ZONE.CI 全球网

该漏洞影响ControlWebPanel0.9.8.1225之前版本，攻击者无需认证即可通过未净化的userRes参数执行任意SQL查询，进而写入webshell实现远程代码执行。公开PoC已发布，管理员需立即升级至0.9.8.1225或更新版本，并检查Roundcube目录异常文件。

CVE-2026-48282是一个CVSS评分10分的严重ColdFusion任意代码执行漏洞，正遭实际利用。该漏洞为路径遍历缺陷，攻击者可远程完全控制服务器，无需用户交互。影响ColdFusion2025Update9及更早版本、2023Update20及更早版本。Adobe已发布紧急补丁，管理员必须立即安装ColdFusion2025Update10或2023Update21，并建议进行网络分段以限制损害。

本文基于OWASPLLMTop10框架，梳理了8道大模型安全面试高频题，涵盖提示词注入、越狱攻击、不安全输出处理、训练数据投毒、模型拒绝服务、供应链安全、敏感信息泄露及安全测评体系。每道题给出定义、原理、案例和防御措施，强调LLM特有威胁及防御方法，为面试提供系统框架。

老牌俄APT组织Turla推出新后门StockStay，专攻乌克兰军政和欧洲外交机构。该恶意软件采用模块化架构，通过GitHub云通道和漏洞钓鱼入侵，具备强加密和环境锁隔离技术，传统杀毒易漏报。建议升级WinRAR、监控异常WebSocket连接和邮件网关检测，阻断云隐蔽通信通道。

本文记录红队成员在缺乏C2源码时，通过逆向分析Vshell前端及通信协议，借助AI工具反推后端的过程。核心难点在于WebSocket交互命令调试，最终通过MCP自动生成正常交互界面解决。经验表明AI在协议逆向与代码调试中效率高，但需人工干预复杂逻辑。建议遇到类似问题时尝试不同AI工具或方法。

Pegasus间谍软件入侵了正在调查间谍软件滥用的欧洲议会议员，通过零点击漏洞利用HomeKit和iMessage，感染发生在委员会关键活动期间，可能泄露机密信息。苹果已修复漏洞但攻击发生在之前。攻击者身份未确定但可能与针对流亡记者的行动有关。

乌克兰安全局与美国联邦调查局联合破获俄罗斯情报机构长期行动，该行动通过伪装成即时通讯平台客服的虚假短信，诱骗乌克兰、欧洲和美国政府官员、军方人员及活动人士泄露Signal和WhatsApp账户凭证，旨在窃取敏感军事、政治和经济信息。建议用户定期检查活跃会话、启用双因素认证、避免扫描未知二维码及点击可疑链接以防范此类威胁。

美国国务院悬赏1000万美元征集UNC5792和UNC4221黑客组织信息，这两个组织与俄罗斯情报和军事部门有关联，曾针对Signal和WhatsApp账户进行网络钓鱼活动，窃取数据备份密钥。文章强调通信平台加密未被攻破，但攻击仍有效窃取私人数据，并提供了安全建议。

日产汽车因OraclePeopleSoft零日漏洞（CVE-2026-35273）遭ShinyHunters勒索组织攻击，导致美洲多国员工个人信息泄露，包括银行和社保数据。日产已启动应急响应，限制工资访问权限并提供信用监控，同时与甲骨文合作修复漏洞。

本文详细记录了在Windows10环境下安装Hermes桌面端时遇到的三个主要问题及解决方案：卡在安装ripgrep和ffmpeg时需手动通过winget或下载安装包并配置环境变量；BuildingDesktopApp失败因缺少gitcommit信息，需手动克隆仓库到指定目录；CloningHermesrepository失败同样可通过手动克隆解决。此外还提供了uv、pip、npm镜像配置及Playwright下载失败的解决方法，并概述了脚本安装流程和安装后配置步骤。

本文档记录了ACTF2020新生赛Upload题目的解题过程。题目为Web类型，涉及文件上传漏洞。解题者上传一句话木马后遭遇后缀过滤，通过尝试将后缀改为.phtml成功绕过限制，并使用蚁剑连接获取服务器权限，最终找到flag。该过程展示了针对文件上传过滤的常见绕过技巧。

本文讨论结构化知识库和方法论在AI安全场景中的核心价值，强调其将安全知识从人类阅读材料改造为AI可调用的任务单元。核心观点是知识组织方式比数量更重要，需具备可定位、可判别、可组合、可校验四层结构。文章纠正了常见误解，指出技能是动作单元而非概念摘要，漏洞库是结构化对象而非泛化描述。最后提出判断知识库价值的三个变量：粒度、元数据和边界，并给出实践建议。

文章指出量子计算威胁经典公钥密码安全，NIST已标准化后量子算法如Kyber等，但实际部署面临工程挑战。通过评估CPU、GPU、FPGA等平台性能，发现硬件加速可显著提升运算效率，混合密码方案是当前最可行的迁移路径。建议尽早将安全验证纳入开发流程，利用开源库加速抗量子密码应用。

本文介绍MCP协议作为AI世界USB接口已成为行业标准，提供5步搭建MCPServer的实战教程，包括环境准备、定义Tool、注册Resource、启动Server和Client配置，并指出常见坑与排错方法。核心结论是掌握MCPServer开发能让AIAgent调用自定义工具，是Agent时代的关键技能。

SilverFoxAPT组织将ValleyRAT升级为八阶段恶意软件链，最终部署内核级rootkit。攻击使用DLL侧加载、ETW/AMSI绕过、PNG隐写术和Donutshellcode等技术。ValleyRAT通过WebSocket和QUIC协议通信，并检查虚拟化环境。rootkit包含65个IOCTL处理器，通过命名管道与RAT通信。防御者应监控MSI安装、可疑进程和内核驱动签名。

QuadRF是一款基于树莓派5和FPGA的相控阵无线电设备，支持4.9-6GHzC波段，可穿墙探测WiFi信号并追踪无人机。实测中AR可视化工具新颖但界面粗糙，技术亮点是利用树莓派MIPI接口实现超过5Gbps的低延迟射频信号传输。设备售价499美元，在CrowdSupply众筹，适合SDR和射频环境可视化应用。

RFC9925定义了未签名X.509证书的配置文件，使用占位符签名算法id-alg-unsigned替代自签名，以解决后量子签名过大和密钥重用问题。它更新了RFC5280，允许在仅需主题信息时省略签名，但要求验证器必须拒绝该算法用于证书路径。文档提供了构建方法、颁发者字段处理建议及安全考虑，强调应用程序应将其视为无法识别的签名算法。

公开资料显示，安全研究人员发现戴尔BIOS口令存在严重漏洞CVE-2026-40639。该漏洞源于使用可逆的XOR加密而非安全哈希函数存储口令，且加密密钥直接暴露在闪存中。攻击者通过物理访问读取SPI闪存，可在毫秒内恢复BIOS管理员口令。受影响设备包括多款Latitude、XPS及在售的Wyse5070瘦客户机。戴尔已为部分平台发布补丁，但大量已终止支持设备面临风险。建议将BIOS口令仅视为混淆措施，并设置唯一口令强化物理安全。

国家金融监督管理总局于7月10日就《银行业保险业网络安全管理办法（征求意见稿）》公开征求意见，意见反馈截止8月10日。办法共八章七十二条，围绕网络安全治理、建设运行、风险监测、事件响应、关键信息基础设施管理等核心领域提出明确要求，强调全集团统一管理与分级分类管理，旨在落实上位法并汲取实践经验。

太原警方破获411万元电诈洗钱案。嫌疑人利用社交平台实施杀猪盘诈骗，资金经白酒、黄金、废钢三条实体链洗白。警方抓获七人，揭露虚假黄金交易等洗钱手法。该案警示公众警惕网络投资骗局，提升防范社会工程学攻击的意识，商户亦应严控异常交易防沦为洗钱工具。

兴安盟公安机关通过全链清剿、精准打击、智能预警和源头断卡等组合拳，2025年打掉7个黑灰产团伙，核查涉案手机号卡30余万张，成功劝阻潜在受害人18万余人次，全年未发生50万元以上重大电诈案件，有效遏制了电信网络诈骗犯罪蔓延。

云存储与本地存储各有优劣，云存储优势在于异地备份、自动同步和多设备访问，但存在账号安全、隐私和账号异常风险；本地存储提供高速访问和完全自主控制，但设备有寿命限制且易因物理损坏丢失数据。真正安全的数据应遵循3-2-1备份原则，即保留3份数据、使用2种不同介质、至少1份异地备份，两者互补使用才能最大程度降低数据丢失风险。

中金公司公开招标AI个人桌面助手采购项目，包括AI编程和办公桌面助手及部署服务。投标人需满足财务、信用、业绩等资格要求，接受原厂或代理商投标。招标文件获取时间为2026年7月10日至17日，投标截止及开标时间为7月31日09:30。

恒丰银行AI风险官系统建设项目采购结果公示，成交单位为奇富数科（上海）科技有限公司，项目编号HFZHJZCG202603097，开标时间为2026年6月30日。

公安部网安局澄清多起涉广西汛情谣言，包括北海村民要求先救猪后救人、广西老人独坐屋顶待救援、钦州六蓝水库塌方及洪水冲下尸体等不实信息。公安机关已对造谣者依法处罚，提醒公众不造谣不信谣不传谣。