ZONE.CI 全球网

该文档为护网项目紧急招聘信息，需求中级和高级安全人员10人以上，负责监测、研判与应急。薪资可日结或项目结束后30天内结算，要求本科以上学历，在读生不可。项目下周入场，为期2周，地点在新疆和山东。符合条件者可联系微信Run2026vip。

中国网络空间安全协会关基专委会召开研讨会探讨大模型对重要行业网络安全的影响。会议指出前沿大模型降低了漏洞发现与利用门槛，推动攻防向智能化演进，传统防护模式已难应对。建议强化未知威胁发现与纵深防御，运用AI提升漏洞治理效率，加快构建适应智能化攻防的新型关基安全防护体系。

数码荔枝发起的「给荔一夏」活动于2026年7月28日至8月13日举行，多款正版软件6折起。重点推介包括Eagle（7折）、DirectoryOpus13（8.5折）、酷呆桌面（9折）、ByePhotos和AndroMeld等，旨在帮助用户提升素材管理、文件整理、相册清理及跨设备协作效率。活动时间有限，建议有需求的用户前往活动会场选购。

荷兰情报机构指控俄情报部门利用默认密码和过时固件劫持欧洲及乌克兰境内IP摄像头，实时监视军事运输路线和乌军部署。Censys发现超87,000台摄像头存在已知漏洞。建议立即排查公网暴露摄像头，关闭端口转发，通过VPN访问，调整物理角度避开敏感区域，并优先更新固件。

本文分析了我国支柱产业开源供应链面临的话语权缺失、漏洞级联扩散及许可证与地缘政治断供风险，提出治理需从短期SBOM全覆盖、中期自主维护能力建设到长期韧性共建递进。建议完善法规标准、建设可信技术能力链并提升生态参与，以构建自主韧性的产业级安全体系。

纽创信安发布第四期OSR故障注入实战训练营报名通知，将于2026年8月底在北京举办，限14人，收费8800元。培训聚焦硬件故障注入技术，含餐饮并赠送PowerShorter等三款专业硬件设备。参培需通过转账或支付宝缴费并发送凭证至指定邮箱，为硬件安全从业者提供物理攻击实操训练。

美国联邦政府云安全认证FedRAMP负责人警告，无法快速修复高危漏洞的技术供应商不应进入政府市场。AI已重塑网络攻防，FedRAMP推动漏洞响应改革，要求服务提供商在2-4天内缓解严重漏洞。企业需整合安全、工程与产品团队协同工作，以应对AI支持的网络攻击，否则将面临被排除在联邦市场之外的风险。

该文档为安全419发布的网安招聘信息汇总，介绍了北京小西牛等保软件有限公司与杭州孝道科技有限公司的招聘岗位。小西牛专注网络安全合规与运营，招聘销售经理及解决方案经理等职位。孝道科技聚焦软件供应链安全，招聘销售经理、售前工程师、安全产品经理及安全研究工程师。文档提供了岗位职责、任职要求及简历投递邮箱，为网络安全从业者提供了明确的求职机会。

慢雾安全团队披露一起针对Web3从业者的定向窃密攻击,攻击者冒充招聘人员,诱导目标安装伪装成AI会议协作工具Relay的木马。macOS样本通过隐藏目录和脚本绕过安全机制,窃取钥匙串、浏览器数据及Telegram会话;Windows样本使用虚假进度条和内存扫描技术,窃取加密货币钱包凭证。建议求职者对面试中要求安装未知软件保持警惕。

2030年冬奥会速滑场馆荷兰蒂亚尔夫速滑馆遭TheGentlemen组织勒索攻击，导致员工信息、财务合同等敏感数据泄露。攻击者索要赎金以换取恢复权限并避免数据公开，场馆方正谈判且活动暂不受影响。该组织此前已被微软预警擅长瘫痪网络，此为其在荷兰第8次作案。建议大型体育赛事机构强化网络边界防护与数据备份，建立完善的勒索攻击应急响应预案以防数据泄露。

本周国际网安聚焦勒索攻击与AI安全。勒索团伙协同利用VPN漏洞并实战化部署EDR终结技术。AI方面，ChatGPT漏洞暴露代理部署风险，NVIDIA牵头成立安全AI联盟。同时微软修复多项高危漏洞，酒店Wi-Fi凭证窃取频发。建议重点评估AI代理风险，强化边界与身份防护。

RedisStream相关漏洞CVE-2026-25243补丁绕过，攻击者利用RDB加载时nack对象共享缺陷，触发useafterfree和doublefree，通过jemalloc实现任意地址读写，最终劫持函数指针获得远程代码执行。影响Redis6.2.22、7.4.9、8.6.4等版本，8.8.0修复。防御建议包括升级、限制危险命令、不暴露公网、强化认证。

卡巴斯基深度剖析CAV3RN项目新型通信模块的技术实现。该模块采用.NETNativeAOT编译以阻碍逆向，创新性地滥用微软图形API与Outlook日历事件构建隐蔽C2通道，利用附件传输经RSA与AES-GCM混合加密的指令及数据。若主通道认证失败，模块会通过自定义DNSAAAA记录协议动态恢复四项关键配置。其滥用云服务与备用通道恢复的战术特征与APT34高度契合，佐证了该威胁框架的持续演进。

本文汇总了2026年7月28日前后多个安全事件：意大利勒索攻击持续高发制造业成为LockBit5与Qilin重点目标；GitHub和PyPI引入基于时间的防御措施应对供应链攻击；新型DolphinX恶意软件利用AI分析器对高价值受害者排序；Synopsys因注册逻辑漏洞导致约4万条企业客户数据泄露；Steam论坛遭ClickFix攻击植入XMRig挖矿程序；Certighost漏洞允许低权限AD用户模拟域控制器；必应图片漏洞允许SVG文件以SYSTEM权限执行命令；Bluenoroff的Zoom钓鱼工具包

文章指出前CIA退役特工正转型为人生教练、领导力导师和自媒体博主，将情报机构内部的心理认知、行为分析、沟通说服等能力包装成商业课程。这一趋势反映情报能力向社会领域外溢，对我方人才培养体系有启示意义，值得关注其可复制的方法论。

AWSCloudTrail存在绕过漏洞，攻击者可通过非生产端点进行静默权限枚举而不产生日志，暴露了日志盲区。AWS通过禁止外部访问非生产端点修复。建议企业关注日志覆盖完整性，避免依赖单一审计源。

该文档披露了KB5014754补丁在ADCS的CMC提交路径上存在绕过漏洞。通过id-cmc-addExtensions控制属性，攻击者可绕过SID扩展强制检查，利用ESC1模板从非特权用户提升至域管理员权限。微软已将其标记为非漏洞。建议环境应尽快移除ESC1模板，不能仅依赖补丁。

CVE-2026-42533是nginx双遍字符串求值引擎中的严重堆缓冲区溢出漏洞(CVSS9.2),影响多个版本。攻击者可通过特定配置模式实现预认证远程代码执行,PoC已公开。建议立即升级至nginx1.30.4/1.31.3或NGINXPlus修复版本。

本文深度剖析ClaudeCowork沙箱逃逸至Mac宿主机的完整攻击链，非特权用户通过unshare获取Capabilities，经AF\\_NETLINK触发全局加载act\\_pedit.ko，利用CVE-2026-46331页缓存投毒篡改coworkd程序，最终获VMroot权限并通过virtiofs-root读写宿主机文件。建议立即收敛virtiofs共享目录，配合关闭非特权用户命名空间、启用seccomp白名单及内核模块最小化策略，构建纵深防御阻断攻击。

本文披露伊朗借SS7协议漏洞与商业广告库实时追踪美军位置，结合漫游协议实施定向定位并支撑物理袭击，暴露出智能手机数字尾气泄露的严重国安隐患。建议敏感岗位人员停用个人手机、规范使用专用设备，制度层面须收紧商业位置数据的获取与流转以防范此类定向打击。

WordPress插件UncannyAutomator<=7.3.2存在SQL注入漏洞(CVE-2026-65462),源于sanitize_text_field()未转义SQL通配符导致LIKE注入,PoC可探测数据库长度,建议用户立即更新插件至最新版本以修复漏洞。

文章报道暗网公开了突尼斯黑客组织takriz成员的身份信息。该组织是区域性草根黑客行动主义团体，技术能力中等，主要进行网站篡改、信息爬取和人肉搜索。近期因mytt应用相关网络冲突导致内部数据泄露，但泄露数据包真实性未被独立验证。

乌克兰CERT-UA预警UAC-0099组织利用伪装成Notepad++插件的恶意程序攻击乌克兰机构。攻击始于钓鱼邮件，诱导用户下载含VBS脚本的ZIP包，脚本释放Notepad++及恶意DLL插件LUNCHPOKE。该插件通过WinRAR解压加密包释放BURNYBEAR加载器与MATCHBOIL.V2载荷，并创建每三分钟执行一次的计划任务实现持久化。建议升级软件并警惕陌生邮件。

该文档详细分析了契约锁产品中通过Less编译功能实现远程代码执行的漏洞利用链。核心发现是/api/css接口调用Less.compile时，若默认配置文件CustomStyleExample.less内容可控，可通过反引号注入JavaScript表达式触发代码执行。同时，文档揭示了通过/document/createbyfile接口上传特定文件（如HTML）可间接控制less文件内容，但利用需满足默认配置且未更改自定义样式等条件。建议关注此类隐式代码执行点及接口权限控制。

本文作者astaxie（Beego创始人）介绍了其开源AI网关项目TokenHub的定位与设计理念。TokenHub采用Apache2.0协议，面向企业内部治理，强调私有化部署、员工身份管理、项目Key、成本审计与请求日志等企业级特性。与LiteLLM、Portkey、Higress、NewAPI等现有项目不同，TokenHub不追求成为中转或计费平台，而是致力于成为企业可长期拥有、放心商用、自由二开的AI统一入口。文章分享了作者从Beego到TokenHub的开源理念，认为开源是技术协作方式，并解释了选