ZONE.CI 全球网

Linux内核OVSwrap漏洞(CVE-2026-64531)允许本地用户提权至root，影响多个发行版。漏洞源于2025年移除32KiB上限后暴露的13年截断问题，攻击者通过构造恶意OVS动作流实现内存损坏。建议立即安装供应商补丁，或阻止openvswitch模块加载并禁用非特权用户命名空间。

Django发布6.0.8和5.2.17版本修复四个漏洞，最严重的是高危漏洞CVE-2026-15307，影响GDALRaster处理栅格数据，可能导致文件写入和远程代码执行。其他漏洞包括拒绝服务（CVE-2026-15337、CVE-2026-15830）和存储型XSS（CVE-2026-15920）。建议开发人员和管理员尽快升级，特别是在使用GIS功能或管理界面的环境中。

本文详细剖析了一款基于LinuxeBPF的新型Rootkit组件。该样本为ELF64可重定位对象，经libbpf加载后通过13个tracepoint程序与10个map实现进程隐藏、反调试及网络连接隐藏。因其不修改内核文本段与系统调用表，传统基于模块签名与内核完整性的防御机制天然失效。文章深入分析了其三段式攻击链与BTF结构，指出检测此类威胁必须直接观测BPF子系统本身的状态，仅删除磁盘文件无法清除已加载的内核对象，为防守方提供了针对性的排查与响应建议。

CNNVD通报近期采集255个人工智能漏洞，含49个超危与106个高危，涉及IBMLangflowOSS、Ollama及OpenClaw等。典型问题包括Langflow代码注入致任意命令执行、Ollama内存耗尽致服务崩溃及OpenClaw环境变量过滤不当。厂商均已发布补丁，建议用户尽快升级修复。

华为牵头编制的《人工智能防火墙安全技术要求》通过NIDA草案送审，该标准针对AI系统新增安全防护特性，实现AI对抗AI、AI保护AI的技术突破，覆盖大模型、智能体等非人类身份安全，将宏观AI安全治理转化为可落地技术规范。华为将推动标准落地，助力网络安全从被动防御向主动智能防御升级，为数字经济筑牢安全底座。

基于十余家政企调研，提出AI安全落地五大建议：一是构建Harness工程层并夯实数据底座；二是优先AI压降存量漏洞再谈0day；三是通过端网联动与多源验证压制AI幻觉；四是构建小世界模型赋予业务认知；五是按L1至L4分级渐进落地。核心在于数据先行与业务驱动。

OpenAI宣称其AI模型推翻了Connes刚性猜想，但数学家Nielsen在24小时内逐行审查3.7万行Lean代码指出其反例不成立。核心问题在于AI构造的群未满足猜想前置条件，属于对错误陈述的成功证明。该事件深刻揭示了形式化验证工具仅能检查逻辑形式而无法确保语义与原意一致的局限，强调人类对AI科研成果的严格审查仍不可替代。在AI辅助科研中，专家必须对核心定义与前提映射进行把关。

2026年7月CNNVD新增漏洞9702个，环比增长22.27%。重大漏洞为AlibabaFASTJSON2反序列化远程代码执行漏洞（CVE-2026-16723），影响1.2.68至1.2.83版本，无需特殊配置即可利用。漏洞类型中授权问题占比最高（12.18%），超危漏洞修复率最低（71.49%），整体修复率84.78%。建议立即升级FASTJSON至安全版本并关注高危漏洞修复。

该文档记录了NewStarCTF2023公开赛道中ErrorFlask题目的解题过程。题目为Web类型，通过给number1参数赋值触发Flask报错，随后在网页源代码中直接发现flag。核心发现是题目存在信息泄露漏洞，错误处理不当导致敏感信息暴露。建议在CTF中遇到类似题目时，尝试触发错误并检查源代码以获取隐藏信息。

Claude-Red是由SnailSploit打造的开源Claude技能库，包含覆盖Web渗透、内网横向移动、漏洞利用及AI安全等13大领域的58个专项技能文件。该项目采用渐进式揭露机制，根据对话关键词按需加载对应技能如SQL注入或EDR绕过，有效节省上下文Token。每个技能不仅提供工具链，还包含攻击面识别、绕过技巧与检测规避等专家级方法论。用户可通过自动扫描目录、命令行注入或手动粘贴等方式将其集成到Claude中，从而在授权测试与漏洞研究中显著提升AI辅助红队作战的效率与专业度。

本文评析美智库反航母报告，指出其旨在借五维联盟杀伤链推动美军无人扩编与盟友工业整合。文章点明该报告存在标准双标、高估联盟与技术、忽视升级风险四项硬伤。建议中方回归体系对抗，补强反潜短板，提升保障韧性与数据链抗扰能力，持续追踪美方项目落地。

美国防部近期将25年非机密武器测试报告撤至内网，旨在防对手利用AI聚合开源数据拼凑武器漏洞。此举与该部门人员和项目大幅削减同步，实质收窄了外部监督渠道，遭批违背透明度承诺。但因第三方镜像与网络存档存在，该管控效果有限，反映出AI时代防范开源情报威胁的新趋势。

文档介绍了360KillerV4的免杀技术升级，包括HEX低熵编码、PE资源伪装和合法代码注入，以绕过360安全软件的检测。该工具旨在终止360进程、删除服务和清理注册表。文档提供了详细的技术实现和对抗策略，但内容涉及恶意软件开发，不具备合法技术评价价值。

文档介绍Nessus漏洞扫描工具最新破解版下载，强调其漏洞发现、合规检查等功能，并提供Windows/Linux安装教程。文章本质为软文广告，引导用户关注公众号或加入付费社群获取资源，同时包含免责声明要求合法使用。

本文分享了一次无凭证授权渗透测试实战。作者通过深入审计前端JS代码，发现存在未授权访问的API接口并获取硬编码明文账号密码。利用获取的凭证登录SSO系统后，在子系统中发现文件上传漏洞，借助AI生成绕过简单过滤的Webshell，最终成功GetShell。建议企业加强前端接口管控、杜绝硬编码敏感信息并严格校验文件上传。

文章介绍reverse-skill开源AI逆向安全工具包，覆盖APK脱壳、二进制逆向、渗透测试、CTF竞赛等场景，具备AI智能路由、工具链自举和知识库进化功能，附带VIP星球推广和免责声明。

本文拆解虚假票务诈骗四步套路：社交平台低价引流、小额定金骗取信任、编造名目层层加码、最后失联跑路。骗子利用一票难求的焦虑心理设局。建议务必通过官方渠道购票，坚决拒绝私下转账与预付定金，不轻信低价及内部名额噱头，保护好个人信息，遇骗需立即止损、保存证据并报警。

长沙芙蓉警方2小时破获车内现金盗窃案，追回34000余元被盗救命钱。7月8日晚接警后连夜侦查锁定嫌疑人，次日凌晨抓获并全额追回赃款。嫌疑人已被刑拘，案件进一步侦办中。警方提示勿留贵重物品在车内，选择监控覆盖区域停车。

本文为恒安嘉新18周年庆典宣传稿。公司宣布已从数字安全领域升级为专注AI智能治理的垂类大模型企业，依托十八年运营商级全量流量数据打造读懂机器语言的大模型。同时明确表达了冲刺上市与建设百年企业的战略愿景。整体偏向企业公关宣传，无实质技术细节。

该文档以图解形式概述了智能网联汽车自动驾驶系统的安全要求，涵盖技术标准、政策法规及关键安全指标，为行业提供合规参考。

本文主要推介无问AI网安模型并附赠两千万Token粉丝兑换码。文章详细展示了该模型在逆向工程、PWN及密码学等CTF高难度题目中的评测结果，在无人工干预与联网条件下，通过自主推理与工具调用，240分钟内完成百分之七十五的题目，体现出较强的自动化漏洞利用与代码分析能力。此外，文中还提供了API调用指南与接入文档，支持主流接口格式，建议安全研究人员使用兑换码进行实际测试与评估。

绍兴银行发布智能风控平台建设项目招标公告，预算395万元，投标截止2026年8月11日。项目要求供应商通过POC测试，采用全流程电子招投标方式。潜在供应商需在绍兴市阳光采购服务平台获取文件并按时提交投标。

中国银行已完成基于AI智能体的智能化自动化安全运营项目采购，入选供应商为北京知其安科技有限公司，采购金额为16.96万元。该项目主要涉及相关技术支持服务，旨在通过AI智能体提升安全运营的智能化与自动化水平，反映了金融机构在AI安全运营领域的探索与投入。

本文分析了VoidLink和LinkPro两个eBPFrootkit家族的技术原理。VoidLink利用bpf_probe_write_user()篡改Netlink消息长度字段，向ss工具隐藏特定端口连接。LinkPro则使用bpf_override_return()在BPF程序枚举时返回-ENOENT，隐藏自身程序。文档提供了基于系统调用行为差异和调试日志的检测方法，强调对比枚举结果和检查trace_pipe输出是有效检测手段。

天融信获CSMM5级最高认证，同时拥有CMMI5国际与CSMM5国家标准双五级资质，标志其研发过程管理能力达到国内顶尖水平。该认证覆盖4大能力域21个子域197项考核条款，体现其在网络安全与智算云领域的技术创新与过程改进能力。未来将深化标准落地，提升产品可靠性并输出行业最佳实践。