%。

本文深入分析盲SSRF漏洞的局限性及现有解决方案的不足，提出利用HTTP重定向循环技术突破无回显限制的创新方法。通过搭建重定向服务器制造循环访问，利用HTTP客户端重定向次数限制触发错误信息回显，从而间接获取内网元数据等敏感信息。文档包含Python代码实现和三种具体攻击路径，为渗透测试人员提供了可行的技术思路。

中国信通院启动首批企业级智能体技能(aiskills)治理能力成熟度评估工作，旨在解决企业智能体技能资产底数不清、全流程管控缺失、安全合规风险等治理难题。评估体系从能力、管理和安全三大维度构建，划分基础级、增强级和先进级三个成熟度等级，重点考察智能体技能全生命周期管控、组织机制、管理制度、资产管理、权限治理及安全防护六大核心内容，以推动企业建立标准化治理体系，提升智能体安全可信发展水平。

本周网络安全事件频发，涉及关键漏洞、供应链攻击与国家级黑客活动。Curl修复潜伏25年的认证绕过漏洞，libssh2曝出高危RCE漏洞；FortiBleed行动致43万台防火墙凭证泄露，俄罗斯Turla组织使用新型STOCKSTAY后门针对乌克兰。Polymarket因第三方入侵损失294万美元，巴西警报系统因弱密码遭篡改。OpenAI推出GPT-5.5-Cyber辅助漏洞修复，恶意Chrome扩展滥用原生消息主机窃密。建议立即升级软件、启用MFA、审计第三方服务。

该文档为GBT47324-2026车联网平台网络安全防护标准的推广内容，重点宣传通过微信公众号回复特定代码获取PDF全文的下载方式，同时提供加入技术交流群、会员服务及行业合作渠道。文档包含大量图片占位符和重复的推广信息，实质技术内容未展示。

本文记录在ARM64Android平台上构建内核驱动内存读写检测Demo的全过程，包含用户层防御端与root权限攻击端的对抗实践。防御端通过pagemappresent检测、perfevent交叉通道、CPU缓存时序等5种用户态方法检测外部内存访问，其中缓存时序检测是唯一能检出物理内存直读的手段；攻击端从access_process_vm演进为手动遍历页表的物理直读，成功绕过部分检测但仍被缓存时序方法捕获。

该文档探讨了社会现象`首次豁免权`，即首次犯错往往不受处罚或处罚轻微的现象。作者批评这种不公平性，指出在不同场景如职场、群聊、景区中普遍存在，并建议读者主动利用该权利。

Linux内核存在DirtyClone权限提升漏洞CVE-2026-43503，影响3.9至7.1-rc4多个版本。该漏洞因skb片段转移时未正确传播共享标记，导致可绕过Copy-on-Write保护，使本地低权限用户通过网络包处理链污染root只读文件页缓存实现提权。官方已发布修复版本v7.1-rc5，临时措施包括关闭非特权usernamespace或禁用相关内核模块。

近日libssh2客户端库曝出高危内存破坏漏洞CVE-2026-55200，该漏洞源于SSH握手阶段对数据包长度字段校验不足，攻击者可构造恶意数据包触发整数溢出导致堆溢出，极端情况下可实现远程代码执行。由于libssh2被curl、git、php等大量基础设施组件静态编译集成，漏洞影响面广泛且隐蔽。目前Poc已公开但未发现野外利用，建议用户及时排查资产、应用补丁并限制客户端对外SSH连接。

黑鸟公开耗时六个月开发的Heavener项目，这是一个面向Windows的模块化EDR仿真引擎，可加载从SentinelOne、CortexXDR、CrowdStrike、Sophos四款主流商业EDR产品逆向提取的真实检测逻辑，通过内核驱动与ETW全维度采集系统遥测，在单线程流水线中处理25种事件类型，并支持实时检测与事件回放，输出与生产环境EDR完全一致的告警结果，为安全测试提供免安装真实代理的验证方案。

文档记述某考生篡改7名同学高考志愿的案例，法律上构成破坏计算机信息系统罪并获刑；技术层面指出系统缺乏二次验证机制，建议采用短信提醒、人脸识别等措施；强调法律惩戒与技术防护并重，维护招生公平。

本文档为2026年攻防演练高危漏洞集合报告，整合斗象智能安全、漏洞盒子等数据源，系统梳理2025年10月至2026年6月期间红队高频利用的34个漏洞。核心内容涵盖远程代码执行、认证绕过、SQL注入等漏洞类型，涉及Oracle、Apache、Cisco等主流厂商产品，提供漏洞编号、资产类别及修复方案。报告旨在协助企业开展HW前风险自查，强化边界防护，针对性配置封堵策略。

文档介绍了WinClaw工具的IM调用功能，可将AI助手接入微信、飞书、钉钉等主流聊天软件，实现远程操控电脑、文件传输、数据处理等办公场景。文章详细展示了各平台接入步骤，并强调该功能支持自定义IM系统插件化扩展，最后推广了限时SVIP注册活动。

微软下架Edge应用商店119款恶意扩展，该团伙自2021年起将恶意代码隐藏于图片与字体文件中，通过延迟激活、服务端校验等手段规避检测，累计安装量达260万次。插件表面提供广告拦截等正常功能，实则窃取谷歌、WordPress等账号凭证并实施广告欺诈。微软已封禁90余个开发者账号，建议用户检查扩展列表并修改敏感账户密码。

ArachneC2是基于libp2p/IPFS的去中心化C2框架，通过PeerID身份认证、DHT发现和中继机制实现无中心服务器的隐蔽通信。采用NaCl加密与Ed25519签名保障传输安全，具备文件操作、进程管理、端口转发等标准功能。分析指出其强项在于抗基础设施拆除，但存在Go二进制特征明显、EDR检测规避能力弱、流量无混淆等短板，建议防守方监控libp2p网络连接行为。

本文详细解读企业申请成为CNNVD（中国国家信息安全漏洞库）技术支撑单位的全流程，重点阐述该资质的四大价值（权威背书、技术认可、政策红利、品牌曝光），将申请流程分解为战略筹备、贡献考察、专家评审三阶段，并强调需提前6个月布局漏洞提交记录、注重中高危漏洞质量。文末提供专业团队的四大服务优势（预评估、材料定制、全流程办理、高通过率）以协助企业高效通过资质认证。

HackJava是Java安全研究领域的综合性资源聚合平台，系统梳理了漏洞分析、代码审计、工具集、漏洞环境等完整技术链条。项目涵盖安全教材、基础教程、视频培训等学习资源，重点覆盖Web漏洞、内存马、SAST/DAST/IAST等工具链，并提供主流Java框架的安全研究资料。平台采用目录分类结构，可作为Java安全研究的技术参考体系。

字节跳动CEO梁汝波发布全员邮件，全面更新公司文化与领导力准则以适应AI行业变革。新准则强调拉高目标格局、扎根业务一线和重情境轻管控，并将精简流程、强化长期价值，以务实高效的组织支撑AI时代的技术与业务突破。

马斯克于6月28日宣布Grok4.5启动内部测试，性能接近ClaudeOpus，并计划在2026年剩余时间每月发布全新从零训练的AI模型。该模型基于1.5万亿参数架构，补充Cursor数据，采用SpaceX和特斯拉真实场景验证。月更策略将加速行业竞争，但可能压缩安全验证时间并放大供应链风险。