ZONE.CI 全球网

本文为直播预告，介绍HGTALK第三期对话车联网安全专家非克。非克具有密码学与车联网安全背景，将在直播中分享从密码学到车联网及具身智能的技术演进、冠军战队实战经验、具身智能潜在攻击威胁及顶会论文的实战逻辑，直播定于六月二十八日下午举行。

黑客正积极利用WordPress插件EverestFormsPro1.9.12及更早版本中的严重漏洞CVE-2026-3300，该漏洞存在于复杂计算功能中，因sanitize_text_field()函数未转义单引号，攻击者无需认证即可通过注入PHP代码执行任意命令，目前已观测到利用该漏洞创建非法管理员账户diksimarina的攻击活动，建议管理员检查日志与账户并升级至修复版本。

DentaQuest数据泄露事件暴露260万个账户敏感信息，包括邮箱、姓名、电话、身份证件及健康保险数据。勒索组织ShinyHunters窃取234GB数据后公开，HIBP验证约66%记录曾出现在过往泄露事件中。建议受影响人员警惕社交工程和网络钓鱼攻击。

思科警告其CatalystSD-WAN管理器存在未修补的高危零日漏洞CVE-2026-20245，攻击者可利用该漏洞通过文件上传实现root权限提升。该漏洞影响所有部署环境，需结合网络管理员权限或其他漏洞利用。思科建议升级至5月14日修复版本，并提供入侵检测指标供管理员审查系统日志。

本文仅为第十一届全国高校密码数学挑战赛报名截止的五天倒计时提醒，实质内容极度匮乏。正文未包含任何赛事具体规则、密码学技术细节或参赛指导，仅附带天融信公司关于数据安全、技术支撑单位获评等热点文章链接。整体属于企业品牌引流与活动预告类软文，无技术评价价值与可操作性建议。

文档通报2026年6月22日至26日信息安全漏洞情况，重点披露用友GRP-U8Cloud产品yrule接口存在高危命令执行漏洞。攻击者可利用伪造参数获取服务器权限，建议用户及时安装官方补丁（需先更新至2026年4月30日标准补丁或直接升级至6月30日发版补丁）并严格校验接口权限与过滤特殊字符。

Gogs0.14.3之前版本存在目录遍历漏洞CVE-2026-52813，攻击者通过恶意组织名注入路径序列可写入非预期目录，覆盖Git钩子脚本导致远程代码执行。官方建议升级至0.14.3或禁用用户注册功能，深信服提供了检测防护方案预计6月29日发布。

本文探讨了硬件安全技术的演进与挑战，从传统密码芯片安全扩展到智能时代硬件安全新视角。文档分析了侧信道攻击、微架构侧信道攻击等威胁，提出硬件安全需在复杂开放系统中保护密钥和软件，并强调生命周期安全设计的重要性。文章还介绍了硬件安全架构、物理攻击技术等研究内容，指出随着攻击方法不断升级，需保持最小化安全假设以确保系统安全。

本文详细解析AUTOSARCanNM网络管理协议，重点阐述整车CAN网络同步唤醒与休眠的实现原理。文档指出CanNM通过协调ECU节点在总线睡眠模式、准备睡眠模式和网络模式间的状态转换来实现节能目标，其中网络模式包含重复报文、常规运行和准备睡眠三个子状态。关键机制包括主动/被动唤醒区分、定时器管理（T_WAIT_BUS_SLEEP、T_NM\\_TIMEOUT等）以及NMPDU报文结构控制，并具体说明各状态下节点行为规则与转换条件，为汽车网络功耗优化提供技术实现方案。

本文详细介绍了腾讯混元AIInfra团队对Hy3Preview大模型推理性能的优化实践，重点从算子优化与融合、并行策略、多级缓存、调度优化和量化稀疏五个维度展开。通过动态调度负载均衡、双BF16重构FP32计算、全算子流水线重构等技术，在Hopper卡上实现了显著性能提升，包括Attention算子最高加速2.95倍、MoE推理加速1.2-1.6倍、采样算子提升5.5倍等成果。文章还展示了TPSP和DP+EP并行策略在Prefill和Decode场景下的具体优化效果。

该文档宣布海云安入选《中国企业出海数据合规服务商全景报告2026》综合类服务商，重点分析了全球数据合规监管趋势及企业出海面临的挑战。报告系统分类了数据合规服务生态，针对不同行业和发展阶段提供选型策略，强调规避伪合规风险并提升技术落地能力的重要性。

我国牵头制定的联合国自动驾驶系统全球技术法规(ADSGTR)正式获批，该法规明确了自动驾驶产品核心技术指标、制造商要求及审核方法，构建了覆盖产品全生命周期的法规框架，为全球自动驾驶技术安全落地提供了统一遵循。

本文提出工业互联网安全需从单点防护转向`零信任+可信空间`范式，通过在外侧构建可信接入层实现资产隐身与可控访问，解决长生命周期设备漏洞难以即时修复的矛盾。方案结合上层可信空间与下层CT网络承载，使关键资产仅可通过可信身份和路径触达，支撑系统在保证生产连续性的前提下实现高质量`带洞`运行。

启明星辰集团入选Gartner《2026中国网络安全技术成熟度曲线》六大领域代表厂商，涵盖AI网络安全测试、数据安全态势管理、AI网关、数据安全平台、网络安全AI助手及软件成分分析。报告指出中国网络安全正朝着保障AI安全、强化韧性方向演进，预测到2029年70%中国组织将实施AI网络安全测试。文章详细介绍了启明星辰在AI安全、数据安全和供应链安全领域的技术方案与产品能力。

本文深入探讨了火山引擎AI搜索团队如何重构其Agent架构，以应对千万级并发的企业级生产环境挑战。文章指出，传统的React三节点架构在面对复杂业务时存在延迟高、状态管理混乱等问题。为此，团队提出并实践了一种全新的workflow+UnifiedPolicyAgent（UP-React）架构。该架构通过将确定性逻辑交给Workflow处理、动态决策交由纯粹的Policy中枢，并实现控制、行为与状态的统一管理，显著提升了系统性能。实践数据显示，新架构将首字返回时间（TTFT）缩短了30.22%，同时推荐准确

腾讯云捕获多个由AIAgent驱动的真实攻击案例，攻击链中首次出现LLM生成的解释、代码和决策过程。案例展示Agent在打点阶段通过语义理解进行技术栈识别、CVE匹配和WAF绕过，在内网阶段现场编写代码、编译执行并利用xp\\_cmdshell获取权限。关键发现是攻击决策从人驱动转向目标驱动，攻击过程留下自我解释式命令痕迹。

成都链安凭借在AI+安全领域的实践成果入选嘶吼《2026AI+网络安全产业图谱》，其核心产品链必追平台将AI技术深度应用于虚拟货币案件研判，通过AI与区块链技术融合提升溯源取证与案件打击效能。

本文详细介绍了一款名为nikto的开源Web服务器扫描工具。它采用模块化设计，通过插件和文本数据库来驱动对目标主机的全面安全评估，能够检测出配置错误、敏感文件、SQL注入、XSS等多种漏洞。用户可以根据需求自定义扫描类别，并支持多种报告格式输出。文章最后提供了该工具的GitHub开源地址。

安全学术圈公众号专注于安全学术领域，提供论文笔记、会议投稿信息、基金申请资讯、人才招募和学术写作技巧等内容，旨在促进安全学术交流。公众号设有不同加入规则的交流群和内部群，为成员提供学术资源和成长机会。

本文分享了2026黄河流域CTF比赛misc方向三道题的解题思路。签到题signin通过将特定标点符号映射为四进制数解码得到flag；cake题利用题目给出的ZipCrypto加密密钥流参数，解密bin文件后从视频逐帧提取隐藏字符；encrypt题则通过分析PyInstaller打包的exe程序逻辑，还原其对图片像素的交换算法以破解加密图像。

本文详细分析了objdump工具中FR30架构重定位处理器的堆溢出漏洞，该漏洞源于缺失边界检查导致越界写入。文章展示了如何通过64位地址回绕、字节序切换和重定位类型借用等技术，将简单OOB写入升级为可控的OOB递增操作，最终利用HouseofApple2技术实现无需地址泄露的任意代码执行，成功绕过ASLR、PIE等现代防护机制。

ThreatMapper是一款开源自托管威胁情报平台，利用AI自动分析PDF/DOCX/TXT格式的威胁报告，将其映射到MITREATT&CK框架技术ID，并提供APT组织匹配、置信度评分和PDF报告导出功能。平台支持Claude/GPT-4o/Gemini等大模型，包含ATT&CKNavigator交互式矩阵、Jaccard相似度归因分析和对比功能，所有数据在Docker容器内本地处理确保隐私安全。文档详细介绍了10分钟快速部署流程和核心工作流操作指南。

FlutterBridge行动是CL-CRI-1089组织自2025年底发起的恶意广告活动，通过虚假谷歌广告诱骗Mac用户下载伪装成播客播放器或PDF浏览器的FlutterShell后门。该恶意软件具备任意命令执行、文件窃取和浏览器劫持能力，攻击者使用空壳公司购买广告并频繁更新变种。研究显示该恶意软件仍在积极开发中，建议用户警惕不明来源的应用程序下载。

MPScan是一款专为微信小程序设计的WindowsGUI自动化安全审计工具，可实现从自动提取、反编译到敏感信息识别和风险可视化的完整工作流。工具支持实时监控微信小程序包目录自动触发扫描，也能手动批量处理，内置20余类敏感信息识别规则并提供交互式代码审查界面。具备一键导出CSV报告功能，无需安装外部依赖，开箱即用。