ZONE.CI 全球网

FortiBleed攻击活动利用FortiGate防火墙漏洞，将43万台设备变为流量窃听器，窃取1.1亿条凭证并构建五步工业化攻击链。关键发现包括攻击者使用定制化Golang程序监控24种协议，中小企业占受害者的66%。防御建议包括立即轮换凭证、启用多因素认证并排查异常嗅探行为。

2026年数智医学大会(CHINC)将于7月3-5日举办，主题为`智融医学,质筑健康`，聚焦AI+医疗实践应用、数据安全与治理体系建设等核心议题，设置1场主论坛及30余场分论坛，涵盖AI+卫生健康治理、医疗服务、质控监管、医疗数治及成果交流五大方向，旨在推动数智技术在医疗领域的规范应用与价值释放。

Libssh2库存在严重整数溢出转缓冲区溢出漏洞CVE-2026-55200（CVSS9.2），影响1.11.1及更早版本。攻击者可通过构造恶意SSH数据包触发远程代码执行，无需认证即可完全控制受影响系统。漏洞源于ssh2_transport_read()函数未验证packet\\_length字段导致堆越界写入。建议立即升级至修复版本，监控异常网络流量并实施网络层控制措施。

研究人员发现名为`冬虫夏草`的供应链漏洞，影响数千家组织机构的代码仓库。该漏洞利用GitHubActions工作流中的命令注入、认证逻辑缺陷等模式，通过多步骤攻击链让攻击者完全控制CI/CD流水线。AI编码助手加剧漏洞传播，已确认300多个仓库可被利用。建议企业以应用程序代码标准审计工作流，修复信任边界问题。

本文是一份关于ASIC安全芯片防火墙的技术白皮书。它系统地介绍了ASIC安全芯片防火墙的背景、核心概念，并与CPU、NP、FPGA等传统架构进行了对比，旨在为用户在高带宽、低延迟要求严苛的场景下提供技术选型参考。报告详细阐述了ASIC安全芯片防火墙在超高性能、极低时延、原生支持多高速口、低碳节能和极高稳定性五个方面的核心优势，并结合大型企业分布式组网、金融高频交易、AI算力集群等真实需求场景进行了说明。

美国总统特朗普签署第14409号行政命令，要求联邦政府及承包商加速向后量子密码迁移以应对量子计算机威胁。命令从政策机制、时间路径、责任分工、采购保障五维度部署：设定2030年完成密钥建立迁移、2031年完成数字签名迁移的时间表；明确由管理和预算办公室、国家标准与技术研究所等机构分工协调；要求各机构30天内指定迁移负责人，并推动关键基础设施采用美国标准算法。

在ISC2026大会上，360发布AI安全核心能力：漏洞自动化挖掘智能体图龙锋和网络安全自动化防御系统仪天阵，被视为中国版Mythos。周鸿祎指出AI正改变网络攻防规则，使漏洞发现规模化，传统安全体系面临失效。为此发起磐石之盾计划，联合产业伙伴将AI安全能力开放给信创和关键基础设施单位，推动防御体系从人海战术向自动驾驶演进。

该文档为第六届数字安全大会的活动预告，由数世咨询主办，将于2026年6月24日在北京举行线下会议。文档提供了大会倒计时信息和线下参会报名链接，属于行业活动宣传内容。

2026年6月23日全球股市遭遇黑色星期二，半导体股领跌，SpaceX市值跌破2万亿美元。字节跳动宣布豆包大模型2.1上线并聚焦AI领域，阿里计划出售游戏业务。孙正义质疑马斯克太空数据中心意义，OpenAI推出网络安全计划。此外涉及豆包手机延迟发布、安克创新招股、任天堂服务涨价等科技动态。

周鸿祎在ISC.AI2026大会上发布360AI安全`倚天屠龙`两大核心能力：漏洞自动化挖掘智能体`图龙锋`和网络安全自动化防御系统`仪天阵`。面对Mythos带来的安全规则变局，他强调中国必须拥有自己的Mythos级能力，并提出通过攻防经验、智能体平台和多智能体蜂群三张牌实现以智能体对抗智能体的自动化防御体系转型。

文档通告Joomla的JCEEditor和SPPageBuilder组件存在高危文件上传漏洞CVE-2026-48907/48908，无需认证即可上传恶意文件执行远程代码。影响版本为JCEEditor≤2.9.99.4和SPPageBuilder≤6.6.1。官方已发布修复版本，建议立即更新并采用临时措施如关闭未使用模块。深信服提供检测与防护方案，预计6月29日至7月3日陆续上线。

周鸿祎在ISC.AI2026大会上警告AI正颠覆网络安全行业运行30年的游戏规则，指出Anthropic的Mythos模型能自主发现漏洞、构造攻击武器，形成新的战略威慑。他提出中国必须拥有自己的Mythos，并发布360AI安全倚天屠龙两大能力：漏洞自动化挖掘智能体图龙锋和网络安全自动化防御系统仪天阵。同时联合产业伙伴发起磐石之盾安全协作计划，推动AI安全能力落地关键基础设施。

本周全球网络安全态势严峻，FortiBleed事件导致超7.5万台Fortinet防火墙被入侵，1.1亿条凭证泄露；三星KNOX内核漏洞影响数百万设备，Squid代理存在29年历史漏洞。供应链攻击频发，KlueOAuth令牌被盗导致LastPass等企业数据泄露。五眼联盟发布联合警告，呼吁应对AI驱动的网络威胁，建议建立AI安全治理框架。

本周CNNVD统计新增安全漏洞1804个，较前周有所上升，其中Oracle公司漏洞数量最多(240个)，权限许可和访问控制问题占比最高(15.74%)。漏洞危害等级包括超危360个、高危807个，整体修复率达74.61%。报告重点列举了GoogleAndroid、Cisco身份服务引擎等6个重要漏洞实例，并提示受影响用户及时关注厂商补丁更新。

JFrog安全团队披露FFmpeg媒体处理框架中高危RCE漏洞CVE-2026-8461（PixelSmash），该漏洞存在于MagicYUV解码器，可通过恶意视频文件实现堆越界写入，影响Kodi、Nextcloud等大量应用。文章详细分析漏洞成因，演示从崩溃到代码执行的完整利用链，并提供升级版本或禁用解码器等缓解措施。

LastPass于2026年6月23日披露因第三方供应商Klue遭受供应链攻击，黑客利用被盗OAuth令牌入侵其Salesforce环境，导致客户支持与销售系统中的用户姓名、电话、邮箱、住址及CRM数据泄露。LastPass强调密码保险库与核心服务未受影响，已采取令牌轮换、访问停用及联合调查等措施。

PixelSmash是FFmpegMagicYUV解码器中的高危漏洞（CVE-2026-8461），攻击者通过50KB恶意视频文件可在Jellyfin、Nextcloud等媒体服务器实现远程代码执行。漏洞根因为色度平面行数计算不一致导致堆越界写入，进而劫持AVBuffer函数指针。建议立即升级FFmpeg或禁用MagicYUV解码器。

本文披露了一个由前端硬编码OpenAIAPI密钥与AI代理漏洞组合引发的安全事件。作者在测试AI应用时发现JavaScript文件中明文存储API密钥，并通过构造恶意文本文件利用间接提示注入攻击，成功诱导AI泄露系统提示词中的密钥及数据库密码。文章详细分析了漏洞成因包括硬编码密钥、权限过大、Agent架构缺陷等，并提出通过后端代理、最小权限、输入输出过滤等防御措施避免类似风险。

本文系统分析无人机防御技术演进与实战应用，指出低成本无人机对传统防空体系构成经济性挑战，提出以定向能武器为核心的分布式杀伤网解决方案。文章详细解析高能激光对不同材料的毁伤机理，对比各类硬杀伤系统优劣，并结合美军JADC2体系与中国天穹系统实战案例，强调未来低空防空将转向算力与产能的不对称消耗战。

本文发表于USENIXSecurity'26，首次系统性评估IntelXeon处理器非核心性能监控计数器(UncorePMCs)在SGX环境下的安全性。研究发现UncorePMCs在飞地执行时仍会记录敏感内存事件，利用此漏洞实现了名为UncoreBleed的新型侧信道攻击。该攻击无需触发异步飞地退出(AEX)，即可在64字节粒度下低噪声追踪内存行为，成功从飞地内复原图像并单次解密提取RSA私钥。研究揭示了硬件安全审计需从核心扩展至全芯片范围，并表明传统依赖控制流中断的防御机制已失效。

PentestEval是一个针对大语言模型渗透测试能力的模块化评测基准，将渗透测试流程拆解为信息收集、弱点收集、弱点过滤、攻击决策、Exploit生成和修正六个阶段。研究发现当前LLM在弱点过滤和Exploit修正阶段表现较好，但在攻击决策和功能性Exploit生成方面存在明显短板，完全自动化Agent的端到端渗透测试成功率很低。该研究为LLM在安全领域的应用提供了细粒度评估框架，指出未来需要加强模型对攻击链的结构化理解能力。

本文详细解析WebDAV协议在渗透测试中的利用原理，从IIS扫描结果识别PROPFIND、PUT等方法入手，阐述WebDAV作为HTTP扩展协议的文件管理功能及其风险本质——权限配置不当导致可写目录与脚本执行权限叠加。通过具体curl命令演示目录枚举、文件上传、MOVE绕过扩展名限制等实战步骤，并强调认证机制突破的重要性。最后从防御角度提出禁用非必要WebDAV、目录权限分离等关键建议。

FortiBleed攻击活动利用薄弱身份验证机制而非新漏洞，通过凭证填充和暴力破解窃取FortiGate设备的VPN与管理凭证。主要风险源于弱密码、缺乏MFA及未修复旧漏洞。防御措施包括终止活跃会话、重置凭证、强制MFA、升级至支持PBKDF2哈希的FortiOS版本，并监控可疑账户与异常活动。

本文探讨AI小型主机选型，强调其核心在于长期稳定运行而非峰值算力。文章构建了任务导向的评估框架，指出在推理与训练场景中，持续负载下的散热、供电与内存IO表现远比单一硬件参数关键。建议读者避免唯参数论，务必进行长时压测，实行资源隔离并规范目录管理，以筛选出真正具备生产级可维护性的设备。

法国政府Tchap加密通讯平台遭社会工程攻击，攻击者利用被盗账户访问未加密的公共聊天室，导致73467名公务员的姓名、邮箱、所属机构及头像等数据泄露。平台已封禁恶意账户并通报监管机构，但私有对话因加密未受影响。