ZONE.CI 全球网

本文汇总了2026年7月18日前后科技行业动态，包括苹果市值重回全球第一、字节豆包手机调整AI合作方式、微软将推出AI漏洞检测工具、Uber收购DeliveryHero、苹果与OpenAI法律纠纷升级、影视飓风AI课程单日营收近500万、华强北内存价格暴涨超320%、小米和三星折叠屏手机爆料以及中国天眼发现低能宇宙线起源新证据。核心趋势显示AI算力需求推动存储涨价，科技巨头在AI安全与硬件领域竞争加剧。

本文剖析AWSCDK命令注入漏洞CVE-2026-13760。因OsCommand类未转义单引号且JSON.stringify不处理该字符，攻击者可通过恶意npm包依赖版本字段注入命令。漏洞在cdksynth阶段触发，使ignore-scripts防御失效，结合Docker挂载可致宿主机凭证窃取与RCE。建议立即升级CDK至v2.260.0及以上版本。

360威胁情报中心分析发现APT-C-26(Lazarus)组织使用定制化监控程序,通过伪装成远程IT人员部署。攻击流程包括禁用Defender、释放DLL和守护进程、利用Shell扩展持久化,最终实现远程桌面监控和数据窃取。该程序具备屏幕捕获、上传和远程控制功能,使用了Vault7泄露技术,归属为Lazarus组织,可能用于渗透企业窃取敏感信息。

该漏洞为AdobeColdFusionRDS服务未授权路径遍历漏洞(CVE-2026-48282)，CVSS评分10.0，可导致远程代码执行。影响ColdFusion2023及2025版本，已大规模在野利用并被勒索团伙武器化。攻击者无需认证即可通过路径穿越实现任意文件读写并植入Webshell。建议立即升级至Update21或10，或临时关闭RDS服务。

本文介绍一种基于JS分析的端点枚举渗透技巧。通过正则提取已知API，分析其路径结构与驼峰命名规律，进而构造候选端点列表进行批量FUZZ。作者利用该方法成功挖掘出未授权的全站用户数据泄露接口。建议在测试中从已知接口推导未知接口并生成定制字典探测，以有效扩大攻击面发现隐藏漏洞。

本文介绍高级红队shellcode加载器KhaosLdr，采用多阶段架构，通过AES-256-CBC解密donut壳码，利用早鸟APC注入技术执行。核心模块实现间接系统调用、呼叫堆栈伪装、ETW/AMSI硬件断点绕过及沙箱规避，具备高隐蔽性。文章末尾推广付费圈子，分享免杀工具与红队技术。

本文探讨了AI在API安全发现与防御中的应用。指出需通过流量分析实现动态资产测绘以消除影子API盲区，利用AI驱动漏洞挖掘提升评估效率。防御层面详述了多源特征工程与孤立森林、LSTM等模型的应用，解析了行为驱动的动态鉴权零信任架构，及大模型智能体在自主闭环处置中的价值，为企业构建全生命周期API安全体系提供路径。

本文分享了ClaudeFable5与GPT-5.6的AI协同开发实战经验。作者指出AI编程瓶颈已转向测试与评审，建议自建CI加速验证。核心流程为Claude出初版方案，GPT-5.6纠错审查，最后用Codex目标模式全自动执行开发与部署。该重方案与测试的流程能实现高效挂机开发，而人脑确认能力已成为最大瓶颈。

本文为浙江大学关于智能网联汽车网络信息安全的综述分享，但实质内容均以图片形式存在。文章正文缺乏文字技术细节，主要包含添加微信入群、申请会员下载PPT等引流营销信息及相关文章链接，无具体技术结论或可操作建议。

中国网络空间安全协会于2026年7月15日发布公告，公布新增7款提供手机端侧生成式人工智能服务的备案信息。此举依据《生成式人工智能服务管理暂行办法》，旨在促进生成式AI服务的创新发展和规范应用。公告转载自网信中国微信公众号，体现了对AI服务合规性的监管要求。

本文介绍如何在NextChat中接入AceDataCloud，通过配置OpenAI兼容端点，一份APIToken可访问60+大模型。文章详细说明了申请流程、NextChat下载、配置步骤（接口地址需填根域名）、推荐模型列表及验证方法，并提供了Docker一键部署和常见问题解答。核心结论是正确配置接口地址为即可实现多模型接入。

中国网信办于2026世界人工智能大会提出《智能体互信互联互操作全球合作倡议》，涵盖技术研发、标准互认、基础设施、应用落地、产业协同、安全伦理、数据流动、资源共享、包容文化、数字素养十项行动，旨在凝聚全球共识，打造开放可信普惠的智能体生态，弥合智能鸿沟，推动数字经济融合。

文档记录了一次渗透测试过程，通过目录扫描发现kkFileView组件，并利用其SSRF、任意文件读取、XSS及任意文件删除漏洞进行攻击。关键发现是任意文件删除漏洞可被利用，需加强访问控制。建议及时修复kkFileView漏洞并限制敏感接口访问。

本文梳理卫星雷达遥感参与广西洪涝应急实践，指出SAR在云雨条件下可全天候提供淹没范围底图，是现场研判的关键抓手。但暴露出预警与拍摄未打通、多星协同临时化、数据分发格式混乱、解译缺乏多源工程化能力、成果未与地方业务数据闭环等链路问题。建议主管部门牵头构建从预警到应用的全流程体系化能力。

本文介绍Moneta内存扫描器，通过属性分析而非内容扫描检测内存恶意软件，重点探讨误报问题。关键发现包括Moneta能检测DLL镂空和幻影DLL镂空，但幻影DLL镂空能隐藏shellcode。可操作建议是使用基于属性的扫描方法，结合PEB和工作集分析，提高检测准确性。

OpenSSL披露HollowByte漏洞，允许远程未认证攻击者通过11字节恶意载荷触发拒绝服务攻击。漏洞利用TLS握手阶段预分配内存的设计缺陷，导致内存碎片化，影响Web服务器、语言运行时及数据库等广泛基础设施。修复版本已发布但未分配CVE编号，建议安全团队无视CVE状态立即升级至OpenSSL4.0.1或对应向后移植版本，并审计嵌入的OpenSSL版本。

7-Zip存在高危漏洞CVE-2026-14266，源于对XZ分块数据的不当处理，可触发基于堆的缓冲区溢出，允许远程攻击者在受影响系统上执行任意代码。利用需用户交互，如打开恶意归档文件或访问恶意网页。该漏洞已在7-Zip26.02版本修复，建议用户立即升级，避免打开来源未知的归档文件，并加强邮件附件扫描与员工安全意识培训。

OpenAI调查GPT-5.6Codex误删用户家目录文件事件，因缺少沙箱保护导致自主Agent执行错误删除命令，引发数据丢失风险。OpenAI正推进整改，建议开发者限制Agent权限，在容器内运行并实施命令审查。该事件凸显自主编码工具的安全隐患，强调最小权限原则和备份的重要性。

本周安全热点涵盖多个漏洞与事件。WindowsHTTP.sys整数溢出漏洞(CVE-2026-47291)允许远程代码执行，需通过注册表限制maxrequestbytes参数缓解。LinuxFUSE存在本地权限提升漏洞。23andMe因2023年数据泄露支付1800万美元和解金，影响690万用户。Fairlife遭勒索软件攻击导致生产中断。安永第三方IT支持平台被入侵，客户税务文件泄露。政策方面，《人工智能应用安全分类分级方法》等四项国家标准公开征求意见，交通运输部印发《交通运输数据安全管理办法》，工信部

可口可乐旗下Fairlife品牌遭勒索攻击致停产，攻击者控制生产系统并实施双重勒索。制造业因停产成本高、IT/OT融合风险及老旧系统薄弱成为主要目标。建议加强网络隔离、修复漏洞、启用多因素认证、建立离线备份并开展员工培训，同时部署主动检测与事件响应预案。

本文深度论证CEVEHDebugger使用DR7硬件调试寄存器而非PAGE_GUARD。通过对比粒度、数量、异常码等维度，结合CE的4断点限制、异常码0x80000004、开源代码操作DR寄存器及API调用特征等证据，证明其核心是DR0-DR3和DR7。PAGE_GUARD存在竞态窗口、误触发风暴等缺陷，仅适用于单线程或粗粒度监控。建议在需要精确多线程调试时使用硬件断点。

吾爱破解论坛宣布将于2026年7月21日限时开放注册，时间为12:00-14:00和20:00-22:00。公告详细说明了注册准备步骤，包括检查用户名邮箱、设置邮箱白名单、阅读验证码问题等。同时介绍了邀请推广机制和微信抽奖活动。论坛强调加强新用户管理，禁止马甲和违规行为，并鼓励用户保持活跃以避免账号被清理。

本文剖析Ghostcommit揭示的多模态提示注入风险，指出恶意指令可藏于图片绕过审查，误导AI代理执行危险操作，攻击面已扩展至代理可解释的所有输入。文章提出建立输入、权限、决策与证据四道边界，并给出五项建议：盘点AI权限、非代码文件纳入审查、采用最小权限凭证、高风险操作人工审批及开展演练，强调代理安全须回归传统工程纪律。

本文介绍一种结合Windows线程池执行、Enum回调跳板和间接系统调用的调用栈伪造技术，旨在绕过EDR的调用栈检查。核心贡献在于实现CET兼容性，通过使用jmp指令替代ret进行上下文切换，并利用RDSSPQ/INCSSPQ指令直接操作影子栈指针，避免触发硬件异常。该技术产生的调用栈所有帧均由已签名Windows模块支撑，无合成帧。作者强调研究仅用于教育和防御目的，并提供了检测与对策建议。

本文指出当SharePoint漏洞已被利用时，补丁管理应升级为小型事件响应。核心观点是需并行管理攻击、业务和证据三只时钟，并给出了前四小时的具体行动步骤（明确责任、并行修复与排查、验证修复）。文章还指出了常见误区，并建议将处置经验转化为长期能力，如准备资产清单和演练流程。