ZONE.CI 全球网

文档披露LiteLLMAIGateway存在4个高危漏洞链，攻击者可通过虚拟Key路由绕过、用户角色提升、MCP测试端点命令执行和Guardrail沙箱逃逸，从低权限逐步接管网关控制面与执行面。漏洞影响v1.83.14之前版本，可能导致模型API密钥、数据库凭据、Agent工作流等敏感信息泄露。建议立即升级至v1.83.14-stable版本，并收敛路由权限、隔离管理接口。

本周互联网网络安全态势整体评价为良，基础设施运行平稳无重大事件。主要安全威胁来自软件高危漏洞、恶意代码传播和网站攻击，需重点关注政府企业及用户的防护措施。

该文档为信息安全与通信保密杂志社发布的端午节祝福图文内容，主要传达节日问候与安康祝愿，未包含具体技术信息或安全领域专业内容。

公安部网络安全等级保护中心于2026年端午节发布安全提示，强调节日期间网络安全防护的重要性，建议各单位加强系统监测与漏洞排查，确保关键信息基础设施稳定运行。

该办法规范网络数据安全风险评估活动，明确重要数据处理者需每年开展评估，一般数据处理者建议每3年一次。规定评估机构资质要求、报告报送流程及整改时限，强调风险信息共享和协同处置机制，自2026年8月20日起实施。

国家网信办、工信部、公安部联合公布《网络数据安全风险评估办法》，自2026年8月20日起施行。该办法明确重要数据处理者需每年开展风险评估，一般数据处理者建议每3年一次；规定评估机构认证要求及重大风险通知义务，要求重要数据处理者依法编制报送风险评估报告，并赋予有关部门监督检查权限。

国家金融监管总局发布指导意见，要求银行业保险业机构在人工智能开发应用中坚持安全可控原则，从治理架构、数据治理、算力建设等7方面提出32项措施，强调风险分类管理和人工干预机制，推动AI应用合规透明发展。

安在企业推出全生命周期网络安全会员服务，提供安全意识宣传、培训体系、效果检验、专业社区及评奖支持等一站式解决方案，助力企业根据规模和安全水平匹配五级培训体系，提升员工安全意识与组织防护能力。

三部门印发首批网络安全标识目录，针对消费类网联摄像头实施自愿性网络安全标识认证。产品需依据新标准检测并评定为一至三星级，标识含备案信息码。三星级强制第三方渗透测试，备案有效期三年，违规将撤销备案并处罚，确保产品符合物理、系统及数据安全要求。

SearchLeak是微软365CopilotEnterprise企业搜索功能中的关键漏洞链，结合参数到提示词注入、HTML渲染竞态条件和SSRF绕过CSP三类缺陷，实现一键窃取邮箱、会议、企业文件等敏感数据。攻击者通过构造恶意链接诱导点击，利用AI组件串联传统漏洞完成数据外泄。微软已修复漏洞并建议企业监控异常URL、审计CSP白名单、强化流式输出净化机制。

中央网信办于2026年6月18日启动为期3个月的清朗专项行动，重点整治账号名称信息乱象。主要针对四类问题：名称冒充（假冒官方机构、媒体、名人）、身份伪装（未经认证加注专业头衔、伪装特定职业人员）、夹带违规信息（外链引流、不良内容暗示）以及名称信息黑灰产（伪造数据、虚假认证）。要求各地网信部门督导平台加强全流程管理，对违规账号采取更正、禁言、关闭等处置措施。

2026年6月10日启明星辰通报GoogleChromeV8引擎越界内存访问漏洞CVE-2026-11645，评分8.8高危。攻击者通过特制网页可远程执行代码，影响Windows/Mac/Linux多个版本Chrome。官方已发布149.0.7827.102及以上版本修复，建议立即升级并加强网络访问控制、启用多因素认证。

本文详细介绍了Shiro550漏洞环境搭建、Cookie生成与认证流程，重点分析了Filter内存马的实现原理与检测方法。文章通过完整的SpringBoot项目示例演示了Shiro认证机制，并提供了从环境配置到漏洞利用的完整技术路径，对安全研究人员进行代码审计和漏洞分析具有实用参考价值。

安全研究人员NightmareEclipse公开了WindowsDefender零日漏洞RoguePlanet的PoC，该漏洞利用Defender内部处理逻辑的TOCTOU竞争条件，允许非特权用户通过NTFS连接点重定向文件操作，从而在受影响系统上获得SYSTEM权限。漏洞确认影响全版本Windows10/11及服务器版，建议组织将此披露视为高优先级并监控微软安全更新以获取紧急补丁。

360漏洞挖掘智能体在开源AI应用平台Flowise中发现13个0day漏洞，涉及身份认证、权限控制等安全问题，攻击者可窃取AI模型密钥或篡改数据。Flowise作为广泛使用的AI基础设施，其安全风险已影响企业生产环境，凸显AI平台在复杂业务流中的安全盲区。建议政企用户尽快对AI应用基础设施开展安全评估。

Spring框架曝高危漏洞，企业Java系统面临LDAP认证绕过与DoS攻击风险。CVE-2026-41720漏洞允许攻击者使用空密码绕过LDAP认证；CVE-2026-41840和CVE-2026-41842漏洞可导致内存泄漏和拒绝服务。企业需立即升级至SpringFramework7.0.8、6.2.19或6.1.28版本，并运行回归测试确保安全。

MBS工业通信网关存在多个高危漏洞，包括CVE-2026-35075默认密码漏洞（CVSS9.8）和三个堆栈缓冲区溢出漏洞（CVSS8.8），攻击者可获取root权限劫持智能建筑系统。建议立即升级至V6_0_0\\_7固件版本并加强网络隔离防护。

本文分享作者从零开始学习使用AI工具（Claude、Cursor等）进行漏洞挖掘的实战经验。主要内容包括环境配置、BurpSuite联动、Skill创建优化等操作流程，通过实际测试发现AI在信息收集和偏门资产挖掘方面表现突出，最终成功发现一个SQL注入漏洞并获得赏金。作者建议不要幻想全自动挖洞，应重点将AI应用于信息收集、代码审计等方向，并注意操作约束。

多伦多大学研究人员开发出基于开源LLM的AI蠕虫原型，该蠕虫通过组合利用新旧漏洞及配置错误，在模拟企业网络中实现跨系统自我复制，成功感染27/33个系统。研究显示开源模型配合专用框架已具备漏洞利用能力，新漏洞数小时内即可被整合攻击，建议企业采用AI辅助渗透测试并建立快速补丁机制应对新威胁。

国家网信办于2026年6月18日发布《促进分布式数字身份互通互认应用规定（征求意见稿）》，旨在推动分布式数字身份技术发展并建立互通互认的公共服务体系，以支撑国家区块链网络基础服务能力建设。该规定涉及技术标准、安全要求、法律责任等关键内容，并公开征求意见至7月18日。

GoogleChromeV8引擎存在越界读写漏洞(CVE-2026-11645)，攻击者可通过恶意网页触发漏洞绕过沙箱防护实现远程代码执行，已发现在野利用。影响Chrome版本低于149.0.7827.102/.103(Windows/Mac)和149.0.7827.102(Linux)。建议立即升级至最新版本，具体可通过Chrome帮助菜单中的关于选项检查更新。

该文档为金盾检测股份发布的端午节祝福图片内容，包含节日问候和公司标识，未涉及具体技术主题或实质性信息。

国家网信办、工信部、公安部联合公布《网络数据安全风险评估办法》，自2026年8月20日起施行。该办法明确重要数据处理者需每年开展风险评估，一般数据处理者鼓励每3年评估一次；规定评估可自行或委托第三方机构开展，要求评估机构不得转委托且需对重大风险及时通知；强调建立专项工作机制避免重复检查，并明确报告报送、检查核验及整改等监管要求，旨在规范评估活动、完善数据安全管理机制。

《纽约时报》公开爱泼斯坦狱中手稿，揭示其死亡前试图以特朗普集团财务核心人物韦塞尔伯格为筹码进行辩诉交易，但陷入权力静默陷阱。手稿详细记录狱方系统性虐待包括剥夺睡眠、噪音折磨和怂恿暴力，展现其从权力掮客到囚徒的心理崩塌。最终`为所有人带来最好的`成为权力网络危机管理的共识，手稿成为耗材清洗实录。

本文探讨第三方运维与供应链安全之间的结构性冲突，核心在于效率外包与安全可控的矛盾。提出将信任外包转变为可验证信任，通过最小权限、即时授权、职责拆分、软件物料清单(SBOM)及分级信任模型等技术手段，结合零信任架构与持续验证机制，实现第三方风险的可观测、可限制与可替换。