ZONE.CI 全球网

FortiBleed凭证窃取活动被证实与INC和Lynx勒索软件有关联，攻击者利用自定义嗅探工具从Fortinet设备窃取凭证，规模涉及全球43万台设备，约1.9万台被部署嗅探器。研究还发现攻击者利用Nextcloud零日漏洞扩大访问权限，并创建持久后门账户。组织应加强Fortinet设备安全监控，及时修补漏洞。

360数字安全集团、深圳讯方集团与沧州交通学院正式达成校企合作，共建产业学院以产教协同破局人才瓶颈。合作涵盖共建产业学院、师资培训、产学研协同及就业通道四大举措，旨在培养兼具AI与安全能力的复合型人才，回应行业人才结构性缺口，为数字中国建设夯实人才底座。

SecSuitev0.1.0是一款由TheSecuredAnalyst项目团队开发的开源综合安全平台，集开源情报侦查、Web漏洞扫描、API安全检测、合规性核查与AI智能分析于一体。其核心特色是AI交互式漏洞修复引擎，可基于本地大模型生成可执行修复命令，打通漏洞发现到修复的工作链路。工具采用模块化架构，支持完全离线运行，适用于渗透测试、红队演练等授权安全评估场景。

暗网曝光约11.46亿条叙利亚公民与Facebook账户关联数据，包含手机号、姓名、出生日期及地理位置等。该数据集非单一企业泄露，而是多源历史数据整合形成的聚合数据库，真实规模待核实。建议相关平台加强账号关联风控排查，用户需提升隐私保护意识并警惕基于此类精准画像的社工钓鱼攻击。

施耐德电气浮动许可证管理器存在CVE-2024-2658漏洞，源于第三方组件FlexNetPublisher路径校验缺陷，允许低权限用户通过构造配置文件实现本地权限提升至SYSTEM级别，威胁工业网络。建议升级FLM至3.0.0.0及以上版本修复。

文章是一位网络安全行业校招生入职后的个人体验分享，描述了加班无加班费、末尾淘汰制、领导与导师被更换等职场现象，以及由此产生的焦虑与无奈情绪，最后表达了可能回乡务农的消极想法，反映了行业新人面临的现实压力与心理落差。

CyberStrikeAI发布两项重要更新：全站深色主题和基于CloudWeGoEino重构的RAG知识检索管线。深色主题支持跟随系统/浅色/深色三种模式，覆盖核心界面，减轻视觉疲劳。RAG升级引入MultiQuery查询改写、HTTP精排、EinoCompose索引流水线及灵活后处理配置，提升安全场景下AI知识检索的精准度与稳定性。建议用户升级体验或从GitHub获取预构建知识库。

Giteaact_runner存在高危容器逃逸漏洞CVE-2026-58053。漏洞源于container.options参数未有效过滤，攻击者可通过提交恶意工作流文件注入危险Docker启动参数（如–pid=host、–cap-add=ALL），结合nsenter工具实现容器逃逸，完全控制宿主机。建议立即升级act_runner至最新版本，或采取限制工作流权限、收紧Runner权限等临时缓解措施，并排查入侵痕迹。

Unit42研究发现攻击者可利用云存储桶名称全局唯一性，通过删除目标存储桶并立即以同名重建的方式，将数据流静默劫持至自身账户窃取审计日志等关键数据。该攻击具有配置、运行状态及数据价值层面的多重隐蔽性。防御建议包括最小化删除权限、启用命名空间隔离、监控存储桶删除事件及定期审查数据流目标账户。

四川公安破获特大侵犯学生个人信息案,涉案学生信息达90余万条,全链条摧毁学院高层至校外招生团队的黑色产业链,抓获5名嫌疑人.警方提醒考生及家长加强信息防护,通过官方渠道核验招生信息,发现线索立即举报.

Poweradmin存在Host头注入漏洞CVE-2026-54588，CVSS评分9.6。因其登录未验证HTTPHost头，攻击者可篡改认证回调地址窃取授权码，接管DNS账户，导致邮件劫持与证书窃取。暂无公开PoC。建议立即升级至4.2.4或4.3.3，或在配置中指定基础URL缓解风险。

本文档介绍了AceData平台GoSDK的接入教程，涵盖安装、APIToken配置、非流式与SSE流式chatcompletions示例、类型化错误处理及配置选项。核心要点是SDK采用方法链风格，支持并发安全客户端复用，提供自动重试和结构化错误处理，适合Go后端服务集成。可操作建议包括从环境变量读取Token并复用Client实例以优化性能。

本文介绍了OSS存储桶遍历漏洞自动化利用工具OSSFileBrowse，该工具基于javafx图形界面与kkFileView接口实现文件在线预览，便于安全测试时直观展示漏洞危害。然而文章后半段实质为付费知识星球引流软文，大量罗列免杀与红队工具，技术干货匮乏。

台外事部门13件机密公文遭暗网兜售，监察机构调查证实外泄，内容涉邦交评估与驻美电文。报告指出外泄源于外部骇客入侵、内部人员资安意识薄弱及保密管理失控。建议相关部门全面检讨公文收发流程，补强资安防线与监控机制，彻底消除管理死角。

本文介绍src-hunter-skill工具库，面向SRC众测与漏洞赏金场景，整合数千份HackerOne和乌云公开案例，包含19类漏洞攻防手册、305组结构化Payload及WAF/EDR绕过方案。工具遵循标准化流程，支持MCP工具联动，强调合规操作并设定严格红线，如禁止数据全量拉取、使用自建账号测试、不执行副作用动作等。用户可通过ClaudeCode插件市场或Git安装使用。

一名乌克兰公民OleksiiLytvynenko承认参与Conti勒索软件行动，该组织曾攻击全球超1000名受害者并收取超1.5亿美元赎金。Lytvynenko面临最高20年监禁，其认罪是国际执法合作的重要成果。Conti组织已分裂为多个勒索软件团伙，需持续关注其衍生威胁。

本文通过美国司法部对网络犯罪团伙ScatteredSpider成员彼得·斯托克斯的控告书，复盘了其入侵奢侈品零售商CompanyF的完整技术链条，并深入解析了FBI与微软如何通过IP追踪、设备指纹、账号关联等五条独立证据链，将匿名网络行为归因于真人。文章最后从技术防御角度，提出了加固身份核验、限制高权限凭据、监控内网穿透工具等应对建议。

文章揭露宠物店以800元低价猫为诱饵，诱导消费者绑定银行卡并签署未阅读的宠物认养协议，实际是24期分期贷款，总费用达7952元。商家利用消费者对宠物的情感依赖，迫使支付高额养护费。记者暗访发现价签双标，店员话术暴露套路。建议消费者避开认养、免费、特价、分期等字眼，选择正规猫舍一次性付款。

研究发现三星等智能电视免费应用内置BrightDataSDK，秘密将设备变为商业代理节点供AI抓取。该SDK通过特定API绕过VPN，默认月耗200GB带宽，波及数亿设备。建议屏蔽特定DNS域名、过滤相关SNI的TLS握手，并用MDM扫描特定Swift符号以阻断隐蔽流量。

Huntress研究发现新型恶意垃圾邮件活动利用谷歌DoubleClick广告跟踪基础设施绕过企业邮件安全网关，通过高度个性化动态诱饵启动五阶段感染链，部署.NET加载器以修补AMSI、禁用ETW遥测和MicrosoftDefender实时保护，最终通过进程空洞化注入合法进程，并使用AES加密消息通过原始TCP协议与基于DDNS的C2服务器通信。

本文介绍使用java-audit-skills工具对JavaSecLab项目进行代码审计。审计发现6个无鉴权的Critical漏洞（文件上传webshell、JPQL注入、任意文件读取等），以及Shiro-550、Log4Shell等反序列化风险。审计覆盖252条路由和5个专项审计，消耗约2kwTokens。建议优先修复无鉴权漏洞并激活ShiroFilter。

本文提出记忆投毒攻击的六段触发式模型，并设计实验验证防御思路。现有防御存在覆盖不全、阈值难调、来源可洗白等不足。实验将记忆治理前移至写入层，通过信任等级标记、脱敏清洗、精确事实回填、删除语义过滤及大文档有界检索等六步控制点，构建受治理的记忆链路。核心结论是记忆应视为证据而非指令，需分段控制写入、存活、召回与生成全路径。

ICML2026论文提出Multi-TaskBayesianIn-ContextLearning，将先验信息作为上下文前缀输入Transformer，使模型在测试时显式适应不同先验而无需微调。实验表明该方法在多种先验下接近贝叶斯oracle，具备推理效率优势，适合先验随场景变化的问题。

本文深入剖析了AI志愿填报工具的运作原理、潜在风险及使用建议。文章指出，AI填志愿的核心逻辑是匹配历史录取数据，并非真正的智能决策，且不同平台因数据库和算法差异，推荐结果重合率低。文中揭示了AI可能出现的错误，如位次排名、专业招生信息不准等，并强调其推荐需谨慎对待。此外，文章还警示了用户在使用这些平台时面临的数据安全风险，如个人信息被收集、出售甚至引发精准诈骗。最后，作者给出了五项实用建议：以教育考试院官网为唯一数据来源、将AI作为筛选工具而非决策依据、拒绝提供身份证号等敏感信息、警惕`交钱保录取`骗局，

本文分析了黑产如何系统性地伪造平台信任信号（如认证、粉丝、账号历史等），将普通账号改造为看似可信的账号，并指出平台依赖这些信号进行判断，容易被欺骗。文章建议平台从一次性校验转向持续性判断，结合安全数据与业务数据，在账号全生命周期中识别异常，以重建信任体系。