ZONE.CI 全球网

2025年度中央预算审计报告揭示财政资金监管四大问题领域:预算执行与转移支付资金分配跑偏、专项债券项目虚报收益套取资金、专项资金被挤占挪用和闲置浪费、项目建设审批不严与绩效缺失。企业项目申报与资金使用需重点审查八大方面,包括申报真实性、政策匹配度、资金合规性、审批程序、建设进度、绩效目标达成、财务核算规范及整改落实。绩效评价成为核心监管抓手,企业须建立全生命周期绩效管控体系,确保目标可量化、过程可追溯、结果可兑现,否则将面临资金追缴、限制申报等处罚。

CNNVD近期采集208个AI漏洞，含32个超危、92个高危、84个中危。主要涉及FlowiseAI、OpenClaw、MicrosoftAzureAIBotService等厂商，漏洞类型包括输入验证错误、权限控制问题和授权问题。厂商已发布补丁，建议用户及时更新。

中央网信办自2026年5月推进短视频内容标注工作，近期从严处置一批未规范标注的账号和平台。典型案例包括利用残障人士卖惨、摆拍外卖员悲情故事、演绎家庭矛盾、虚构正能量事迹等违规行为。近两月累计清理违规短视频24.1万余条，处置账号2.1万余个，并对未落实标注要求的中小平台进行约谈。下一步将继续从严处置和公开曝光违规行为。

公安部发布暑期防范电信网络诈骗安全提示，针对中小学生、大学生及留学生群体，揭露网络游戏虚假交易、刷单返利、冒充公检法等常见诈骗手法，并提醒家长加强监督、学生不点击陌生链接、及时报警，同时警惕高薪招聘陷阱，避免成为电诈帮凶。

2026年第二届ICO国际网络安全奥林匹克在突尼斯落幕，中国队首次参赛即获两枚铜牌，并成功申办2028年第四届ICO（由武汉网络空间安全学院承办）。两位中国专家入选ICO国际委员会和国际科学委员会，提升中国在全球青少年网络安全教育领域话语权。赛事采用CTF模式，覆盖二进制、密码学、取证、逆向、Web安全等领域。

斗象科技CowboyOS作为国内首个面向安全运营场景的AI员工操作系统，新增Hermes运行环境支持，验证其解耦架构。该系统将SOP转化为可执行工作流，沉淀组织经验，统一权限与审计，实现漏洞处置、告警分析、自动化巡检等场景的闭环运营。其核心价值在于通过异构运行环境适配与治理统一能力，降低技术迭代成本，避免厂商锁定。

本文是网络安全工程师zero老z的个人介绍，他创建了cyberseclab安全实验室，旨在分享网络原理、安全原理和系统思维等长期有价值的知识，而非短期热点。未来计划持续分享网络基础、防火墙、VPN、OT安全等方向的内容，强调理解为什么这样做比如何操作更重要。

斗象科技发布2026攻防演练必修高危漏洞集合1.0版，梳理了2025年10月至2026年6月期间红队利用最频繁的34个高危漏洞，涵盖远程代码执行、认证绕过、SQL注入等类型，涉及Oracle、Apache、Microsoft等厂商及国产系统。报告提供漏洞基础信息、检测规则和修复方案，旨在协助企业开展风险自查、加固边界防线，完整版需关注公众号获取。

国家计算机病毒应急处理中心通报了72款移动应用和小程序存在个人信息保护违规问题，覆盖医疗、金融等多个领域。其中小程序占比较高，因其开发迭代快常忽视合规流程。通报的问题主要集中在隐私政策告知不明确、用户同意方式失范、未完全保障用户权利（如更正、删除信息）以及数据安全措施薄弱等方面。企业需对照要求落实合规，加强数据加密与匿名化处理，以规避下架风险。

优比快修复UniFi操作系统7个高危漏洞，含CVSS10.0命令注入漏洞CVE-2026-50746。其他漏洞涉及SQL注入、SSRF、CORS配置错误等，影响UniFiConnect、Talk、Access等应用。厂商建议升级至066号安全公告所列版本，暂未确认在野利用。用户应尽快更新以降低风险。

Nebula团队公开了安卓远程Root漏洞利用链，结合Firefox浏览器漏洞与Linux内核15年旧漏洞，用户点击恶意URL即可实现设备Root。攻击链分浏览器、内核和后利用阶段，已证实可在谷歌Pixel设备上运行。漏洞细节暂缓披露，但PoC代码已公开，建议用户及时更新系统补丁。

ApacheAPISIX3.16.0版本的jwt-auth插件存在JWT算法混淆漏洞(CVE-2026-39999),CVSS评分9.1。攻击者可利用公钥伪造令牌绕过身份验证,可能暴露后端服务。建议升级至3.16.1或更高版本,并审查访问日志排查异常令牌。

pretix团队发布2026.5.3版本修复两个严重漏洞。CVE-2026-13602为会话劫持漏洞，攻击者通过串联支付插件签名验证缺陷、重定向工具密钥复用及管理员模拟功能，可获取任意后端账户控制权。CVE-2026-13603为pretix-oppwa插件SSRF漏洞，因未校验resourcePath输入导致OppwaAPI密钥泄露。官方建议立即更新至2026.5.3等版本并更换API令牌，临时可屏蔽特定URL缓解。

2026年虹膜识别与指纹识别在生物识别领域展开巅峰对决。虹膜识别凭借原生非接触、高稳定性及NIST最新评测中速度飙升180倍的优势，在高安全场景崛起；指纹识别仍以法律先例和性价比主导司法与消费领域。两者均引入动态活体检测与不可逆模板保护。未来趋势是多模态融合，根据场景动态调用，实现安全与体验双赢。

全球最大动漫盗版网站hianime被越南警方联合美国执法部门捣毁，该团伙运营100多个盗版网站，盗版超26000部动漫，非法获利1285万美元，7名嫌疑人被捕。此次行动标志免费动漫盗版时代加速终结，正版化趋势加强，但短期内用户可能面临追番不便。

GhostCMS存在严重缓存投毒漏洞(CVE-2026-53943,CVSS9.6),影响v4.0至v6.36.0版本。攻击者利用x-ghost-preview请求头污染共享缓存,可劫持员工账户。建议立即升级至6.37.0或更高版本,或配置缓存绕过该请求头。若怀疑被入侵,可使用v6.41.0中的重置身份验证功能。

本文介绍了FridaRPC机制，将App内部加密函数暴露为外部Python可调用的API，避免还原算法。核心包括rpc.exports暴露接口、三层通信架构、JSON序列化限制、Java.perform包裹必要性及零依赖最小示例。关键建议是RPC脚本越短，App升级后失效概率越低，适合批量签名、动态密钥等场景。

本期暗网快讯汇总了2026年7月9日多个数据泄露事件，涉及美国通信服务商Cox、加拿大电信Videotron、法国旅游机构、政府UFO研究文件、马来西亚税务机构等，威胁行为者兜售凭证、数据库及机密文件，包括RansomHouse宣称攻陷Trellix源代码仓库。建议关注凭证泄露和供应链风险。

lpe-toolkit是GitHub上开源的Linux提权审计工具，集成24个漏洞覆盖7种CPU架构，支持自动检测内核版本并过滤已修补漏洞。工具提供预编译二进制、干跑模式等功能，适用于渗透测试、应急响应和安全研究。使用需注意仅限授权场景，部分漏洞可能触发安全告警。

本文介绍基于Cairn二次开发的AI渗透测试机器人Zero的设计与实战。核心是专家Agent与渗透Agent的双人协作框架，通过有向无环图进行逻辑推理，利用MCP协议集成工具。实战中成功获取webshell，但存在成本高、复杂场景能力弱、图形界面操作缺失和幻觉误判等局限。作者认为AI自动化渗透正走向实战，但不会取代安全专家。

该文档介绍了一款面向APP/Web加解密逆向分析与渗透测试的可视化解密框架CipherBridge。其核心特性包括AI自动生成mitmdump插件、可视化配置多种加解密算法、BurpSuite双向桥接及浏览器Hook等。工具支持Windows/macOS/Linux，安装简便。对于安全测试人员而言，该工具可显著提升处理加密接口的效率，是一个实用的开源解决方案。

重庆奇安信招聘App渗透测试和代码审计岗位。渗透测试岗要求2年以上经验，掌握逆向与协议分析，持有CISP及CNVD证书优先。代码审计岗要求1年以上经验，熟悉OWASPTop10及审计工具。简历投递至[email protected]。

本文是作者在CSOP2026AI安全大会的议题分享，系统分析了AI驱动自动化渗透测试的技术现状、工程实践与演进方向。文章指出当前AI渗透技术已进入实用阶段但尚未成熟，重点介绍了Cairn等基于事实图驱动的自动化渗透系统设计，并提出了多Agent协作、释放模型能力、Workflow与动态探索共存等工程判断。最后展望了从自动化渗透向持续验证能力演进的长期趋势。

工信部发布ClaudeCode安全后门风险提示；同时汇总多起安全事件：ControlWebPanel高危漏洞(CVE-2026-57517)可致远程代码执行；日本多家公司数据泄露；LinuxKVM存在16年逃逸漏洞；虚假面试钓鱼窃取Gmail凭证；埃森哲确认数据泄露；MicrosoftTeams被利用传播Etherrat恶意软件；Debull工具滥用设备代码流攻击M365账户。

Linux内核FUSE组件存在本地权限提升漏洞(CVE-2026-31694)，源于fuse_add_dirent_to_cache()未检查dirent大小，恶意FUSE服务器可导致缓存溢出。影响多个内核版本及Ubuntu、Fedora等发行版。利用需本地低权限及FUSE功能。建议立即升级补丁或采取限制FUSE访问等临时缓解措施。