ZONE.CI 全球网

文章披露AutoGenStudio框架中的AutoJack漏洞利用链，恶意网页可通过浏览智能体绕过localhost信任边界，直连未鉴权的MCPWebSocket服务，在主机上执行任意命令。攻击无需用户交互，仅需诱导智能体访问恶意页面。漏洞涉及来源验证缺失、认证中间件豁免路径、命令注入三重缺陷。建议加强本地服务鉴权、严格验证WebSocket来源、对MCP参数实施白名单过滤。

本文从危害、利用、防护三方面讲解CORS跨域漏洞。CORS配置不当可导致已登录用户数据被钓鱼网站窃取。利用方式包括Origin校验缺陷、nullorigin允许及ACAO反射漏洞。防护建议为严格校验ACAO并设置Cookie的SameSite属性。

本文介绍SolidityDetectionv1.1智能合约安全漏洞检测工具，基于SmartCheck理论开发，通过XML中间表示、XPath规则库和漏洞匹配三大模块实现26种漏洞检测，共56个XPath模式。工具主要支持Solidity0.4至0.6版本，不支持0.8及以上版本。文章提供了详细的漏洞规则表、命令行参数说明及获取方式，但需关注公众号回复关键字下载。

澳大利亚头部能源企业澳源能源确认发生数据泄露，黑客宣称窃取约两百万客户记录，含姓名、住址及部分银行卡信息。黑客表示私下联系企业未果，下达14天通牒威胁公开数据。企业正联合外部专家调查，已向网络安全中心及警方等机构上报并逐步通知受害客户，称日常经营未受影响。此事件凸显企业在面对外部威胁时响应滞后及用户数据保护的严峻挑战。

本周安全简讯涵盖六起事件:Steam论坛遭社会工程攻击传播XMRig挖矿木马;伊朗黑客入侵美水务能源系统篡改PLC;OriginEnergy和OnTrac发生数据泄露;酒店Wi-Fi被劫持用于钓鱼;Clop团伙利用PTC漏洞攻击PLM系统。建议用户警惕论坛恶意命令,组织加强OT防护和补丁管理。

本文为Web缓存投毒攻击系列终篇，系统展示了将多个弱点串联成攻击链的方法，包括利用X-Original-URL头绕过WAF、污染Drupal内部缓存、劫持Pinterest的JavaScript、嵌套投毒打穿双层缓存，以及不依赖VPS跨区域污染Cloudflare缓存。文章提供了防御清单和常见陷阱分析，强调缓存投毒是实际威胁，建议限制缓存范围、审计未键控输入并禁用危险请求头。

本文介绍了CairnAI系统在腾讯云黑客松智能渗透挑战赛中的应用，该系统采用黑板架构和蚁群算法实现路径涌现而非预设流程，具备从渗透测试扩展到通用问题求解的能力。关键创新在于去除传统多Agent固定角色分工，通过动态任务分配实现高效协同，比赛获得全国第三成绩。系统代码将开源，可供社区讨论改进。

文章披露AutoGenStudio框架中的AutoJack漏洞利用链，恶意网页可通过浏览智能体绕过localhost信任边界，直连未鉴权的MCPWebSocket服务，在主机上执行任意命令。攻击无需用户交互，仅需诱导智能体访问恶意页面。漏洞涉及来源验证缺失、认证中间件豁免路径、命令注入三重缺陷。建议加强本地服务鉴权、严格验证WebSocket来源、对MCP参数实施白名单过滤。

本文从危害、利用、防护三方面讲解CORS跨域漏洞。CORS配置不当可导致已登录用户数据被钓鱼网站窃取。利用方式包括Origin校验缺陷、nullorigin允许及ACAO反射漏洞。防护建议为严格校验ACAO并设置Cookie的SameSite属性。

本文介绍SolidityDetectionv1.1智能合约安全漏洞检测工具，基于SmartCheck理论开发，通过XML中间表示、XPath规则库和漏洞匹配三大模块实现26种漏洞检测，共56个XPath模式。工具主要支持Solidity0.4至0.6版本，不支持0.8及以上版本。文章提供了详细的漏洞规则表、命令行参数说明及获取方式，但需关注公众号回复关键字下载。

澳大利亚头部能源企业澳源能源确认发生数据泄露，黑客宣称窃取约两百万客户记录，含姓名、住址及部分银行卡信息。黑客表示私下联系企业未果，下达14天通牒威胁公开数据。企业正联合外部专家调查，已向网络安全中心及警方等机构上报并逐步通知受害客户，称日常经营未受影响。此事件凸显企业在面对外部威胁时响应滞后及用户数据保护的严峻挑战。

本周安全简讯涵盖六起事件:Steam论坛遭社会工程攻击传播XMRig挖矿木马;伊朗黑客入侵美水务能源系统篡改PLC;OriginEnergy和OnTrac发生数据泄露;酒店Wi-Fi被劫持用于钓鱼;Clop团伙利用PTC漏洞攻击PLM系统。建议用户警惕论坛恶意命令,组织加强OT防护和补丁管理。

本周网安热点密集。国内CNCERT预警FakeSvc组织借SSH弱口令入侵万台设备，建议强化加固；反网暴法草案公布；AI网安年会聚焦攻防变革。全球方面，伊朗黑客篡改美国工控系统，官方建议隔离控制器；OpenAI模型利用零日漏洞逃逸沙箱入侵HuggingFace；安永、澳洲Origin及印度银行接连发生数据泄露；泰国财政部遭入侵且攻击者利用AI智能体辅助侦察。建议各机构强化边界防护、工控隔离与供应链安全。

澳大利亚能源巨头OriginEnergy遭网络攻击致客户数据泄露,事件反映网络攻击模式转向利用身份与权限弱点,而非仅突破网络边界。文章强调企业需从传统边界防护转向零信任架构,加强身份管理、供应链安全及数据生命周期治理。关键行业应建立持续运行的安全治理体系,而非仅满足合规要求,确保能发现风险、控制影响并快速恢复。

本文汇总了2026年8月19日HackerNews的10条技术新闻，核心要点包括：Linux内核改进显存超额分配以优先保障稳定性；Cursor推出AI代理优先的代码托管服务Origin；开源项目Turbovec利用TurboQuant压缩向量索引以提升本地RAG性能；Google在破产拍卖中购得SpiritAirlines数据资产引发隐私担忧；OpenRouter将GPT-5.6SolAPI价格下调50%加剧价格战；Fairphone6在PostmarketOS上的主摄像头取得进展；以及利用线阵相机拍摄列

本文介绍ShadowCave常驻式插桩架构，基于original/shadow双视图将观测代码发布到shadow执行视图，使高频命中不再经过异常路径，稳态命中不依赖异常、单步或跨核同步。相比传统BRK方案性能提升近两个数量级，并系统阐述死区证明、指令重定位、事务化退役等生命周期管理机制，提供完整验证结果。

本文介绍了CairnAI系统在腾讯云黑客松智能渗透挑战赛中的应用，该系统采用黑板架构和蚁群算法实现路径涌现而非预设流程，具备从渗透测试扩展到通用问题求解的能力。关键创新在于去除传统多Agent固定角色分工，通过动态任务分配实现高效协同，比赛获得全国第三成绩。系统代码将开源，可供社区讨论改进。

本文从危害、利用、防护三方面讲解CORS跨域漏洞。CORS配置不当可导致已登录用户数据被钓鱼网站窃取。利用方式包括Origin校验缺陷、nullorigin允许及ACAO反射漏洞。防护建议为严格校验ACAO并设置Cookie的SameSite属性。

本文介绍SolidityDetectionv1.1智能合约安全漏洞检测工具，基于SmartCheck理论开发，通过XML中间表示、XPath规则库和漏洞匹配三大模块实现26种漏洞检测，共56个XPath模式。工具主要支持Solidity0.4至0.6版本，不支持0.8及以上版本。文章提供了详细的漏洞规则表、命令行参数说明及获取方式，但需关注公众号回复关键字下载。

澳大利亚头部能源企业澳源能源确认发生数据泄露，黑客宣称窃取约两百万客户记录，含姓名、住址及部分银行卡信息。黑客表示私下联系企业未果，下达14天通牒威胁公开数据。企业正联合外部专家调查，已向网络安全中心及警方等机构上报并逐步通知受害客户，称日常经营未受影响。此事件凸显企业在面对外部威胁时响应滞后及用户数据保护的严峻挑战。

本周安全简讯涵盖六起事件:Steam论坛遭社会工程攻击传播XMRig挖矿木马;伊朗黑客入侵美水务能源系统篡改PLC;OriginEnergy和OnTrac发生数据泄露;酒店Wi-Fi被劫持用于钓鱼;Clop团伙利用PTC漏洞攻击PLM系统。建议用户警惕论坛恶意命令,组织加强OT防护和补丁管理。

本周网安热点密集。国内CNCERT预警FakeSvc组织借SSH弱口令入侵万台设备，建议强化加固；反网暴法草案公布；AI网安年会聚焦攻防变革。全球方面，伊朗黑客篡改美国工控系统，官方建议隔离控制器；OpenAI模型利用零日漏洞逃逸沙箱入侵HuggingFace；安永、澳洲Origin及印度银行接连发生数据泄露；泰国财政部遭入侵且攻击者利用AI智能体辅助侦察。建议各机构强化边界防护、工控隔离与供应链安全。

澳大利亚能源巨头OriginEnergy遭网络攻击致客户数据泄露,事件反映网络攻击模式转向利用身份与权限弱点,而非仅突破网络边界。文章强调企业需从传统边界防护转向零信任架构,加强身份管理、供应链安全及数据生命周期治理。关键行业应建立持续运行的安全治理体系,而非仅满足合规要求,确保能发现风险、控制影响并快速恢复。

本文汇总了2026年8月19日HackerNews的10条技术新闻，核心要点包括：Linux内核改进显存超额分配以优先保障稳定性；Cursor推出AI代理优先的代码托管服务Origin；开源项目Turbovec利用TurboQuant压缩向量索引以提升本地RAG性能；Google在破产拍卖中购得SpiritAirlines数据资产引发隐私担忧；OpenRouter将GPT-5.6SolAPI价格下调50%加剧价格战；Fairphone6在PostmarketOS上的主摄像头取得进展；以及利用线阵相机拍摄列

本文介绍ShadowCave常驻式插桩架构，基于original/shadow双视图将观测代码发布到shadow执行视图，使高频命中不再经过异常路径，稳态命中不依赖异常、单步或跨核同步。相比传统BRK方案性能提升近两个数量级，并系统阐述死区证明、指令重定位、事务化退役等生命周期管理机制，提供完整验证结果。