ZONE.CI 全球网

CNNVD最新漏洞周报显示WordPress漏洞数量居首，AI工具曝出高危漏洞；商业数据泄露致美军人员信息暴露，五角大楼防护措施滞后；Google工程师滥用搜索数据非法获利，暴露内部威胁风险；新型钓鱼攻击瞄准Microsoft365和Signal用户，利用OAuth令牌窃取数据；开源软件供应链攻击演进至可信命名策略，IBM启动50亿美元Lightwell项目强化安全。

本周威胁情报中心披露多起高级持续性威胁活动，涉及YoroTrooper针对独联体区域的定向攻击、NimbusManticore在伊朗冲突期间的三波网络攻击、Kazuar后门演变为模块化间谍框架等。关键发现包括攻击者广泛采用AI辅助开发、供应链投毒（如TrapDoor影响三大软件仓库）、以及利用高危漏洞（如SonicWallLDAPMFA漏洞）进行勒索攻击。可操作建议包括及时修补漏洞、强化员工钓鱼意识培训、实施软件供应链安全审查。

微步在线将于2026年6月2日14:00举办FlocksAI安全运营挑战赛陪跑训练营直播，重点演示设备巡检和浏览器操作设备接入场景，解答安装配置、模型推荐、场景搭建等常见问题。活动无需审核，扫码即可报名参与。

本文介绍白盒测试(SAST)产品核心能力，提出五大关键能力标签：全类别语言框架理解、增量扫描、漏洞溯源、误报平衡和智能修复建议。针对AI编程时代新挑战，建议选型时关注新型漏洞检测能力、供应商匹配度及工具加运营的综合评估。

ESET警告新型安卓恶意软件BTMOB基于SpySolr开发，通过网络钓鱼伪装成流媒体/加密货币等服务传播。该RAT通过APK构建器界面销售，攻击者可定制地域化诱饵无需编码。具备数据窃取、屏幕录制、设备完全控制能力，主要活跃于拉丁美洲但威胁全球。终身许可5000美元，通过Telegram和社交媒体推广。

联邦调查局警告2026年世界杯期间出现大量假冒国际足联的钓鱼网站，通过细微拼写变化和不同顶级域名仿冒官方平台，旨在窃取个人信息、销售假门票及实施金融诈骗。安全公司报告显示中国威胁组织`幽灵体育场`运营300多个钓鱼站点，目标涉及多国用户。FBI建议手动输入官网地址、避免点击广告链接、核实域名后缀，并鼓励受害者向IC3举报。

Kimsuky组织在2026年3-4月针对韩国军方及多国政企发动钓鱼攻击，通过伪造Webex会议页面和安全软件诱导下载恶意程序。攻击滥用VSCode隧道等合法工具建立隐蔽通道，使用HTTPSpy远控木马和新型恶意样本集群实现数据窃取。该组织采用JSONPing感染校验技术提升成功率，建议企业监控异常网络行为并加强终端防护。

ApachePyFory0.13.0至1.0.0版本存在反序列化策略绕过漏洞CVE-2026-48207，当开启Python原生模式并关闭严格校验时，攻击者可绕过DeserializationPolicy限制构造恶意数据实现远程代码执行。官方建议升级至最新版本，临时措施包括关闭未使用功能、最小权限原则和限制公网访问。深信服安全产品将于6月5日提供检测方案。

该漏洞通告披露LinuxKernelCIFS组件存在权限提升漏洞（CIFSwitch），攻击者可在本地低权限条件下通过伪造cifs.spnego密钥请求触发request-key机制，使cifs.upcall程序以root权限加载恶意NSS库实现提权。影响commit早于3da1fdf4efbc的内核版本，涉及多个主流Linux发行版。官方已发布补丁修复，临时缓解措施包括卸载cifs-utils、禁用非特权用户命名空间或加载CIFS模块。

该文档详细介绍了Android应用签名校验的Java层实现方法，包括通过PackageManager获取签名信息、处理不同Android版本差异以及SHA-256哈希计算。文章指出单纯Java层检测易被Hook绕过，并演示了通过Frida伪造PackageInfo和SigningInfo的实战方法，最后提到后续将介绍Native层加固方案。

国家数据局联合交通运输部、中国气象局发布2026年交通运输与气象服务领域数据流通安全治理典型案例，涵盖ETC门架数据安全应用、船舶碳核算数据沙箱技术、港口集装箱业务数据流通等11个案例。案例聚焦跨主体数据流通中的合规挑战、全链路安全防护及标准化协同机制，通过明权责定标准、技术赋能和常态化监测等措施，实现数据安全与价值释放的平衡。该文件为相关领域提供了可复制的安全治理实践范式。

文化和旅游部联合中央网信办开展非法网络招徕专项整治，针对旅游市场存在的虚假宣传、强迫购物等乱象采取全链条治理措施，旨在规范市场秩序、保护游客权益，为即将到来的五一假期营造安全优质的旅游环境。

2025年度重庆市科学技术奖网络空间安全相关项目涵盖通信安全、物联网安全、车联网安全等领域，涉及基础理论到前沿应用的全链条创新。重庆大学、重庆邮电大学等高校联合科研院所和企业形成产学研用结合模式，项目聚焦智能网联汽车、智慧城市等产业需求，体现安全技术与地方发展深度融合的导向。

本文针对GitHub问题报告中近90%缺乏故障复现测试用例的问题，提出一种基于大语言模型（LLM）与多元检索增强生成的自动化生成方法。该方法通过检索报错根函数、import语句及测试用例样本等上下文信息构建精确prompt，引导LLM生成有效测试用例。实验表明，该方法在SWE-benchlite数据集上将成功生成比例从6.57%提升至22.33%，消融实验证实测试用例样本贡献最大，未来可扩展至多语言并增强可解释性。

本文探讨手机影像从参数竞赛转向用户体验的趋势，指出当硬件接近瓶颈时，行业焦点转向设备与人的默契。高通骁龙平台通过色彩真实化、速度无感化、专业能力直觉化，让技术隐于幕后，使创作者能更专注于捕捉瞬间，实现创作平权。

本文作者从网络安全研究员视角探讨LLM时代的技术影响，认为大模型虽在漏洞分析、逆向工程等领域显著提升生产力，但面临安全对齐限制、输出不稳定及AI生成内容质量下降等问题，强调在技术浪潮中保持独立思考的重要性

本周蓝军技术推送涵盖多个网络安全领域，包括内网渗透案例（如通过F5设备入侵Confluence服务器）、终端对抗分析（BadIIS变种MaaS生态、Go语言勒索软件）、漏洞预警（FortiClientEMS认证绕过、DICOM文件堆溢出等）、AI安全威胁（GreyVibe组织利用ChatGPT生成诱饵）以及供应链攻击（恶意npm包窃取凭证）。关键发现显示攻击手法持续演进，涉及横向移动、代码签名滥用和云存储配置风险。建议企业加强补丁管理、供应链监控和AI工具安全审计。

黑客利用FortiClientEMS身份验证绕过漏洞CVE-2026-35616传播EKZ信息窃取恶意软件，攻击者通过篡改VPN脚本工作流程伪装成系统更新程序执行窃取行为。该漏洞允许未授权远程代码执行，影响约2000个暴露实例。Fortinet已发布紧急修复，北极狼公司建议监控证书异常及配置变更，警惕可疑管理活动。

本文详细介绍火绒终端安全管理系统暴破攻击防护功能的使用方法，该功能可检测并拦截基于SMB、RDP、SQLServer等协议的暴力破解攻击，有效防范勒索病毒入侵。文档提供了具体的开启步骤、白名单配置方案、常见误拦截排查方法，并建议结合远程登录防护、动态口令认证及密码策略强化形成多层防御体系。

火绒安全周报披露近期多项网络安全威胁：银狐木马新变种伪装办公文件针对职场人员实施数据窃取与勒索；黑客借GTA6破解版游戏传播恶意软件控制设备；npm平台遭供应链投毒攻击波及开源项目；日产汽车及美国医疗机构因第三方服务商漏洞导致大量用户数据泄露。报告强调需警惕陌生文件、核验软件来源、更新防护系统并及时更换泄露凭证。

本文探讨了AIAgent在HTTP模糊测试中的工程化设计，提出通过`专注模式`将人类安全工程师的经验代码化。系统为AI定义了14种标准操作来限制其行为边界，并通过状态记录、多维度评分和全链路可观测性四大核心设计提升测试可靠性。文章强调框架约束比模型参数更重要，并展示了Yaklang相关功能更新。

该课程聚焦AI辅助逆向分析实战，指导学员从工具使用者转变为开发者，重点教授MCP与Skill的构建方法。通过Web/安卓案例解析，掌握自动化分析链路设计与陷阱规避，培养独立开发专属安全工具的能力。课程包含加密播放机制与版权保护措施。

本文提出一种基于大语言模型的智能文本隐写传输方法，通过LoRA微调多种语料库实现风格可变的隐写文本生成，采用自适应动态分组嵌入秘密信息，并结合双智能体强化学习优化隐写策略和发射功率选择。实验表明该方法显著降低时延38.5%和能耗26.3%，有效提升通信安全性和效率。

该文档复盘了一起针对食品生产厂的高级定向工业APT攻击事件。攻击团伙CyberIsnaadFront同时破坏了企业IT系统（通过伪装微软程序的GRAT恶意软件擦除磁盘数据）和OT工业设施（通过篡改制冷系统参数导致压缩机物理损毁），造成数百万经济损失。事件凸显了IT/OT一体化复合攻击的高危性，建议关键基础设施企业加强工控参数防护、权限管控和应急响应能力。

文章分析科技数码行业面临参数内卷、成本上涨和存量竞争困境，指出小红书通过生态共建帮助品牌实现用户洞察前置、产品场景化转型和精细化运营。案例显示华为、vivo等品牌将平台数据反哺研发，通过AI姿势推荐、外观共创等方式突破同质化竞争，构建长效增长护城河。