ZONE.CI 全球网

2026年6月22日财政部发布财库〔2026〕10号通知，要求各级政府采购人不得采购46家美国军工防务及军用无人系统企业产品，措施即时生效且不设过渡期，明确排除在华美资企业。该政策直接影响供应链安全格局，属于应对国际安全风险的具体法规行动。

《网络数据安全风险评估办法》由国家网信办、工信部、公安部联合发布，自2026年8月20日起施行。办法明确重要数据处理者需每年开展风险评估，一般数据处理者建议每3年一次；规定评估可自行或委托认证机构进行，并细化报告编制、报送时限及整改要求。该办法强化了数据安全监管框架，为各行业落实数据安全法提供操作指引。

该文档为银遁安全团队发布的图片类内容，主要包含网络来源的图片素材并附有版权声明。文档未提供具体技术分析或文字内容，仅展示视觉材料及作者信息。

本文通过jqwik抗议软件和Shai-Hulud蠕虫两起真实案例，揭示AI仅能机械执行指令而缺乏真正智能的缺陷。开发者通过隐藏指令使AI误删测试文件，攻击者利用伪造指令绕过安全审查，共同证明AI无法识别恶意指令或理解上下文。文章指出当前AI安全需依赖架构隔离和权限控制，而非盲目信任AI的`智能`。

本文通过HealthTech平台MediCloud的GraphQL漏洞案例，揭示因嵌套解析器缺失字段级授权检查导致200万患者医疗记录泄露。攻击者利用公共查询绕过根级权限验证，直接遍历关联数据获取敏感信息。关键发现包括内省功能暴露数据关系、解析器层授权缺失风险，建议开发者实施字段级安全中间件，渗透测试需关注替代数据路径。

本周网络安全热点涉及漏洞、事件与政策三方面。漏洞情报包括SplunkEnterprise未授权文件操作漏洞和Linux内核本地提权漏洞；安全事件涵盖InfiniteCampus教育数据泄露、MackaySugar勒索攻击及德州政府300万人信息泄露；政策方面发布首批网络安全标识产品目录和《网络数据安全风险评估办法》。建议及时修补漏洞、加强供应链安全管理和关注新规实施。

该文档为ISC.AI2026开幕式与未来峰会的直播预约宣传，由数世咨询发布，定于2026年6月22日16:00在河北举行。内容聚焦AI领域前沿趋势探讨，但未提供具体技术细节或议程安排，主要起活动预告作用。

文档记录WindowsServer2012R2系统浏览器首页被驱动级病毒劫持的完整处置过程。通过Autoruns工具发现未验证签名的可疑驱动服务，利用PCHunter强制删除隐藏病毒文件并清理注册表，最终恢复浏览器首页。实验提供驱动级病毒排查与清除的实操方法，但未分析病毒来源与持久化机制。

《网络数据安全风险评估办法》是对《数据安全法》等法规的细化，旨在规范网络数据安全风险评估活动。其核心要点包括：确立`谁管业务、谁管数据安全`原则以避免多头监管；建立跨部门协同监管机制；对重要数据处理者、一般数据处理者和核心数据处理者实行分级分类评估要求；严格规范第三方评估机构，要求其对报告真实性负责、禁止转包并履行保密义务；明确企业在评估中的配合义务及禁止弄虚作假等。该《办法》自2026年8月20日起施行，标志着数据安全进入`实质性合规`深水区，企业需建立常态化数据风控体系以应对新要求123。

2026年6月Klue平台遭供应链攻击，攻击者通过后端服务器未授权访问窃取客户OAuth令牌，滥用SalesforceAPI提取CRM数据。Huntress和RecordedFuture等网络安全公司确认业务数据泄露，攻击手法与Icarus勒索组织关联。事件凸显第三方集成安全风险，建议企业加强供应链安全监控。

F5公司披露NGINX开源版存在两个CVSS评分9.2的严重漏洞：CVE-2026-42530为HTTP/3模块释放后使用漏洞，CVE-2026-42055为HTTP/2代理模块堆溢出漏洞，均可在特定配置下导致远程代码执行。受影响版本涵盖NGINX1.30.0-1.31.1及多个衍生组件，官方已发布修复版本并建议禁用HTTP/3或调整header缓冲区配置作为临时缓解措施。

阿里安全响应中心公布2026年4月先知平台漏洞奖励情况，96位安全专家提交有效漏洞。王牌A业务赛道Clay和MeeseeksX各获500元奖金；非王牌A赛道武器大师、w0rker和killer分别获得5000元、2000元和500元奖励。Top50白帽获50元电子卡，火云邪神团队获2000元团队奖。奖励需通过先知平台提交报告领取，王牌A计划持续至2026年底。

爱奇艺推出第二期AI影视创作营，依托自研平台纳逗Pro提供全链路赋能与专项免费算力，通过五大模块与大咖指导助力创作者提升AI影视制作能力。平台还推出分账补贴等政策完善AIGC生态，建议相关创作者关注报名以获取资源扶持与商业变现机会。

CAPINT是法国KNDS公司推出的新一代主战坦克概念，采用豹2改进底盘和Ascalon遥控无人炮塔。配备120毫米滑膛炮（可升级140毫米）、多层防护系统和1500马力发动机，重点创新在于X-by-Wire全电子线控架构和有人/无人协同作战能力，可操控无人机/无人车执行侦察与打击任务。该坦克旨在为未来MGCS主战坦克验证数字化、无人化作战理念。

江南信安将于近期举办抗量子密码技术沙龙，探讨量子计算对密码学的挑战、解决方案及未来应用前景。活动旨在促进技术交流，提升行业应对量子威胁的能力。

该文档宣传中国信通院2026星海计划暑期实习机会，重点推广网络安全攻防实验室的付费会员服务。内容显示该组织提供近万篇网络安全干货笔记，涵盖CTF比赛资源、红蓝队工具包、HW攻防对抗、渗透测试等技术资料，并承诺提供兼职项目、内推资格和技术交流社群。目前永久会员费用为119元，文档强调即将涨价并取消永久会员制度。

SCTF2026网络安全竞赛共有425支战队参与，141支战队完成签到并展开24小时角逐。赛事由Syclover战队命题，推出30道赛题，在Misc方向创新融合AI与区块链元素，提升技术难度。短赛制下参赛队伍展现出高水平竞技状态，官方解题报告已通过GitHub发布。

本周电子取证领域呈现跨境协作深化、AI伪造威胁加剧、立法规范推进三大趋势。FBI获准进入柬埔寨电诈园区取证标志跨国合作进入新阶段，深度伪造内容年增900%倒逼检测技术升级，《公安机关电子数据取证规则》结束征求意见推动程序规范化。加密资产涉案取证常态化，电子数据程序合法性审查成为刑事辩护关键点。

《网络数据安全风险评估办法》作为《数据安全法》的配套细则，建立了数据安全风险评估专项工作机制，避免重复评估。该办法明确重要数据处理者需开展年度风险评估，一般数据处理者每3年一次，并规范评估机构行为以保障评估独立性。此举旨在实现数据安全与商业利益的平衡，推动数据安全评估生态发展。

本文聚焦`十五五`规划中教育、科技、人才一体化部署，阐述其作为高质量发展核心逻辑的顶层设计。文章系统拆解了战略规划一体谋划、重点任务一体部署、能力建设一体统筹、政策保障一体协同四大实施路径，并结合中科院实践案例，为行业与地方提供从源头破除部门壁垒、形成创新倍增效应的行动框架。

公安部计算机信息系统安全产品质量监督检验中心检测发现40款移动应用存在违法违规收集使用个人信息问题，主要涉及未经同意收集信息、未完整告知使用目的、超出必要范围收集敏感信息、未提供注销渠道等11类违规行为。检测依据《网络安全法》《个人信息保护法》等法规，要求相关平台下架违规应用，建议用户关注个人信息保护并选择合规应用。

巴西国家民防部门应急警报平台疑似遭黑客入侵，攻击者远程触发包含`misantropi4`（厌恶人类主义）字样的极端级别虚假警告，波及圣保罗、里约热内卢等多地手机用户。该系统已被紧急下线，相关部门正调查事件源头并加强安全措施，建议完善关键基础设施的访问控制和入侵检测机制。

一篇学术论文揭示攻击者仅需在Reddit发布13个单词的评论即可污染ChatGPT和Gemini等AI搜索系统的结果。这种低成本投毒攻击利用AI系统缺乏信息源验证的缺陷，使虚假内容被整合为可信答案。建议用户对AI搜索结果保持交叉验证习惯，优先查看有明确出处的信息，并关注其对企业和品牌的潜在影响。

FreeBSDKTLS本地权限提升漏洞(CVE-2026-45257)允许攻击者通过构造特定本地网络请求，在数据解密过程中直接覆盖文件页缓存内容，从而修改setuid二进制文件实现权限提升。该漏洞影响FreeBSD13.0-15.0等多个版本，目前PoC已公开。建议用户立即升级至修复版本或通过禁用KTLS功能进行临时缓解。

Fortinet发布紧急安全公告，其FortiGate防火墙正遭遇名为FortiBleed的大规模凭证窃取攻击。攻击者利用设备漏洞或弱配置窃取管理员凭证，获得企业网络边界控制权，可能导致数据窃取、勒索软件植入等风险。建议立即应用安全更新、更改密码并启用多因素认证、限制管理界面公网访问、检查登录日志排查异常。