ZONE.CI 全球网

哪吒网络安全MCP是一个基于Go语言的开源MCP服务器，旨在将AI编程助手与CVE漏洞数据库桥接，使开发者在编码阶段即可实时查询漏洞信息。它聚合CIRCL、GitHubAdvisoryDatabase和MyCERT三大数据源，提供18个工具，支持本地stdio和云端Lambda两种部署模式。其核心设计是非阻塞启动，确保AI助手连接零等待。该项目可有效将安全检测左移，降低修复成本。

BeyondTrustRemoteSupport与PrivilegedRemoteAccess平台存在多项高危漏洞，包括CVE-2026-40138等Critical级别认证绕过问题，CVSSv4评分9.2。攻击者可能在特定配置下未授权访问设备。官方已发布修复补丁，自托管客户需升级至RS/PRA25.3.3及以上版本。企业应优先修补自托管实例，收紧管理面暴露，并将远程运维平台纳入关键资产管理。

CERT/CC披露CVE-2026-11405，Tenda多款固件存在未记录认证后门，可导致未授权管理员级访问。该漏洞于2026年7月6日发布，目前无可用补丁。建议用户关闭远程Web管理、修改默认配置、关注厂商补丁或替换设备，以降低被攻击风险。家庭和小微企业应重视路由器安全管理，避免网络入口被控制。

该文档为安全行业招聘广告，主要招聘高级红队驻场工程师，岗位要求具备红队攻防、内网渗透、免杀等实战经验，薪资面议但暗示较高。同时包含出售安全证书及建群提供岗位的广告信息，整体内容偏向招聘推广而非技术分享。

文章分析了DEBULL工具链滥用Microsoft365设备代码流程进行钓鱼攻击的手法。攻击者利用合法OAuth机制，诱导用户在真实登录页面输入攻击者提供的代码，从而绕过MFA获取会话令牌。文章指出此类攻击针对高价值岗位，并建议企业限制设备代码流程、审计异常授权、监控邮箱行为，同时提醒用户不要输入他人提供的设备代码。MFA是基础但非终点，身份安全需转向持续授权合理性判断。

这是一条个人阅读动态，包含时间地点和小说阅读提示，无技术内容。

本文介绍Web-SurvivalScan这款渗透测试工具，用于大规模Web资产存活验证。它通过多线程并发实现高效批量扫描，支持多种URL格式、代理和SSL处理，并输出多种格式报表。工具基于Python3开发，使用简单。文章强调仅限授权测试，未授权使用违法。

百度智能云在2026全球数字经济大会上荣获可信云-云计算安全责任共担资质，基于YD/T4060-2022标准，36项测评指标全部通过。该资质认可了百度在云安全责任共担机制和治理实践方面的成果，体现了其云安全可信能力。百度智能云持续构建AI原生云服务体系，服务超500万企业客户，未来将继续完善云安全体系，护航企业数字化与智能化转型。

安博通以足球比赛比喻网络安全产品矩阵，介绍其隔离系统、AI防火墙、全流量取证系统、零信任系统、上网行为管理、安全运维平台、安全服务链控制器和AI交付架构等产品，强调分层协同、全域联动的安全防护理念，旨在为企业守住数字业务安全底线。

本文记录了利用Codex对三星电视进行后渗透提权的研究。研究人员提供浏览器Shell与固件源码环境后，Codex自主发现Novatek驱动(ntksys)因udev规则全局可写且未校验物理地址范围，可被用于任意物理内存映射。结合ntkhdma泄露物理地址验证原语后，Codex扫描内存并篡改cred结构体成功获取root权限。建议排查设备驱动权限及物理内存映射校验逻辑以防范此类攻击。

tproxy是一款轻量级开源TCP代理工具，可实时观测任意TCP连接全生命周期，支持gRPC、HTTP2、Redis、MongoDB等协议自动解析。其核心能力包括实时观测、智能协议解析、网络性能指标直出、连接池状态透视以及延迟转发与限速模拟弱网。通过一条命令即可定位gRPC超时、MySQL连接池打满等网络问题，安装方式支持Go、Docker和Scoop，适合后端开发、SRE及压测人员使用。

工业和信息化部网络安全威胁和漏洞信息共享平台监测发现AI编程工具ClaudeCode存在安全后门隐患，影响版本为2.1.91至2.1.196。该工具内置监控机制，未经用户同意向远程服务器回传地域、身份标识等敏感信息。建议相关单位立即卸载或升级至安全版本，并加强开发工具外联权限管控与流量监测。

本文档详细介绍了JSFAVC++编码标准中关于命名空间、模板和函数的核心规则。主要内容包括：非局部名称应置于命名空间内且嵌套不超过两层；模板需从自身和实例化两方面审查并覆盖测试；函数声明应在文件作用域，禁止可变参数和递归，限制参数不超过7个，并强调单一出口和错误返回值检查。这些规则旨在提升代码质量、安全性和可维护性。

本文深入分析了BeyondTrust远程接入平台近期披露的四个高危漏洞，其中两个为严重级别的认证绕过漏洞（CVE-2026-40138和CVE-2026-40139），可让攻击者绕过认证直接控制设备。文章还结合了该产品过往的两次被利用事件，还原了完整的攻击链，并从补丁修复、配置审查、日志审计等方面给出了防御建议。

本文探讨了利用AI辅助渗透测试的方法论，核心是设定边界与目标后让AI无限推理以提升效率。作者通过多个实战案例展示了AI在信息收集、接口分析及漏洞发现中的优势，如通过报错获取token、利用OAuth2弱口令接管后台、Fuzz发现隐藏存储桶及云凭证。文章强调AI能显著放大攻击面，但需人工引导与复盘，将经验转化为可复用的逻辑。

本文记录了一次针对某学院学工系统的渗透测试过程，通过信息搜集获取学生学号与身份证号，利用默认密码（身份证后六位）成功登录系统。随后发现SQL报错注入、布尔盲注、XSS及逻辑越权等多个漏洞，并打包提交。文章强调信息搜集的重要性，建议根据系统语言框架针对性测试，并全面覆盖各功能点以增加漏洞发现概率。

工业和信息化部NVDB监测发现AI编程工具ClaudeCode存在安全后门隐患，影响2.1.91至2.1.196版本。该工具内置监控机制，未经用户同意回传地域、身份标识等敏感信息。建议相关单位立即排查，卸载或升级至安全版本，并加强开发工具外联管控与流量监测，防止数据违规外传。

厦门大学沈耀斌副教授课题组在JournalofCryptology发表论文，系统分析了NISTSP800-108标准中基于CMAC和HMAC的密钥派生函数安全性。研究发现计数器模式存在常数时间碰撞攻击，而反馈和双管道模式安全。该成果理清了KDF安全边界，为标准化算法安全使用提供理论依据。

新型APT组织ArmoredLikho首次大规模利用大模型生成恶意代码，双线攻击政务电力设施与普通用户加密资产。其通过钓鱼邮件投递恶意LNK快捷方式与NSIS包，利用高危漏洞静默部署BusySnake窃密木马与反向隧道。建议政企紧急修补LNK漏洞，严控PowerShell外网下载，监控COM计划任务与特定可疑目录，并阻断反向SSH外联流量以构建有效防御。

中山大学网络空间安全学院在ICML2026上共有24篇论文被录用，其中4篇代表性工作由本科生和博士生完成，涵盖扩散模型持续个性化、离线强化学习、具身智能安全及MoE上循环优化等方向，展示了学院在机器学习与网络安全交叉领域的科研实力。

2025年国家最高科学技术奖授予陈立泉和贲德两位院士，表彰他们在锂电池和雷达技术领域的卓越贡献。同时，文档汇总了多项信息安全前沿研究，涵盖密码学、AI安全、漏洞分析等主题，为技术交流提供了丰富资源。

Cobalt发布的《2026渗透测试现状报告》显示安全从业者正迅速放弃自主渗透测试工具，因自动化扫描器遗漏关键漏洞且误报率高。完全依赖AI测试的组织比例从29%降至9%，47%偏好混合模式。AI漏洞修复率仅38%，平均修复时间从19天升至36天。报告建议自动化应用于低风险场景，复杂漏洞仍需人类专家。

本文梳理了政务网站常见网络安全隐患及整改落地指南，涵盖网站架构与服务器隐患、程序代码与应用漏洞、数据与信息安全隐患、内容与运维管理隐患四大类。文章详细列举了老旧组件漏洞、权限配置不当、注入类漏洞、XSS、文件上传漏洞、弱口令、越权访问、API未授权访问、敏感信息泄露、个人信息防护不足、挂马暗链、运维账号管理混乱、外包供应链管理缺失、缺乏日常巡检与应急机制、过期域名管理缺位等具体问题，并针对每类隐患给出了明确的整改措施，强调最小权限原则、参数化查询、内容安全策略、多因素认证、定期安全评估与应急演练等实操建议

截至2026年7月，大模型相关CVE进入大规模系统性供应链级爆发期，覆盖AI编码助手、MCP生态、推理引擎等六大攻击面，CVSS评分普遍9.0以上。AI编码助手因深度系统访问权限成为最高危目标，MCP生态首次出现系统性架构级漏洞。建议加强MCP信任模型和提示注入防护，关注供应链安全。

这篇新闻汇总了多个科技动态，包括DeepSeek自研AI芯片面向推理任务、智谱辟谣撤回A股辅导备案、亚马逊发债250亿美元为AI基建筹资、苹果折叠屏iPhone已量产、华为天才少年吐槽DeepSeek面试流程、中国人形机器人今年产量有望突破10万台、小米首款增程SUV或改名澎程、Momenta搭载量突破百万、NothingPhone(4b)发布、问界M9内饰曝光、脑虎科技脑机接口启动临床试验。核心要点是科技行业在AI、硬件和汽车领域的进展。