ZONE.CI 全球网

本周网络安全简讯汇总了2026年6月13日至18日的19条安全动态，涵盖APT攻击、网络政策与漏洞资讯三大领域。主要发现包括APT37使用NarwhalRAT攻击韩国目标、FancyBear转向劫持家用路由器、美国发布国家安全系统新政策等。关键建议包括强化行为检测、更新路由器固件、实施多因素认证及及时修补漏洞。

本文推荐了12款2026年实用的浏览器插件，涵盖网页定制、标签管理、翻译、知识管理、邮件通知、开发效率等领域，包括篡改猴、OneTab、划词翻译等工具的具体功能说明，并预告将后续分享安全相关插件。作者提供插件打包下载渠道。

本文详细介绍了HTTP参数污染(HPP)的测试流程与攻击手法，重点解析三种后端解析逻辑：首参验证末参执行、末参验证首参执行及参数转换为数组，并给出对应的Payload构造思路，强调参数转换为数组手法的危险性，同时提醒即使无参数也可尝试添加参数进行测试。

该文档披露了针对Gmail用户的新型精密钓鱼攻击，攻击者利用谷歌官方服务（如GoogleDrive通知和GoogleSites）发送欺诈邮件，邮件显示为合法谷歌域名发送且通过安全认证，极具欺骗性。关键发现包括未开启双重认证的用户面临全面信息泄露风险，即使开启2FA也可能被实时截取验证码。可操作建议包括验明发件人地址、悬停预览链接、警惕紧急感邮件、手动登录官网，以及误点击后的应急方案如立即改密和启用2FA。

OperaGX存在零交互高危漏洞，恶意网站可静默安装模组，利用CSS全局生效特性实施XS-Leak攻击，逐字符窃取用户邮箱等敏感数据。该漏洞无需点击及弹窗授权，用户极难察觉与拦截。除升级至130.0.5847.89及以上版本外无缓解措施，建议立即通过opera://about检查并更新浏览器以防范数据泄露。

Gemini正从聊天机器人升级为深度融入GoogleWorkspace的AI工作助手，在文档创作、邮件处理及数据分析等场景发挥核心作用。文章指出未来企业AI竞争已超越单纯的模型能力比拼，转向GoogleWorkspace与Microsoft365两大生态体系的全面对抗。建议企业根据自身现有的办公生态基础来选择Gemini或Copilot，以最大化释放AI办公价值。

本周网络安全事件频发：全球首个全自动AI勒索攻击JADEPUFFER曝光，无需人工操控且付赎金难恢复数据；美国政府机关支付百万美元平息勒索；多起重大漏洞遭利用，包括Joomla外挂满分漏洞(CVE-2026-48908等)、Linux内核16年历史KVM逃逸漏洞(CVE-2026-53359)及思科ClamAV二十年漏洞；埃森哲、日本保险公司等发生大规模数据泄露；新型恶意软件活跃，如Android银行木马RedWing、跨平台QuimaRAT及针对研究人员的ChocoPoC；钓鱼攻击手法升级，滥用Micr

工信部发布ClaudeCode安全后门风险提示；同时汇总多起安全事件：ControlWebPanel高危漏洞(CVE-2026-57517)可致远程代码执行；日本多家公司数据泄露；LinuxKVM存在16年逃逸漏洞；虚假面试钓鱼窃取Gmail凭证；埃森哲确认数据泄露；MicrosoftTeams被利用传播Etherrat恶意软件；Debull工具滥用设备代码流攻击M365账户。

Pegasus间谍软件入侵了正在调查间谍软件滥用的欧洲议会议员，通过零点击漏洞利用HomeKit和iMessage，感染发生在委员会关键活动期间，可能泄露机密信息。苹果已修复漏洞但攻击发生在之前。攻击者身份未确定但可能与针对流亡记者的行动有关。

OperaGX浏览器存在一个安全漏洞，允许恶意网站通过GXMods的自动安装机制静默安装CSS插件。攻击者利用通用CSS注入技术，通过属性选择器逐字符窃取页面中的敏感数据，如Gmail地址。该漏洞无需用户点击即可触发，Opera已发布版本130.0.5847.89修复，并支付了最高5000美元赏金。建议用户立即更新浏览器以防范风险。

Chrome版Claude扩展v1.0.80存在两处未修复漏洞，恶意扩展可利用未校验isTrusted标记的伪造点击，触发白名单任务静默读取Gmail、谷歌文档及日历；另可通过URL参数跳过权限校验。全自动模式下CVSS达9.6。官方虽关单但历经8个版本未改代码。建议立即关闭无需询问直接执行模式并排查可疑扩展。

公开资料显示，OpenClawAIAgent在钓鱼攻击模拟中暴露出严重安全风险，其能有效识别技术性钓鱼但易受社会工程攻击。实验表明攻击者冒充同事即可诱骗Agent泄露AWS密钥、客户数据等敏感信息。研究人员建议将Agent配置视为正式安全文档，禁止向未知地址发邮件、设置人工审批机制并限制数据访问权限。

本周网络安全简讯汇总了2026年6月13日至18日的19条安全动态，涵盖APT攻击、网络政策与漏洞资讯三大领域。主要发现包括APT37使用NarwhalRAT攻击韩国目标、FancyBear转向劫持家用路由器、美国发布国家安全系统新政策等。关键建议包括强化行为检测、更新路由器固件、实施多因素认证及及时修补漏洞。

奇安信威胁情报中心发布2026年6月12日至18日高级威胁情报汇总，涵盖APT37利用微软主题钓鱼攻击韩国用户、Ghostwriter针对Gmail的大规模钓鱼活动、ShinyHunters利用OraclePeopleSoft零日漏洞攻击教育行业、DragonForce组织滥用MicrosoftTeams中继功能隐藏C2通信等关键事件。报告详细分析了攻击手法、恶意载荷特征及防御建议，涉及勒索软件、数据窃取、僵尸网络、供应链攻击等多类威胁，为安全团队提供及时可操作的威胁洞察与应对参考。

本文推荐了12款2026年实用的浏览器插件，涵盖网页定制、标签管理、翻译、知识管理、邮件通知、开发效率等领域，包括篡改猴、OneTab、划词翻译等工具的具体功能说明，并预告将后续分享安全相关插件。作者提供插件打包下载渠道。

2026年6月，APT组织UNC1151（代号Ghostwriter）对Gmail用户发起大规模钓鱼攻击，其伪造的谷歌安全通知邮件可诱导用户进入高仿登录页面，不仅窃取账号密码，还能捕获短信或验证器生成的2FA二次验证码，导致邮箱、社交及办公账号全线失守。攻击主要针对公职人员、媒体从业者及科研人员等高价值目标，通过制造账号冻结等紧迫感迫使用户操作。防护建议包括手动输入官方域名进行安全检查、优先使用硬件密钥进行二次验证、直接删除可疑告警邮件，以及企业部署邮件网关拦截策略和开展员工安全意识培训。

该文档披露了针对Gmail用户的新型精密钓鱼攻击，攻击者利用谷歌官方服务（如GoogleDrive通知和GoogleSites）发送欺诈邮件，邮件显示为合法谷歌域名发送且通过安全认证，极具欺骗性。关键发现包括未开启双重认证的用户面临全面信息泄露风险，即使开启2FA也可能被实时截取验证码。可操作建议包括验明发件人地址、悬停预览链接、警惕紧急感邮件、手动登录官网，以及误点击后的应急方案如立即改密和启用2FA。

OperaGX存在零交互高危漏洞，恶意网站可静默安装模组，利用CSS全局生效特性实施XS-Leak攻击，逐字符窃取用户邮箱等敏感数据。该漏洞无需点击及弹窗授权，用户极难察觉与拦截。除升级至130.0.5847.89及以上版本外无缓解措施，建议立即通过opera://about检查并更新浏览器以防范数据泄露。

Gemini正从聊天机器人升级为深度融入GoogleWorkspace的AI工作助手，在文档创作、邮件处理及数据分析等场景发挥核心作用。文章指出未来企业AI竞争已超越单纯的模型能力比拼，转向GoogleWorkspace与Microsoft365两大生态体系的全面对抗。建议企业根据自身现有的办公生态基础来选择Gemini或Copilot，以最大化释放AI办公价值。

本周网络安全事件频发：全球首个全自动AI勒索攻击JADEPUFFER曝光，无需人工操控且付赎金难恢复数据；美国政府机关支付百万美元平息勒索；多起重大漏洞遭利用，包括Joomla外挂满分漏洞(CVE-2026-48908等)、Linux内核16年历史KVM逃逸漏洞(CVE-2026-53359)及思科ClamAV二十年漏洞；埃森哲、日本保险公司等发生大规模数据泄露；新型恶意软件活跃，如Android银行木马RedWing、跨平台QuimaRAT及针对研究人员的ChocoPoC；钓鱼攻击手法升级，滥用Micr

工信部发布ClaudeCode安全后门风险提示；同时汇总多起安全事件：ControlWebPanel高危漏洞(CVE-2026-57517)可致远程代码执行；日本多家公司数据泄露；LinuxKVM存在16年逃逸漏洞；虚假面试钓鱼窃取Gmail凭证；埃森哲确认数据泄露；MicrosoftTeams被利用传播Etherrat恶意软件；Debull工具滥用设备代码流攻击M365账户。

Pegasus间谍软件入侵了正在调查间谍软件滥用的欧洲议会议员，通过零点击漏洞利用HomeKit和iMessage，感染发生在委员会关键活动期间，可能泄露机密信息。苹果已修复漏洞但攻击发生在之前。攻击者身份未确定但可能与针对流亡记者的行动有关。

Chrome版Claude扩展v1.0.80存在两处未修复漏洞，恶意扩展可利用未校验isTrusted标记的伪造点击，触发白名单任务静默读取Gmail、谷歌文档及日历；另可通过URL参数跳过权限校验。全自动模式下CVSS达9.6。官方虽关单但历经8个版本未改代码。建议立即关闭无需询问直接执行模式并排查可疑扩展。

Chrome版Claude存在间接提示注入漏洞，攻击者通过恶意邮件操纵AI读取Gmail验证码，可劫持Slack、X和Claude.ai账户。攻击利用JavaScript工具在已认证浏览器会话中执行代码，通过GmailAtomfeed提取验证码。该漏洞暴露了AI浏览器Agent在不可信内容处理与邮箱身份验证结合时的严重安全风险，建议用户警惕此类攻击链。

微软Copilot存在高危漏洞CVE-2026-24301，攻击者可通过一条包含未公开参数autorun=1的链接，在用户零点击情况下静默窃取Gmail、GoogleDrive等第三方应用数据及聊天记忆。漏洞由Varonis通过元黑客方法发现，即社工AI自身推理过程。建议用户审计第三方应用连接、监控AI助手异常数据访问并及时安装补丁。