ZONE.CI 全球网

Nacos3.0.0至3.2.3版本存在鉴权绕过漏洞，源于/v3/auth/\\*接口注解作用域错配，默认配置下无需凭证即可未授权访问。实测无法直接创建ROLE\\_ADMIN管理员，但可创建普通用户并绑定自定义角色获得全量读写权限，效果等同管理员。建议升级至3.2.4版本，或开启nacos.core.auth.enabled并同步配置客户端凭证。

本文研究文生图模型ApproximateCache的安全问题，指出其仅要求输入语义相似即可命中缓存，导致不同用户间产生间接联系。文章提出两种观察对象（响应时间差与生成图片相似性）并组合出三种攻击：RemoteCovertChannel利用时间差传递二进制信息、CacheExposer通过探针恢复受害者缓存中的原始Prompt、CachePoison污染缓存影响他人生成结果。实验证明攻击可行，提示共享缓存机制引入新的安全攻击面。

本文介绍一套纯Web的网络安全教学考试系统，配套《网络安全实战教程》教材，无需安装虚拟机，浏览器即用。系统内置虚拟终端仿真，支持nmap、hydra、john等命令，以破晓行动剧情串联六大渗透测试关卡，涵盖信息收集到漏洞利用全流程。具备实时评分、加密答卷防作弊、教师可视化配置题库等功能，覆盖教、学、评全流程，适用于课堂教学与攻防演练场景。

美创科技专家为广西新华书店集团举办数据安全培训班，围绕数据安全法律法规、全生命周期体系构建及合规落地实践展开讲解，结合AI泄密、账号滥用等典型威胁场景提出组织制度技术三位一体建设思路，强调数据可用不可见，培训获好评。

本文剖析AIAgent工作空间常见的九大设计陷阱，包括过度使用multi-agent、工具杂乱、目录层级过深、规则过多、共享空间缺乏隔离、无限上下文、超长会话、全量输出以及人类界面低效。指出这些设计会降低Agent效率、消耗token并导致输出质量下降。建议采用单一Agent循环、最小工具集、扁平结构、简短规则、物理隔离、控制上下文使用量、精简工具输出及使用AI友好接口，遵循少即是多的原则。

李强总理在世界互联网大会提出三点思考：互联网正经历智能化变革，发展需以人为本关注人机关系、算法伦理、数实融合安全及数字鸿沟问题；呼吁共建网络空间命运共同体，坚持科技赋能、可信可控、普惠均衡和开放对话原则。多国代表约1800人出席活动。

…

OrangeTsai在Pwn2OwnBerlin2026上通过串联4个逻辑漏洞攻破MicrosoftEdge完成沙箱逃逸获17.5万美元奖金。整条链由5个bug和2个Windows特性组成，全为逻辑漏洞无内存破坏。从NavigationThrottle机制入手发现EdgeCAGuidanceNavigationThrottle漏洞，通过跨窗口导航绕过origin检查、硬编码白名单绕过PopupBlocker、OneAuth自动登录及CORS配置错误获取邮箱实现零点击UXSS，再借ImmersiveRead

DrupalFieldUI存在远程代码执行漏洞CVE-2026-108097，影响多个版本，官方已发布修复版本。利用需特定模块配合，建议立即升级至修复版本，卸载field_ui模块可临时缓解，同时审计自定义代码中region_callback相关路径，并监控files目录异常文件。

eCapturev2.9.0新增龙芯LoongArch64支持及text模式pcapng数据源，可实时解密重组完整HTTP消息，提升排查效率。建议龙芯用户确认内核6.6以上后使用，新链路支持HTTP/1.1和HTTP/2，ecapture\\_decryptor可独立用于流量分析平台。

11月1日网络安全事件频发，FBI归因朝鲜黑客盗取币安63亿美元；AlpineLinux因GitLab漏洞重建系统；Ivanti、CanonicalLXD、WordPress等存在高危漏洞并被利用；Polymarket脚本劫持致270万美元损失；卡巴斯基披露针对亚洲政府的NetamLoader恶意软件；Cursor市场扩展被植后门；Chainalysis客户数据泄露及ChatGPT共享链接漏洞修复。

FBI将币安60亿美元加密货币盗窃案归咎于朝鲜APT组织TraderTraitor，攻击者通过工程师笔记本访问权限进入服务容器实施未经授权提现。被盗资产多兑换为以太坊，FBI敦促加密货币公司拦截相关交易并冻结资金，已冻结约27亿美元，但攻击者仍持有大量ETH和BTC。

一周网络安全情报汇总，包括木马攻击、恶意软件、APT攻击、技术洞察等内容，涉及多种攻击手段和目标，天际友盟提供数字攻击面防护服务。

本文披露Discuz!X5.0（20260320至20260501版本）存在严重认证绕过漏洞（CVE-2026-49952），源于UCenter集成与数据库备份API共享加密密钥，攻击者可通过username参数注入恶意payload，未授权访问数据库备份和恢复功能。文章提供资产收集语法（body特征）及漏洞复现的POST/GET请求示例，建议相关站点立即升级或限制dbbak.php访问权限。

攻防演练中，通过旁站Fastadmin平台的任意文件读取漏洞，成功获取管理员密码并触发GetShell，实现了权限获取。

本文详细介绍了银狐木马的应急响应处置流程，核心思路是断网后先删除恶意WDAC策略恢复杀软，再依次清理计划任务、服务驱动、启动项和MSI自动修复四层持久化，检查hosts文件，最后通过五种验证方法确认彻底清除。文章强调处置顺序的重要性，并提供禁用宏、应用白名单等加固建议，对政企环境防范此类远控木马具有较强实操参考价值。

本文报道叙利亚电子军黑客阿加因2013年入侵美联社推特发布白宫爆炸假消息致道指蒸发1360亿美元，被判42个月监禁。文章剖析其钓鱼邮件攻击手法、影响47家机构及归因争议，并给出三条安全建议：社交账号即发布通道、勿将平台当自有资产、警惕单点失守叠加自动化放大损失。

哈工大接入国家网络身份认证公共服务，提升校园身份认证安全性与便捷性，师生可通过国家网络身份认证APP扫码授权完成登录、密码找回等多操作。

合肥工业大学微电子学院在人工智能芯片设计领域取得系列进展，包括构建边缘终端硬件音频保护方案、高能效手语识别加速器以及手语识别芯片系统，发表相关论文于中科院一区期刊及集成电路顶级期刊。

CISA在11月1日前紧急发布了三个高危漏洞的预警，包括GitLab的RCE漏洞、Linux内核提权漏洞和CiscoASAVPN漏洞，要求联邦机构及时修复。三个漏洞分别针对代码托管平台、Linux内核和边界防火墙，构成了一个完整的攻击链。文章提供了漏洞的详细信息、修复建议和处置清单。

文章指出网络安全从业者仅靠纯技术易陷入价值工具化、精力消耗大、沟通壁垒等死局，需将技术与业务理解、合规法律、管理沟通、内容影响力、开发自动化、行业场景、销售售前等能力结合形成复合竞争力。提出技术是1其他能力是0的核心观点，建议采用π型能力结构，按核心资产70%、杠杆资产20%、期权资产10%配置能力，并通过产出硬案例、风险翻译、跨部门项目、量化结果建立个人杠杆飞轮，每季度复盘三件事实现价值跃迁。

空气炸锅未放油但锅底出现油，源于食材自身脂肪受热析出，预加工食品可能含额外油脂。空气炸锅靠热风循环加热，非传统油炸。锅底油量不能直接推算脂肪减少量，需同条件测量。建议按食谱操作，注意食材状态，清洁设备。

乌军新任总司令德拉帕特上任后进行结构性调整，强调避免死守阵地，寻求以较小代价争取更大作战效益，并推动技术装备应用，改革指挥体系，但俄乌兵力和资源差距仍存在。

中新赛克与中国信通院联合实施的工业领域网络和数据安全智能体公共服务场景入选国家首批标志性重大应用场景清单，为全国首个工业安全大模型加安全智能体公共服务平台。项目采用轻量化探针加一体化平台的SaaS化服务模式，分三阶段从北京试点向全国推广，旨在降低工业企业安全建设门槛，推动工业防护向主动智能防护转型。

公安部通报3起不履行数据安全保护义务典型案例，涉医疗机构权限混乱致1800条数据存无防护电脑、访客登记系统长期无防护、测试系统未关闭被入侵利用。三案均因忽视小系统安全被行政处罚，凸显数据安全法定责任与边缘系统防护重要性。文末提供4条自查清单并推广网络安全学习资料。