ZONE.CI 全球网

新型macOS窃密软件CrashStealer伪装成苹果崩溃报告框架，用原生C++开发，通过合法签名绕过Gatekeeper，窃取浏览器凭据、加密货币钱包和钥匙串数据，使用AES-256-GCM加密外泄，并设置持久化LaunchAgent。该恶意软件技术复杂度高，反映macOS威胁向专业化演进趋势。

ServiceNow披露并修复了其AI平台中的一个严重沙箱逃逸漏洞CVE-2026-6875，该漏洞可导致未经身份认证的攻击者远程执行代码，影响托管和自托管部署版本。ServiceNow已为托管实例部署安全更新，并为自托管客户提供补丁。建议组织立即审查并应用相应版本更新，同时监控异常活动以防范潜在利用。

日本最大出租车运营商日本交通公司因系统遭网络攻击被迫关闭部分基础设施，包括出租车调度和网上预订服务。公司已断开系统连接并聘请外部专家调查，目前未确认数据泄露但正考虑可能性。建议客户警惕钓鱼攻击并使用替代服务。

聚铭网络成功入围江苏有线雨花台分公司DICT项目合作伙伴，该项目聚焦政企数字化服务升级。聚铭网络凭借技术积淀与服务体系在智能化工程项目标段中胜出，未来将配合推进辖区智能化与网络安全建设。

本文介绍使用IDA与ClaudeCode联动进行自动逆向分析样本的安装配置步骤，包括Node.js、Git、ClaudeCode及CCswitch的安装，以及IDA9.3和ida-pro-mcp插件的配置。文章核心是推广付费圈子，提供免杀工具、红队技术等资源，技术内容较浅，主要面向红队和渗透测试人员。

《国家网络身份认证公共服务管理办法》实施一周年，在便民利企和保护公民个人信息方面成效显著。该服务以自愿免费为原则，已接入400余家单位，App下载量达9000万次，提供认证2.8亿次。应用领域拓展至互联网、政务、金融、医疗等，有效遏制黄牛抢票和诈骗活动。用户体验持续优化，未来将接入更多场景，提升社会认知度。

渝融云公司于2026年7月14日发布全新工服，将其定位为安全战袍，旨在统一团队形象并强化网络安全责任意识。文章通过视频和图文展示了新工装，并强调团队将以崭新面貌深耕AI+网络安全赛道，用专业实力筑牢区域网络安全屏障。这是一篇企业品牌宣传内容，核心在于展示团队风貌与企业文化。

该文解读四部门联合印发的《关于推动互联网基础资源高质量发展的指导意见》，系统谋划了IP地址、域名等互联网基础资源的中长期发展蓝图。文件围绕科技创新、设施升级、安全筑基、治理协同部署16项重点任务，旨在增强资源供给能力与安全保障水平，为网络强国和制造强国建设筑牢数字基石。

WindowsHTTP.sys存在整数溢出漏洞CVE-2026-47291，影响多个Windows版本。攻击者通过构造HTTP/1.xHTTPS请求触发内核堆溢出，可能导致系统崩溃或代码执行。建议立即安装微软官方更新以修复漏洞。

本文系统梳理了高质量数据集建设中数据采集的关键环节，涵盖文本、图像、音频、视频及多模态数据的采集特点与开源工具，并通过工业焊缝X射线、医疗超声影像、具身智能机器人操作三个行业案例，展示了从实景采集到标准化处理的全流程实践，为AI模型训练提供落地参考。

美海军研究揭示二进制级提示注入攻击：攻击者不改代码，仅嵌入特殊字符串即可误导AI逆向工具输出虚假报告。研究用遗传算法优化载荷绕过限制。防御上规则检测易失效，建议结合机器学习、输入隔离与人工复核构建体系防护。该发现表明二进制已成AI认知新攻击面。

本文剖析了AI信息安全与功能安全的差异，前者防御提示注入等外部攻击即防人搞AI，后者防范幻觉与对齐失败等内生风险即防AI搞人。文章指出两者边界日益模糊需实现双向融合，并梳理了中欧美AI监管框架，建议在开发全流程中贯彻韧性工程理念，构建具备自恢复能力的可信系统。

本文指出企业数据安全合规存在将达标当终点、安全与业务认知割裂及能力落地断层三大痛点。建议通过三条路径优化：一是从全覆盖转向抓重点，聚焦核心高风险资产；二是从应对检查转向服务业务，让合规赋能运营；三是从一次性达标转向持续运营，建立常态化迭代机制，实现数据保护与业务发展的长效平衡。

文章指出企业AI集群GPU利用率普遍偏低，仅30%至45%，算力堆砌不等于效率提升。安博通推出星斗异网异构算力编排调度平台，通过广泛兼容异构硬件、智能调度与动态分配，盘活存量算力资源。某高校案例显示，该平台整合异构算力后整体利用率提升30%，并简化运维管理，为AI训练等场景提供坚实底座。

该报告深度分析了四个网络安全攻击案例，包括TCL官网的SSTI与代码注入、路径遍历、命令注入及Elasticsearch远程代码执行。报告详细拆解了攻击载荷原理，提供了具体的修复方案与代码示例，并总结了统一安全防御框架与输入处理六原则。核心结论是需实施深度防御策略，对用户输入进行严格验证与转义，并禁用不必要的动态脚本功能。

微步在线薛锋在CSOP2026AI安全大会上指出，AI已彻底改写攻防生产力模型，攻击者迈入工业化作战时代，而多数企业防守仍停留在传统人工对抗的农业时代。AI使漏洞挖掘效率提升40-50倍，成本断崖式下降，并打破攻防技术门槛。防守方需夯实基础防御，以AI对抗AI，构建自动化运营与红蓝对抗体系，实现攻防对等制衡。

ApacheAirflowGitprovider存在SSH主机密钥校验绕过高危漏洞（CVE-2026-58065，评分8.1）。因其默认禁用StrictHostKeyChecking，攻击者可实施中间人攻击伪造Git服务器身份，注入恶意代码或窃取凭据，引发供应链风险。建议立即将组件升级至0.4.1及以上版本，并加强网络访问控制。

2026年7月14日安全简讯汇总了多起网络安全事件:GitHub上200余个诱饵库传播Windows恶意软件;Lidl第三方服务商遭攻击导致多国客户数据泄露;日本最大出租车运营商因网络攻击系统瘫痪;Jscramblernpm包被篡改含信息窃取恶意软件;macOS恶意软件CrashStealer伪装崩溃报告工具窃取凭证;九国联合警告俄黑客利用路由器漏洞攻击关键基础设施。建议加强供应链安全、警惕钓鱼攻击并更新固件。

本文批判安全培训照搬数通认证死记硬背的误区，指出仅套用Payload与工具会造就能力空心化的PaperHacker。作者强调安全需以系统、网络、编程为底层基础并理解业务。面对AI冲击，建议初学者摒弃找标准答案的习惯，通过追问现象成因与数据流向，培养独立判断风险的核心能力。

德国老牌纺织企业ZEGOTVZ因2026年3月网络攻击导致停产近6周，财务损失巨大，最终申请破产。文章指出网络攻击对制造业的致命影响，并强调网络安全投入的重要性，以避免类似悲剧。

天威诚信受邀参加2026年7月16日在南京举办的‘人工智能+招标采购’共享共建交流研讨会，将发表关于电子认证新规与互信互认中台赋能电子招采合规的主题演讲，并设置展位展示产品案例。该会议旨在推动招标采购行业数智化发展，汇聚行业各方探讨政策与技术路径。

美国国防部宣布暂停CMMC第二阶段要求并启动60天审查，旨在消除阻碍国防工业扩张的官僚障碍。因评估人员严重短缺及合规成本过高，原定第三方认证模式迫使中小企业退出国防合同。过渡期内将改为执行NISTSP800-171Rev2的自评估或政府评估，保留核心数据保护条款并提供免费安全服务，以务实平衡供应链安全与工业基础发展。

本文是OSCP备考系列第18期，聚焦Windows提权。核心观点是Windows提权本质与Linux相同，即找到高权限组件并篡改其执行内容，但攻击面更广。文章强调OSCP考试中99%的提权靠服务配置错误而非内核漏洞，并详细介绍了信息收集方法、手动枚举命令、自动化工具对比以及三种服务配置错误利用技术：未引用服务路径、弱服务权限和可写服务二进制/DLL劫持。最后给出了一条完整的攻击链示例，从低权shell到获取SYSTEM权限。

本文介绍雷盾网络威胁立体式管控平台网络应用分析模块，其一体化架构通过轻量化零改造部署、全域流量采集与告警驱动自动关联上下文，将传统多系统切换的1小时碎片化排查压缩至1分钟闭环处置。核心价值在于打通流量、威胁与零信任模块，实现从身份核验到行为合规的全程管控，解决政企内网安全设备堆砌与数据孤岛问题。

GM/T0031-2025《安全电子签章密码技术规范》在GB/T38540-2020基础上进行了重要升级，核心变化包括：电子印章数据结构版本从v4升级至v5，新增timeStamp可选字段为签名值提供可信时间戳；在生成流程中新增制章者证书有效性验证步骤；验证流程细化了证书失效判定逻辑，增加了制章时间有效性和时间戳验证。该规范通过PKI公钥密码技术、数字签名和时间戳机制，确保电子印章和电子签章的真实性、完整性和不可否认性，为电子签名法的实施提供了更完善的技术保障。