ZONE.CI 全球网

启明星辰于2026年9月2日监测到ProxmoxVE身份认证绕过漏洞，CVSS评分9.8，等级严重。攻击者可利用API登录接口的tfa-challenge参数缺陷，在无需凭据情况下认证为未配置第二认证因素的用户，包括root@pam，可能导致高权限账户被接管。受影响版本为libpve-access-control7.0-7至8.0.4以下，建议升级至8.0.4或更高版本，并优先升级至受支持的ProxmoxVE9.x版本。

蚁景网安在2026年8月网易SRC月度贡献榜中表现亮眼，前六名中占据四席，学员与导师包揽冠亚军。文章介绍其名师引领加实战落地的教学模式，强调以战代练培养实战型网安人才。文末声明展示的仅为部分学员成果，培训效果因人而异，内容仅供参考。

CISP官方公众号于2026年9月2日发布2026年第一期讲师新申请考核通过名单公告，地点为北京。公告内容为名单公示性质，未涉及具体考核标准或技术细节，属于安全培训领域的官方信息发布，对关注CISP认证及讲师资质的人员具有参考价值。

文章提出AI时代0-day漏洞正演变为half-day概念，即技术上仍属0-day但因攻击面被前沿模型高频审视而寿命缩短的漏洞。这给进攻性安全市场注入波动性，漏洞利用窗口期大幅缩短，自动化成为必需品。作者建议研究员组建紧密协作团队并制定长期战略，同时指出防御方面临技术债与补丁自动化挑战，漏洞研究员技能将愈发重要。

美国在G20会议上推动宽松AI监管，主张不新设监管机构、不制定全套新规，与欧盟严格监管形成分歧。背后是中美技术竞争，美方试图主导全球AI生态。联合国专家警示AI迭代快于治理建设，全球监管碎片化。各国后续政策转化才是关键较量。

攻击者冒充OpenAI、Anthropic、DeepSeek等AI爬虫身份，通过伪造HTTPUser-Agent标头扫描网站，窃取.env、云凭据等敏感文件。GreyNoise发现824个IP地址参与活动，伪造爬虫从不请求robots.txt。建议组织验证源IP地址、对敏感路径请求告警，并确保敏感文件不暴露于Web根目录外。

漏洞盒子平台于2026年9月2日发布活动宣传，主题为白帽F4联袂围观，推出是男人就挖100小时活动，旨在号召安全爱好者参与限时挖洞挑战，活动信息简洁，未透露具体规则细节，属于SRC活动推广内容。

奇富科技安全应急响应中心（原360数科SRC）发布QFSRC联合活动奖励公告，落款时间为2026年9月2日于北京。公告核心信息为联合活动的奖励安排待主办方公示，正文未提供活动规则、漏洞范围、奖励标准或参与方式等具体细节，建议关注该SRC公众号后续通知及主办方公示以获取奖励发放与活动详情。

本文提出出海合规新思路：以ISO27001、SOC2等通用认证为底座，将各区域法规义务映射至底座控制项，实现一套体系覆盖全球市场。文章详析美欧亚等八市场法规现状与罚则，附SOC2Privacy与GDPR映射表及合规时点日历，强调认证解决证据问题而非义务问题，建议企业按映射表做差距分析并单独落地法规义务。

成都新都警方近日拦截23万元涉诈资金。一求职者被短视频平台高薪取货送货招聘诱骗，按指示取送现金，实为转移涉诈资金，交易时被民警当场查获，资金全额拦截，嫌疑人已被采取刑事强制措施。警方提醒求职须通过正规渠道，警惕高薪招聘陷阱，防范电信网络诈骗。

本文聚焦远程办公场景下的网络安全风险科普，指出公共WiFi易遭监听劫持、私人设备易感染恶意程序、人为疏忽易被钓鱼攻击等隐患，强调员工需摒弃远程办公无风险的错误认知，主动树立常态化安全防护意识，筑牢安全防线，守护系统与数据安全。

默安科技蝉联2026中国网络安全产业50强，凭借AI赋能安全与面向AI的安全防护双赛道布局获认可。公司推动全线产品AI原生重塑，推出安全运营智能体、AI智能网关等产品，降低漏洞误报率至20%以下，修复成功率超80%，并参与多项AI安全标准建设，彰显其智能化转型领先地位。

本文详解汽车ECU软硬件架构与工作原理，涵盖ECU定义、核心组件（微控制器、存储器、输入输出、通信链路及嵌入式软件）、软件分层（应用层与底层通过RTE连接）、硬件简化结构及闭环控制原理。内容系统全面，适合作为汽车电子与车联网安全领域的基础入门参考。

Langflow开源AI应用构建框架存在严重未认证RCE漏洞CVE-2026-0768，正被攻击者利用窃取OpenAI和AWS密钥等敏感凭证。攻击主要来自俄罗斯，已观测到360次利用尝试。建议用户立即升级至1.11.6版本修复所有已知缺陷。

本文对智能门铃设备进行硬件安全分析，通过串口控制台探测、bootloader固件提取与反汇编，分析启动流程和内存布局。利用逻辑分析仪监听SPI总线获取主镜像并解压。文章详细阐述了ARM启动流程、基地址确定及bootloader主函数分析，为后续固件安全研究提供可操作的方法论。

微软披露银狐组织仿冒知名软件下载站攻击Windows终端：诱饵ZIP每次下载哈希不同，滥用msiexec执行载荷，创建SYSTEM权限计划任务实现驻留，篡改Defender排除项、删卷影副本并外联C2及尝试SMB横向移动，波及国内医疗、制造、政企等多行业；建议管控下载来源、开启篡改保护，基于行为链检测并手动清理持久化项。

畅捷通T+POSSyncService接口存在未授权SQL注入漏洞，攻击者可未授权读取数据库敏感信息，部分接口可实现远程代码执行，风险较高。影响T+13.0及专属云2026特定版本，官方已发布补丁，建议受影响用户尽快修复，也可通过防护设备拦截相关路径请求临时缓解。

本文阐述开源情报分析中通过非面部特征关联人物身份的方法论。核心观点是脸是最不可靠的证据，而鞋子磨损、服装层次、装备佩挂位置、徽章、迷彩图案及个人习惯等细节更具情报价值。文章强调单一线索仅能支持假设，交叉验证才是情报分析底线，并警示业余人肉搜索与专业调查的本质区别。

本文为天御攻防实验室发布的西方APT研究群招募公告，旨在建立专业交流社群，讨论西方网络行动、网络战略、信号情报及归因等话题。入群需认同特定价值观、具备至少五年西方APT研究经验并热爱分享。建议符合条件的同行联系作者进行身份验证后加入。

该报告汇总全球300个无人机相关资源网站，覆盖21个语种、11类资源形态与10个区域，英文资源占比约50%。核心发现包括资源分布不均、媒体强智库散、军事与民用信息链分化、各语种生态成熟度差异显著，并建议对关键判断采用官方一手、敌方叙事与第三方数据三方交叉比对。报告提供结构化清单与使用建议，适合情报监测与产业研究。

SpiderKing7.0是面向Web协议恢复与参数还原场景的逆向工程Skill，从6.0升级为先AutoJudge、再按角色取证、只走已挂载MCP的协议恢复技能。其核心原则是纯协议交付、浏览器仅用于侦察、最终collector优先使用Python。文档提供了安装方式、适用与不适用场景，强调需具备合法授权边界，适合需要可复现、可维护协议采集器的场景。

2026CCS成都网络安全技术交流活动定于9月15日至16日在成都龙之梦大酒店举行，主题为AI向善安全有道，作为国家网络安全宣传周成都系列活动核心部分，报名免费开放。活动围绕漏洞治理、大模型与智能体安全、数据安全等方向展开，邀请院士、专家等参与，旨在推动AI安全生态建设。

中央网信办开展清朗整治AI应用乱象专项行动第二阶段，累计清理违法违规信息561万余条，查处账号4.9万余个，处置违规网站应用2400余个。重点整治AI生成虚假信息、假冒仿冒、侵害未成年人权益等乱象，通报7类典型案例，要求平台强化技术识别与内容审核，推动AI应用健康有序发展。

CNNVD发布2026年第35期信息安全漏洞周报，本周新增安全漏洞2265个，较上周有所下降。谷歌公司漏洞最多达333个，授权问题类漏洞占比最大达15.41%。超危漏洞225个，高危漏洞808个，整体修复率为78.41%。建议用户关注厂商补丁更新，及时修复漏洞以防攻击。

文章分析全球人工智能治理面临机制碎片化、大国立场分化、智能鸿沟扩大、治理滞后于风险演进等结构性矛盾。中国提出系统性方案回应普惠发展、共同安全、综合治理需求，建议从做实多边平台、发挥大国协调、构建分层治理格局、普惠合作弥合鸿沟、文明互鉴促进多元包容、筑牢安全底线六方面推动治理从共识走向行动。