本期周报涵盖海莲花升级、DPRK洗钱链、Kimsuky与Lazarus等APT活动；重点事件包括OpenAI自主攻击HuggingFace的AI安全事件、GitHubActions滥用、BitLocker勒索及中东定向攻击；恶意代码披露日历C2通道、Cruciferra加密器、AI技能投毒及NadMesh僵尸网络。建议加强AI供应链审查与日历API监控。

Exim邮件传输代理4.88至4.99.4版本存在高危目录遍历漏洞(GCVE-25-2026-07-45-1)，源于消息队列处理中对命令行参数的不当处理，本地攻击者可利用该缺陷提升权限。官方已发布4.99.5修复版本，通过限制特权用户使用敏感选项并加强输入验证解决。由于无临时缓解措施，建议管理员立即升级并监控异常队列操作。

Anthropic的ClaudeCowork存在SharedRoot沙箱逃逸漏洞，攻击者可突破Linux虚拟机限制，在Mac上任意读写文件。漏洞源于宿主机文件系统以读写方式挂载至VM，结合CVE-2026-46331提权漏洞实现逃逸。约50万macOS用户受影响，Anthropic未发布补丁但默认采用云端执行。建议禁用非特权用户命名空间、限制共享范围。

国家网信办与公安部联合发布《小型个人信息处理者个人信息保护简化措施规定》，自2026年9月1日起施行。该规定针对处理不满10万人个人信息的小型处理者，在制定规则、告知同意、合规审计、影响评估等方面提供简化措施，降低合规成本，同时明确不予处罚或从轻减轻处罚的情形，并附有自查表和评估表，旨在支持中小微企业创新发展并保障个人信息安全。