ZONE.CI 全球网

奇安信CERT发布LinuxFUSEpagecache本地权限提升漏洞CVE-2026-31694安全风险通告。该漏洞影响多个Linux内核版本，攻击者获得本地低权限后可通过恶意FUSE服务端触发越界写，提升至root权限。PoC和技术细节已公开，建议用户升级内核至修复版本或采取限制FUSE访问等临时缓解措施。

浙江公安通过警力下沉、共建共治和数智化手段推动基层善治。警力下沉至社区提升响应速度，构建全民参与的平安共治体系如义警队伍，并利用数字化平台排查化解纠纷。核心成效包括挽回经济损失7.28亿元、矛盾化解率达95.21%，强调派出所主防定位和源头预防。

近日四部门联合起草《金融业网络安全管理办法（征求意见稿）》，构建全行业统一网络安全规章，对金融机构提出等级保护、商用密码使用、数据保护及关基设施安全等要求。天威诚信密服平台提供密码资源管理、密评支持及国密改造方案，助力金融机构满足合规要求。

该文档是中国信通院副院长王志勤对《互联网信息服务管理办法（修订草案征求意见稿）》的专家解读。文章阐述了修订的重大现实意义，包括夯实网络法治根基、补齐新业态治理短板、健全公民权益保障机制。重点介绍了修订草案在坚持发展与安全并重、实施精准治理、构建多维协同监管体系及细化法律责任等方面的制度完善。最后指出新规将推动互联网信息服务向上向善发展，并需持续跟进技术演进。

公开资料显示，近期有网友发现必应搜索‘收款码’时，下拉联想词出现大量相同广告词。经安全圈实测，这是黑灰产平台批量刷量行为，并非用户端问题。文章指出刷联想词是行业顽疾，必应因市场份额增长成为新目标，其反作弊能力有待提升。建议搜索引擎厂商加强安全防护。

runZero在FatFs中发现7个漏洞，影响IoT和嵌入式设备，可导致内存损坏、崩溃或数据泄露。漏洞通过精心制作的存储介质触发，其中两个与空中固件更新相关。由于FatFs由单一维护者且无上游补丁，修复依赖下游供应商。建议审计FatFs副本、限制物理访问并监控更新。

2026年7月7日披露的美国T-mobile运营商3700万用户数据泄露事件，数据维度包括姓名、账单地址、邮箱、手机号等，可用于外贸营销。同时提及lockbit团队相关采购信息，但内容不完整。

文章记录了江苏省第四届数据安全技术应用职业技能竞赛初赛中源码泄露题的解题过程，包括通过git日志比对获取答案、分析ssh日志识别异常进程、以及使用binwalk和dd命令恢复块备份文件，但第三问因答案不符未能得分。

CertiK成为阿布扎比全球市场(ADGM)科技生态Hub71的首选安全与合规供应商，为生态内企业提供8折服务优惠、20万美元补贴池及免费合规工具。合作旨在降低初创企业合规门槛，应对数字资产监管从探索转向主动执法的趋势，提供智能合约审计、渗透测试等全生命周期安全服务，助力企业满足牌照申请与反洗钱要求并加速跨国业务拓展。

本文复盘了WorkBuddy平台AIPDF分析插件的SSRF漏洞。作者通过构造恶意PDF文件，利用插件的URL抓取功能成功访问云服务器元数据服务，获取了IAM凭证。漏洞根因包括未校验目标地址、内网权限过大及缺乏网络隔离。文章提出了使用白名单、沙箱机制、最小权限原则等修复建议，并介绍了WorkBuddy企业版的防护方案。最后附有抽奖活动。

本文档是游戏逆向系列教程的第三部分，聚焦外部作弊概念。内容介绍了工具集（IDAPro、VSC++）、内部与外部作弊的理解、操作系统与通讯方式，以及验证后需拼凑人物、视角等数据形成有效使用的步骤。文档明确声明仅用于逆向教育目的，禁止违法使用，并提及了AI在逆向中的应用趋势。

文档描述使用hermes工具渗透一个骗子网站的经历。发现网站后台缺失，所有API返回402和404。唯一真实的是客服系统，存在Swagger暴露、文件上传无认证、消息接口未授权等漏洞。进一步发现客服系统为关键词自动回复，充值凭证为照片而非链上校验。结论是防诈意识需加强。

文章探讨AI对漏洞赏金产业的影响，认为AI不会终结该行业但会重新定义竞争规则。AI显著提升漏洞发现速度并降低入门门槛，但也导致重复报告和垃圾报告激增。未来漏洞猎人需具备业务理解、逻辑分析和AI协同能力，单纯依赖工具和重复劳动将被淘汰。企业需加快漏洞响应流程，安全测试应贯穿开发生命周期。

本文辨析了等级保护中安全通信网络、安全区域边界与安全计算环境的区别。安全通信网络和区域边界属于外围安全能力，依赖网络基础设施和边界设备提供传输安全与访问控制。安全计算环境则关注系统自身的内生安全能力，如身份鉴别、访问控制等，体现了从边界防护向纵深防御和零信任理念的演进。

该文档为腾讯玄武实验室每日安全动态推送，汇总了多个高危漏洞与攻击技术。核心要点包括：TrojPix攻击利用HDMI电磁辐射将隔离计算机数据外泄距离扩展至208米；CursorIDE的DuneSlide漏洞实现零点击远程代码执行；2FA绕过漏洞暴露身份验证逻辑缺陷；ApacheAPISIXJWT算法混淆导致认证绕过；BadEpollLinux内核漏洞可导致AndroidRoot提权；以及针对AI代理的间接提示注入攻击和针对研究员的ChocoPoC供应链攻击。这些发现对物理隔离、AI开发工具及身份验证等安全防

青岛城阳警方打掉一个以黑吃黑为手段的电诈洗钱团伙。该团伙对接境外电诈集团承接洗钱业务，待赃款转入控制账户后违约私吞，半月内涉案超一百五十万元。警方依托数据研判与实地核查，在河北唐山抓获十三名核心成员。此案提示需强化异常资金流监测与跨地域协作以遏制黑灰产蔓延。

暗网分析师披露商业住宅代理网络LegionProxy遭遇数据泄露，约1.01万个账户受影响，泄露内容包括电子邮件地址、bcrypt密码哈希值、姓名及购买记录。该事件暴露了代理服务商的安全防护薄弱，建议用户立即修改密码并启用多因素认证。

武胜县公安局在安辑2026专项行动中打掉一个特大对公账户洗钱犯罪团伙。该团伙注册10余家空壳公司违规办理对公账户，通过第三方支付平台为境外电诈团伙洗白转移赃款，涉案资金2000余万元关联22起电诈案件。警方抓获17名嫌疑人并网上追逃1名。提醒群众出租出借账户属帮凶行为将被追责。

T3MP3ST是一个开源自主红队平台，于2026年7月初发布，将AI编码智能体转化为进攻安全操作员。其核心设计理念包括无密钥作战和范围外溢控制，通过八操作员杀伤链实现自动化攻击流程。基准测试显示在XBEN套件上得分90.1%，在10个真实CVE中识别出8个。用户可通过克隆仓库、安装依赖并启动WarRoom或CLI模式使用。

图们市公安局成功拦截一起电信网络诈骗案件，受害人王某被诱导下载屏幕共享app遭远程操控，在视频app商城购买银条损失近3万元。民警通过预警及时联系受害人，紧急拦截快递并联系商家退款，全额挽回经济损失。警方提醒公众警惕陌生代办退款、拒绝屏幕共享和远程操控请求。

Linux内核epoll子系统发现释放后使用漏洞CVE-2026-46242，允许非特权本地用户提升至root权限，影响服务器和Android设备。攻击者利用竞争条件触发UAF，通过/proc/self/fdinfo获取内核内存读取并劫持控制流获得rootshell。管理员需应用上游补丁，无变通方案。

本文详细解读了中国船级社船舶网络安全指南的产品网络安全要求部分，涵盖标识和鉴别、账户管理、口令强度等核心安全要素。指南按SL0至SL4进行安全分级，并针对不同等级提出了具体的技术要求、验证流程及解决方案，为船舶网络系统的安全建设提供了可操作的标准与实施指导。

PANDA2026活动推出两大现场挑战：趣味密码游戏金钞大盗和AI辅助激光故障注入黑客松。黑客松聚焦RP2350芯片漏洞，探索AI与硬件安全协作新路径，推动芯片安全从理论走向实战。活动于2026年7月13-14日在深圳举行，鼓励安全从业者参与实战切磋。

该文档揭示一类新型恶意软件利用扫描规避技术攻击AI代码助手ClaudeCode和Codex。攻击者通过结构混淆和自解压技能封装两种手段，将恶意载荷藏匿于代理技能包中，绕过主流静态扫描工具的检测。研究团队实测显示，伪装后的恶意样本对8款扫描工具的绕过成功率超80%。真实攻击团伙ClawHavoc已在公开市场投放数百款恶意技能包。文档建议开发者采用动态行为分析工具如SkillDetonate，并严格限制AI智能体权限以防范此类威胁。

T3MP3ST是一款开源安全框架，可将ClaudeCode等AI代码智能体改造为自主红队工具，无需额外API密钥。在XBEN基准测试中通过率达90.1%，对10个真实CVE漏洞可检出全部。框架设计8类作战角色，但仅侦察引擎和单智能体漏洞利用链路稳定，其他模块仍在实验阶段。仅允许用于授权测试，使用者需承担法律责任。