ZONE.CI 全球网

本周CNVD共收录531个漏洞，其中高危269个，0day占比87%，涉及Google、Microsoft、IBM等厂商产品，存在权限提升、缓冲区溢出等风险，建议用户及时更新补丁。

CNVD发布上周(20260727-20260802)产品安全漏洞关注度分析，共10个漏洞。境外厂商漏洞5个，涉及Siemens、Google、Microsoft等产品，包括拒绝服务、权限提升、缓冲区溢出等类型。境内厂商漏洞5个，涉及大华、华为、UTT等产品，包括文件上传、权限管理不当、缓冲区溢出等。建议相关用户及时关注官方补丁并评估风险。

该文档为GB/T47853-2026智慧园区评价指标的国家标准介绍，并附带了大量相关技术文件下载链接，涵盖智慧园区、数字化转型、低空经济、车联网安全等多个领域。文档主要作为资源汇总，未提供具体技术细节或可操作建议。

本文档汇总了近期全球网络安全重大威胁动态，涵盖黑客利用GitHubActions构建僵尸网络、美国供水设施PLC遭攻击致多地中断、新型恶意软件HollowFrame针对律所的钓鱼攻击及安进云数据泄露等事件。此外还涉及Chrome扩展窃取AI对话、Adobe爆出CVSS满分漏洞及广告脚本劫持加密货币钱包风险。建议企业加强云访问控制、及时修补高危漏洞并严格审查第三方组件与浏览器插件权限。

本文推广返利机器人，介绍其通过分享链接获取优惠券和返利的操作流程，强调便捷性和省钱效果。后半部分探讨消费主义与色彩理论中的偏见，反思穿搭中的阶层感。核心是宣传返利工具，但内容包含软文广告性质。

安恒信息联合山东大学与安徽移动的恒脑安全智能体项目获2026金灵光杯金奖，为AI+漏洞治理领域唯一获奖项目。该项目基于AI代码审计智能体，实现从漏洞发现到修复的全流程闭环，已累计发现超4万漏洞，覆盖Windows、iOS等知名项目，提供中国版ClaudeMythos方案，具备实战化能力。

本周CNVD共收录漏洞531个，其中高危269个，0day占比87%，涉及GoogleAndroid、MicrosoftOffice等多款产品存在高危漏洞，建议用户及时更新补丁。

本文介绍JNDIexp这款JavaJNDI注入漏洞利用框架。该工具通过LDAP协议触发注入，内置60余种反序列化Gadget变种，覆盖Fastjson、Jackson等主流库，支持多种工厂类及回显、文件操作载荷，推荐JDK8至11环境。文末含大量会员推广与考证广告，属常规安全工具分享，对漏洞验证具参考价值。

2026年8月2日，波兰最大便利店运营商ŻabkaPolska在暗网被兜售内部数据，包括54万条Jira工单、23万条IT工单及89个GitLab代码仓库。最致命风险是单一全局GitLab令牌泄露，可克隆全部研发资产并获取CloudflareAPI密钥等核心凭据。事件发生在企业收购窗口期，加剧商业风险。攻击模式疑似员工账号劫持。建议立即轮换所有泄露密钥、排查异常访问日志并强化终端防护。

陈文清强调开展为期一年深化扫黑除恶斗争，重点打击网络及软暴力犯罪，清除行业乱象与保护伞，坚持依法办事与标本兼治，旨在建设更高水平平安中国。

亿赛通CDG电子文档安全管理系统发布例行安全升级包，V5.6.3.159.272及以下版本可升级至V5.6.3.210.291，CDG820服务器端V5.5.18.99.219及以下版本可升级至V5.5.18.101.221，主要优化产品性能并强化安全防护，建议用户备份原文件后及时登录指定页面下载更新。

本文详细记录了在Bing图像搜索功能中自主挖掘三个9.8分RCE漏洞(CVE-2026-32194等)的过程。攻击者通过精心构造的SVG文件，利用以图搜图或服务端爬虫路径，将恶意内容注入图像处理流水线，最终在WindowsServer生产环境以SYSTEM权限执行命令。核心教训是图像辅助工具(如ImageMagick)的代理行为是巨大攻击面，应严格限制其功能与出站访问。

LeekShell是一套面向授权安全测试与红队演练的高级远程管理框架(C2)，采用C++Agent与PythonServer架构。核心特性包括双传输模式(TCPAES-256-GCM与WSSoverTLS)、双层加密、两层认证(企业伪装登录页)、动态Payload生成及Web实时控制台。部署简单，支持跨平台，强调加密、隐蔽与易用性。仅供授权测试使用，需遵守法律法规。

本文介绍一款名为Net-Loader的.NET免杀生成工具，可将任意.NETPEclient打包为免落盘的PowerShell反射加载链。工具自动完成AES-256载荷加密、AmsiScanBuffer内存补丁、配置随机化与命名空间混淆，以绕过杀软和EDR检测。提供一键生成Client.vbs下载器与Payload.jpg载荷的功能，适用于红队渗透测试场景。

Strix是一款开源AI渗透测试工具，通过多Agent协作实现自动化漏洞发现与验证，支持SQL注入、XSS等常见安全检测。它模拟真实攻击流程，降低误报，并内置HTTP分析、浏览器自动化等工具链。该工具旨在将安全人员从重复性工作中解放，转向高级渗透与架构分析，代表AI+网络安全的新方向。

浙江大学发布第五届中国研究生网络安全创新大赛校内选拔赛通知，设置揭榜挑战赛、创意作品赛和实网对抗赛三个赛道，旨在培养网络安全创新人才。参赛对象为在读研究生，需组队报名并提交作品或参加实战比赛。校内赛提交截止至2026年9月17日，评审答辩及实网对抗赛于9月下旬举行，设一、二、三等奖。

支付巨头Visa宣布以24亿美元现金收购欺诈情报公司BioCatch，旨在强化网络安全与金融犯罪防控能力。BioCatch的行为生物识别技术通过分析用户行为特征实时识别欺诈，每月分析190亿次网上银行会话。此次收购将风险识别前移至交易发生前，反映支付行业从交易处理向安全服务扩张的趋势。交易预计在Visa2027财年第二季度完成。

2026年数据要素大赛北京分赛医疗健康赛道报名截止至7月31日，由多部门联合主办。赛事聚焦三医协同决策应用、重点人群健康数据流通、医疗数据合规协同与隐私计算应用及智能医疗质量预警四大方向。建议相关团队抓紧报名，重点攻关数据不出院场景下的隐私计算与数据价值挖掘技术。

文档为2026第十届御网杯数据安全赛道WriteUp，包含TracePurge和ShadowMeter两题。TracePurge通过分析CSV文件匹配客户数据，生成响应计划（PURGE/NOTIFY/MONITOR）并获flag。ShadowMeter通过分析access.log和error.log，利用base64分片恢复被外传的ZIP文件。解题过程展示了数据泄露应急响应与日志分析实战技巧。

河南鹤壁网警成功阻断一起境外钓鱼邮件攻击，攻击者以合作合同为诱饵传播远控木马。网警迅速锁定受害企业并查杀木马修复漏洞。文章揭示了钓鱼邮件常用手法，并提供了四要五不要防钓指南，强调及时更新系统、核实发件人身份、不下载异常附件等安全建议。

DeepSeekV4Flash因`时间错位`提示词被曝可输出违禁内容，暴露开源模型在工具调用与代码执行能力增强下的安全边界风险。建议企业部署时限制权限、设置人工确认并保留审计；研究者避免公开危险提示词，推动开放与安全协同治理。

本期安全快讯涵盖10项关键风险：N-ableN-central认证绕过、SonicWallSMA零点击root接管、AIAgent越界攻击、HuggingFace模型仓库RCE、GooglePasskey被恶意软件劫持、ThermoFisherDNA取证软件篡改漏洞、RailsActiveStorage云凭据泄露、VeloCloudSD-WAN命令注入、TP-Link家用路由器RCE及Octagon安卓远控木马。核心结论是`无密码不等于无风险`，强调供应链、终端、AI及IoT设备均需强化最小授权与隔离策略

边界无限公司成功中标某证券交易所RASP项目，标志着其在应用运行时自我保护领域的技术实力获得金融级客户认可，该案例体现了安全产品在高价值场景中的落地能力。

2026年上半年我国软件业务收入达77182亿元，同比增长9.5%；利润总额8999亿元，增长1.0%；出口337.9亿美元，增11.4%。信息技术服务占比最高，云计算与大数据增长显著，东部地区贡献超八成收入，京津冀与长三角为主要增长极。