2026京麒CTF决赛将于三天后举行，由京东安全应急响应中心主办，邀请安全爱好者参赛。

本周安全快报汇总多起重大事件：巴基斯坦执法系统遭网络间谍组织长期入侵，攻击者利用CMS系统部署后门；欧盟制裁俄罗斯间谍组织，指控其针对多国关基设施进行破坏；IT咨询巨头埃森哲遭黑客窃取35GB基础设施数据，存在供应链攻击风险；德国超市LIDL因第三方服务商被入侵导致客户数据泄露；荷兰电信Odido数据泄露涉及600万客户，警方怀疑本国公民涉案；澳大利亚警告针对CMS系统漏洞的大规模攻击正影响中小企业；美国保险公司AssuranceAmerica数据泄露影响近700万人；日本最大出租车公司NihonKots

本文记录一次OA系统渗透测试中，通过前端代码审查发现.ashx文件接口隐藏参数，成功利用文件上传漏洞获取WebShell的过程。核心要点是前端代码可能泄露敏感信息，建议渗透测试中仔细审查JavaScript文件，关注注释和调试代码。

该情报分析文章围绕《纽约时报》关于伊朗前总统艾哈迈迪内贾德被摩萨德招募的报道展开。文章指出报道真实性存疑，但揭示了以色列试图通过接触被体制边缘化的艾哈迈迪内贾德来实施政权更迭的靴猫行动。关键发现是行动因IRGC在军事打击后未崩溃而失败，艾哈迈迪内贾德最终在哈梅内伊葬礼上现身。文章还分析了报道可能的情报目的及霍尔木兹海峡封锁的战略影响。可操作建议是关注IRGC的韧性对地区稳定的长期影响。