文章总结： 本文汇总了多项网络安全动态：网安标委发布《人工智能安全治理框架3.0》，更新风险分类与技术应对措施；CNVD发布第36期漏洞周报，共收录816个漏洞，高危416个，0day漏洞占94%；微软披露高复杂度仿冒与Passkey钓鱼攻击，大量企业云账号遭劫持；暗网可购200美元合成身份绕过KYC；TelegramDesktop曝存储型XSS漏洞。建议及时更新补丁，部署抗钓鱼MFA，加强身份验证与数据安全监测。 综合评分： 72 文章分类： 政策法规,漏洞预警,安全意识,数据安全,安全事件

网安标委发布《人工智能安全治理框架3.0》，风险分类与技术应对措施同步更新；CNVD发布2026年第36期漏洞周报| 牛览

安全牛

2026年9月15日 11:27 北京

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

点击蓝字 关注我们

新闻速览

• 网安标委发布《人工智能安全治理框架3.0》，风险分类与技术应对措施同步更新
• CNVD发布2026年第36期漏洞周报
• ManageEngine 调研：安全事件后企业安全关注度仅维持 1-6 个月
• 仅需 200 美元：暗网可购置全套合成身份，可绕过 KYC 核验
• CNVD发布上周关注度较高的产品安全漏洞
• AI 深度伪造滥用加剧：欧洲上百名女政客遭非自愿色情内容定向攻击
• 跨国犯罪组织 Black Axe 再遭打击：南非区域高管引渡赴美，涉情感诈骗与洗钱
• Telegram Desktop曝存储型XSS漏洞，恶意消息可窃取导出聊天记录
• Homebrew7.0.0 正式发布：新增 BrewUI 图形界面，内置漏洞扫描强化供应链安全
• 高复杂度仿冒 + Passkey 钓鱼攻击肆虐，大量微软云企业账号遭劫持窃密

特别关注

网安标委发布《人工智能安全治理框架3.0》，风险分类与技术应对措施同步更新

9月14日，在2026年国家网络安全宣传周开幕式上，全国网络安全标准化技术委员会（网安标委）正式发布《人工智能安全治理框架3.0》。

此前，网安标委已于2024年、2025年先后发布《框架1.0》和《框架2.0》，受到各界广泛关注。为应对人工智能发展新趋势、回应安全治理新挑战，在国家互联网信息办公室指导下，网安标委组织中国网络空间研究院、国家互联网信息办公室数据与技术保障中心等专业机构、科研院所及行业企业，研究编制了《框架3.0》。

《框架3.0》秉持以人为本、向上向善理念，坚持强化风险意识、确保安全可控的指导原则，延续“风险分类、技术应对、综合治理”的核心逻辑，与时俱进梳理更新了风险分类，优化调整了技术应对和综合治理措施，旨在促进提升人工智能安全治理共识和风险防范应对能力，确保人工智能技术造福于人类。

原文链接：

https://mp.weixin.qq.com/s/9iuk5mdh0oVBMyz3m4Lmzw

CNVD发布2026年第36期漏洞周报

国家信息安全漏洞共享平台（CNVD）发布2026年第36期漏洞周报。数据显示，本周信息安全漏洞威胁整体评价级别为“中”，CNVD共收集、整理漏洞816个，其中高危漏洞416个、中危漏洞340个、低危漏洞60个，漏洞平均分值为6.76。同期收录0day漏洞769个，占漏洞总量94%，涉及党政机关和企事业单位的事件型漏洞数量达28158个，较上周增长40%。

从漏洞影响类型来看，WEB应用仍是主要风险来源，共发现394个漏洞；应用程序漏洞191个，网络设备漏洞186个，操作系统、安全产品、智能设备、数据库及工业控制系统也存在不同程度风险。

在厂商分布方面，TOTOLINK相关漏洞数量最多，为46个，其次为新华三技术有限公司40个、Tenda21个。

本周重点安全告警涉及Google、DELL、Huawei、Tenda等产品。Google Chrome被披露存在信息泄露、整数溢出、代码执行、释放后重用等多个漏洞，攻击者可通过构造HTML页面获取敏感信息，甚至在沙箱外潜在执行任意代码，相关高危漏洞已由厂商发布修复程序。

DELL Cloud Disaster Recovery、Power Protect Cyber Recovery及OpenManage Enterprise等产品被发现存在服务端请求伪造、命令注入、SQL注入、XML外部实体引用等漏洞，攻击者可能利用漏洞探测服务器内网资源、远程执行操作或导致敏感信息泄露。

此外，Huawei HarmonyOS/EMUI产品存在未授权访问、权限验证、身份验证绕过等高危漏洞；Tenda W9、F1202等设备存在命令注入及堆栈缓冲区溢出漏洞，可导致任意命令执行、代码执行或拒绝服务。Simple Inventory System则被披露存在SQL注入漏洞，攻击者可利用Login组件中/index.php文件参数Username缺少输入验证的问题，执行非法SQL命令并窃取数据库敏感数据。

CNVD建议相关用户持续关注厂商安全公告，及时安装漏洞补丁，加强WEB应用、网络设备及关键业务系统安全防护，降低漏洞利用风险。

原文链接：

https://www.cnvd.org.cn/webinfo/show/12761

CNVD发布上周关注度较高的产品安全漏洞

2026 年 9 月 7 日9 月 13 日，CNVD 汇总本周关注度较高的软硬件安全漏洞，覆盖境外、境内多款主流产品，漏洞类型包含授权绕过、命令注入、缓冲区溢出、访问控制缺陷等，安全从业者需重点关注相关设备风险。

境外产品方面，Google Chrome 曝出两个高危漏洞，WebXR 组件授权缺陷可借助社会工程学诱导用户访问恶意页面窃取跨源数据；ANGLE 组件资源未初始化漏洞，可通过构造 HTML 页面实现沙箱外内存读取。DELL 多款数据容灾产品问题集中，Power Protect Cyber Recovery 存在身份验证不当、UNIX 符号链接跟随漏洞，可分别造成未授权访问、脚本注入；DELL Cloud Disaster Recovery 存在操作系统命令注入漏洞，允许攻击者远程执行命令。

境内设备漏洞集中在路由器产品。TOTOLINK T6 多款访问控制不当漏洞，均由 cgi 接口函数校验缺失引发，攻击者发送特制 POST 请求，可获取 QoS、计划任务、远程管理、管理员账号等敏感配置。DLink DIR 645A1 存在栈缓冲区溢出漏洞，漏洞细节暂未公开。

本次漏洞热度由 CNVD 结合查阅量与产品普及度综合评估，相关单位可对照 CNVD 编号核查资产，落实补丁与防护策略。

原文链接：

https://www.cnvd.org.cn/webinfo/show/12766

热点观察

ManageEngine 调研：安全事件后企业安全关注度仅维持 1-6 个月

ManageEngine 面向美国、加拿大 700 位经历过安全事件的 IT 与网络安全负责人开展调研，结果显示，企业在发生安全事件后，安全层面的高度关注往往只能维持很短时间。

数据显示，80% 受访者表示事件发生后提升的安全关注度仅维持 1 至 6 个月；59% 的机构会因业务优先级，推迟或降低安全项目的执行等级。尽管全部受访企业均遭遇过安全事故，仍有 91% 对自身当前安全状态抱有信心，仅有 8% 会将安全升级为长期固定优先级。近半数机构在事件结束后保留原有安全架构，不做体系化调整。

报告还指出安全运营两大风险点，83% 受访者认为追责恐惧会影响事件处置；约三分之二机构直接采纳 AI 给出的安全建议，不做复核校验。研究人员 Dr. Erik Huffman 提出，安全不能依靠采购工具一劳永逸，应当把临时应急压力转化为常态化安全制度，AI 安全工作要遵循 “先核验，再信任” 原则。

原文链接：

https://www.helpnetsecurity.com/2026/09/14/manageengine-cybersecurity-breach-confidence-report/

高复杂度仿冒 + Passkey 钓鱼攻击肆虐，大量微软云企业账号遭劫持窃密

微软监测到自 2026 年 5 月起持续活跃的高复杂度钓鱼攻击活动，攻击者通过仿冒企业 IT 运维、以 Passkey（通行密钥）为诱饵，劫持大量 Microsoft 云账号，窃取企业云内敏感数据。

攻击前期攻击者依托社交、职业公开信息完成目标人员与组织架构侦察，冒充 IT 帮助台致电或短信联系员工，以系统即将失效为由，催促受害者紧急更新 Passkey、MFA 或 SSO 配置，诱导访问仿冒微软登录的 AiTM（对手中间人）钓鱼站点，或是执行 devicecode 设备代码认证流程，以此绕过多因素认证防护，获取账号会话权限。

值得注意，Passkey 仅为攻击诱饵，攻击者并不注册真实通行密钥。账号攻陷后，攻击者会新增自身可控的 MFA 认证方式维持持久访问；调用 Microsoft Graph API 完成组织资源侦察，低速批量下载 SharePoint、OneDrive、Exchange Online 内文件与邮件，刻意控制访问频率规避安全检测，也会利用失陷账号在内部通过 Microsoft Teams 扩散钓鱼诱饵。

该攻击与 Cordial Spider、Storm3121 组织活动特征相似。微软建议企业部署抗钓鱼型 MFA，重点监控陌生认证方式注册、异常登录行为，发生入侵时及时吊销会话并清除非法认证手段。

原文链接：

https://www.techradar.com/pro/security/microsoft-cloud-accounts-stolen-in-highly-complex-impersonation-and-passkey-phishing-campaign

安全事件

仅需 200 美元：暗网可购置全套合成身份，可绕过 KYC 核验

近期 Coveron 与 NordLayer Intelligence 的研究显示，网络欺诈已经迈入新阶段，暗网市场与 Telegram 渠道可最低 200 美元购买完整synthetic identities（合成身份）套装，该威胁已经从小众黑产走向主流。

研究人员梳理暗网论坛相关内容，针对 22 项检索条件，分析超 36.2 万条和身份欺诈、深度伪造服务、合成身份生成相关帖子。合成身份也被研究者称作 “数字弗兰肯斯坦”，它并非盗用某个真实自然人全部信息，而是拼接组合而成：混入被盗取的真实证件编号等泄露数据，搭配 AI 生成的姓名、地址、deepfake 自拍、克隆语音，整套资料足以骗过自动化 KYC（know-your-customer）身份核验系统，可用于在银行、加密货币交易所注册欺诈账号。

和传统盗用现成真人身份不同，这套身份本体并不对应现实中的活人，溯源难度更高。研究机构提示，企业不能仅依赖单一自动化校验手段，应当部署分层验证机制，同时做好身份风险持续监测；普通用户也需要重视个人泄露数据监控，以此应对这一类新型欺诈风险。

原文链接：

https://www.techradar.com/pro/security/web-fraud-enters-a-new-age-as-complete-synthetic-identities-can-now-be-bought-for-as-little-as-usd200-on-dark-web-marketplaces

AI 深度伪造滥用加剧：欧洲上百名女政客遭非自愿色情内容定向攻击

德国数字民主智库 Agora Digitale Transformation 的研究经 WIRED 披露，一批深度伪造色情网站正在针对欧洲多国政治人物实施大规模 AI 合成内容骚扰。研究员 Benjamin Shultz 对约 160 个传播非自愿性合成内容的域名开展分析，来自 22 个欧盟国家的至少 138 名女性议员被波及，而男性议员仅 9 人遭到牵连，女性议员遭受该类 deepfake 攻击的概率是男性的 33 倍。

这类网站不只是直接发布伪造视频，还搭建类似数据库的页面，收录政客姓名、官方照片，并且直接跳转 deepfake 生成工具，攻击者可快速制作恶意色情伪造内容，完成对目标的名誉打击与网络恐吓。

该行为属于合成媒体武器化，会形成寒蝉效应，打击女性参政意愿，干扰民主公共参与。尽管欧盟已依托《EU AI Act》推进合成内容监管，部分涉事站点已被关停，但由于站点跨司法辖区运营、威胁者匿名化，内容溯源、下架处置依旧存在显著阻力。安全研究者提示，公共人物与机构需要重视 deepfake 定向骚扰风险，完善伪造内容监测、快速处置的响应流程。

原文链接：

https://www.wired.com/story/sexually-explicit-deepfake-sites-target-100-plus-politicians-in-europe/

跨国犯罪组织 Black Axe 再遭打击：南非区域高管引渡赴美，涉情感诈骗与洗钱

近日，美国司法部宣布，跨国犯罪组织 Black Axe 南非开普敦分部的 5 名核心嫌疑人已从南非引渡至美国，将面临多项联邦指控，于新泽西州特伦顿联邦法院接受首次庭审。五名嫌疑人均原籍尼日利亚，分别为 Perry Osagiede、Franklyn Edosa Osagiede、Osariemen Eric Clement、Collins Owhofasa Otughwor、Musa Mudashiru，该团伙作案周期至少从 2011 年延续至 2021 年，当年在南非被抓捕归案。

该组织层级架构严密，主要实施romance scams（情感诈骗）与advance fee scams（预付费诈骗），犯罪分子伪造身份，伪装成恋人、亲友或商业伙伴实施社交工程诈骗。他们编造工地事故、遗产延迟、亲属重病等理由索要资金，还利用空壳企业、受害者金融账户洗白赃款；部分场景下，嫌疑人会以泄露受害者私密照片实施胁迫逼款。

本次起诉罪名包含合谋电信欺诈、洗钱；部分嫌疑人叠加电信欺诈、加重身份盗用罪名，全部罪名累计最高刑期可达 62 年。

Black Axe 活动遍布数十个国家，每年犯罪收益达数十亿美元。近期多国接连开展打击行动，西班牙、多国联合突击行动已先后逮捕该组织多名成员，查扣大量涉案资产。美国 FBI 与特勤局提示潜在受害者可向 FBI 提交线索报案。

原文链接：

Five alleged leaders of Black Axe’s operations in South Africa extradited to US

安全攻防

Telegram Desktop曝存储型XSS漏洞，恶意消息可窃取导出聊天记录

安全研究人员披露，Telegram Desktop聊天导出功能存在一项存储型跨站脚本（Stored XSS）漏洞，攻击者可利用精心构造的Bot消息，将恶意JavaScript代码隐藏在导出的HTML聊天文件中，进而窃取用户聊天历史及相关元数据。

该漏洞影响Telegram Desktop客户端的HTML Export功能。研究人员发现，漏洞源于导出流程中对消息内容，尤其是内联键盘按钮文本（inline keyboard button text）的过滤不足。攻击者可发送包含恶意内容的消息，当用户使用Telegram Desktop导出聊天记录并在浏览器中打开生成的HTML文件时，隐藏脚本可能被执行。

成功利用后，攻击者可能获取导出聊天中的消息内容、发送者信息、时间戳以及其他元数据，造成敏感信息泄露风险。由于攻击链依赖用户执行聊天导出并打开HTML文件，因此该漏洞需要一定的用户交互，但也暴露出客户端数据导出功能在安全校验方面的重要风险。

研究人员建议用户及时升级Telegram Desktop至修复版本，并重新生成此前导出的HTML聊天文件，以降低历史导出数据被利用的风险。对于企业用户而言，应加强对即时通信工具导出文件的安全管理，避免在受信任环境外打开来源不明的HTML文件。

该事件再次表明，客户端应用中的数据处理、文件导出及内容渲染功能同样可能成为攻击入口，开发者需重点关注输入验证、脚本过滤和安全隔离机制。

原文链接：

https://thehackernews.com/2026/09/telegram-desktop-flaw-lets-hidden.html

新品发布

Homebrew7.0.0 正式发布：新增 BrewUI 图形界面，内置漏洞扫描强化供应链安全

知名开源 macOS 包管理器 Homebrew 推出 7.0.0 版本，新增原生图形界面 BrewUI、内置漏洞扫描工具，同时强化沙箱隔离，提升软件供应链安全能力。该项目在 GitHub 拥有 49k 标星、11k 分支，攻击者常仿冒其分发信息窃取类恶意软件。

BrewUI 仅支持 macOS26 “Tahoe” 及以上系统，支持浏览检索软件包、查看管理依赖关系，界面同步展示底层执行的 CLI 命令。版本新增brew vulns扫描命令，可对本地 formulae 软件包、指定程序或 Brewfile 内依赖开展漏洞检测。工具会获取软件版本信息，批量向 OSV.dev 查询漏洞，同时校验 Homebrew 已回补的安全补丁，避免误报。

配套专属漏洞通告数据库，采用 OSV 格式存储数据，以 CC0 协议开放给安全团队复用，可区分原始漏洞与已修复版本。安全层面，新版默认阻断对用户主目录访问，网络依赖下载与离线安装流程相互隔离；包并发下载安装机制，还提升了安装、升级速度。Homebrew 中 casks 用于安装图形程序，formulae 为 Ruby 编写的包定义脚本。

原文链接：

https://www.bleepingcomputer.com/news/security/homebrew-700-gets-built-in-gui-better-security-controls/

联系我们

合作电话：18610811242

合作微信：aqniu001

联系邮箱：[email protected]

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：安全牛 《网安标委发布《人工智能安全治理框架3.0》，风险分类与技术应对措施同步更新；CNVD发布2026年第36期漏洞周报| 牛览》