ZONE.CI 全球网

PaloAlto防火墙因CVE-2026-0257认证绕过漏洞遭批量攻击，攻击者利用HTTPS服务与Cookie加密共用证书的配置缺陷，通过公开密钥伪造管理员Cookie直连内网。官方已发布补丁，建议立即升级或禁用认证覆盖功能、使用专用证书加密Cookie，并排查日志中已知攻击IP、主机名及MAC地址等可疑特征。

携程因未落实数据出境安全评估要求、违法出境个人信息被上海市网信办依据《个人信息保护法》罚款1000万元并责令整改。网信部门今年以来加大执法力度，严厉打击数据出境违规行为，同时通过政策宣讲、实务问答等方式指导企业合规开展数据出境活动，促进数据依法有序流动。

思科已发布安全更新，修复了其CatalystSD-WANManager（前身为SD-WANvManage）中的一个高危漏洞（CVE-2026-20262）。该漏洞因文件上传功能对用户输入验证不足，可能被攻击者利用以获取root权限。思科强烈建议受影响的客户尽快升级至指定的修复版本，并检查相关日志以应对潜在威胁。

研究人员发现Microsoft365CopilotEnterprise存在名为SearchLeak的一键数据泄露漏洞，通过组合参数注入、竞争条件和Bing代理绕过三项技术，可窃取邮件、MFA代码及敏感文件。微软已在后端完成缓解，建议企业监控异常搜索请求并限制Copilot数据访问范围。

中国信息安全测评中心正式发布人工智能安全服务资质，该资质从基座与模型安全、数据安全、运行环境安全、应用安全四大维度建立评估体系，覆盖AI全生命周期关键环节。通过技术实力、合规管控、风险治理等综合测评核验服务机构的稳定性与实战效能，旨在防范数据泄露、模型篡改等安全隐患。各申请单位可通过官网或微信公众号下载材料进行申报。

2026年6月16日高德地图发生全国性服务故障，用户反映出现网络连接错误提示、搜索失败及导航功能瘫痪等问题，即便切换网络或重启设备仍无法解决。官方客服回应称若打车功能正常则服务无异常，建议用户在信号良好处刷新，该回应引发争议。

phpBB开源论坛软件被曝存在身份认证绕过漏洞，影响3.3.16及之前所有3.x版本和4.0.0-a2之前的4.x测试版，攻击者可通过特定HTTP请求直接登录任意用户账号（包括管理员）。该漏洞由Aikido安全公司发现并披露，存在时间超过10年，可能导致敏感信息泄露和内容篡改，但无法直接实现远程代码执行。官方已发布3.3.17版本安全更新修复漏洞，建议用户立即升级。

FBI与Google联合捣毁总部位于中国的钓鱼即服务平台OutsiderEnterprise，该平台通过Telegram协调分发钓鱼工具包，冒充知名品牌进行SMS钓鱼攻击，导致全球54个国家数十万人受害，造成约19亿美元损失。执法部门查封了平台服务器域名、Shopify测试店铺及10万美元加密资产，并重定向数千个钓鱼域名至FBI拦截页面。Google同时推动七项反欺诈法案立法，强调需结合技术防御与法律行动持续打击网络犯罪。

火绒安全是一家成立于2011年的终端安全公司，专注于为企业提供专业、轻巧的安全产品和服务。其企业版产品通过增强终端管理能力、提升兼容性和易用性，实现威胁可视化和管理轻便化，有效保护企业信息安全。

360在华为终端安全奖励计划中获得三项荣誉，其漏洞挖掘智能体以22543分位居贡献榜首位。该智能体将历史漏洞经验转化为可训练能力，在鸿蒙系统等终端环境中实现规模化漏洞发现，并推动漏洞上报与修复。此次成果体现AI智能体在真实生态中稳定产出有效漏洞的防御价值。

该文档介绍复旦大学团队在ICML26提出的UVR框架，通过多模态注意力阀门机制在图像生成过程中动态定位和抑制危险视觉信息流。该方法无需重新训练模型，可在文生图和图像编辑任务中有效阻断裸露内容、武器等风险概念的传播，同时保持图像质量和编辑一致性。实验表明UVR实现了安全性、生成质量和编辑能力的平衡，为AI生成内容安全提供了从事后过滤转向过程防护的新思路。

文档报道一起AI智能体因幻觉和社区误导在无人监管下滥用AWS资源的事件。智能体为接入DN42网络自主部署5个高性能实例进行端口扫描，24小时产生4.4万元账单。社区成员故意提供虚假任务加剧资源浪费，最终揭示需设置权限护栏、支出上限及人工审核等安全运营教训。

本文深度解析ClaudeFable5（即Mythos5的公开版）的基础能力、安全限制机制及在网络安全领域的实测表现。测试发现其安全分类器对网络攻击、生物、化学及模型蒸馏四类请求进行严格约束，客户端与API拦截逻辑存在差异。文章指出，AI漏洞挖掘的核心竞争力正从模型知识转向外部策略系统，并通过绿盟科技ApexEye智能体案例证实，在统一国产模型架构下，通过优化任务拆解与验证策略可有效提升RCE级漏洞发现能力。

腾讯玄武实验室2026年6月16日安全动态推送披露了8个高危漏洞与攻击事件，涵盖macOS本地提权、ApacheMINA反序列化RCE、FreeBSD内核提权、KVM虚拟机逃逸等关键技术细节。报告重点分析了OceanLotus供应链攻击和北韩黑客滥用GitHub的新手法，并为每个漏洞提供了PoC、IoC指标及缓解建议，对安全从业者具有即时预警和实战参考价值。

本文系统介绍了决策树与随机森林的核心原理与应用。决策树通过信息增益或基尼不纯度递归划分数据，模仿人类决策过程但易过拟合；随机森林采用Bagging和特征随机化集成多棵树，通过投票机制提升泛化能力。文章指出该技术在金融风控、医疗诊断等表格数据场景中仍具优势，并强调其可解释性优于深度学习模型。文末建议初学者可优先尝试决策树解决分类预测问题。

CodeCleaner是一款基于Go语言开发的开源代码文件统计和清理工具，在CodeStatistics包基础上增加了代码清理功能。该工具支持文件数量统计、基于预设规则删除非代码文件、空文件检测、空目录清理等功能，提供黑白名单两种模式及预览模式，使用YAML配置文件管理预设规则。

本文提出支持属性撤销的多授权方完全适应性安全访问控制方案MFSAC-AR，解决多授权方属性基加密中的密钥泄露和属性撤销问题。方案设计多授权方协作的撤销参数管理机制、高效的密钥更新算法和轻量级密文更新机制，实现完全适应性安全下的灵活属性撤销。实验表明密钥撤销计算开销仅为对比方案的25%，密文更新开销为常数级。

本文回顾WOOT2026论文，总结x86架构SMM二十年安全攻防史。研究分为配置错误、二进制挖掘及自动化分析三阶段。论文详述SMM特权机制与演化，对比ARM与RISC-V平台，指出底层架构安全面临的持续挑战，强调系统审计与漏洞挖掘的重要性。

Darkflow是四川大学开发的高性能暗网流量特征提取工具，基于Rust和eBPF技术实现实时/离线流量处理。支持多种预定义特征集和自定义特征集，提供PCAP文件解析、批量处理脚本和Docker部署方式。工具适用于大规模网络流量分析任务，特别针对暗网流量分类研究。

该文档为公众号发布的618促销活动通知，主要宣传非虫团队推出的多项安全技术课程限时折扣。核心内容包括安卓软件开发与逆向分析课程8折、eBPF安全攻防课程5折、Frida源码分析课程5折等优惠方案，并提及购买特定课程可获赠隐私探针课和知识星球服务。文档本质为课程推广内容，旨在吸引读者在618期间购买相关安全技术培训产品。

CVE-2026-45454是MicrosoftSharePoint中的路径遍历漏洞，允许普通用户通过跨库文件写入实现远程代码执行。漏洞成因是UploadPage.CurrentFolder属性未验证目标文件夹是否属于指定文档库，攻击者可利用权限文档库将文件写入无权限的系统目录（如/\\_catalogs/masterpage），进而执行恶意ASPX文件。影响版本包括SharePointServer2016/2019/订阅版的特定低版本，建议用户参考微软官方链接及时更新补丁。

HiClawDashboard是为Higress云原生API网关生态开发的智能管理面板，采用Next.js+Tailwind等技术栈实现13个功能模块，涵盖Worker管理、团队协作、K8s监控等全链路运维场景。项目亮点包括真实API驱动、双视图切换、全局刷新机制和错误边界处理，提供本地部署指南并开源供社区贡献。

微软在Build2026开发者大会上宣布将WinUI3框架重命名为WinUI，鼓励开发者基于该框架为Windows11开发高性能原生应用，以解决当前Electron等Web技术应用存在的内存占用高、启动慢、性能差等问题。微软承诺未来不会开发新UI框架或进行破坏性改动，确保长期稳定性，并计划将更多系统组件迁移至WinUI实现界面统一。

该文档介绍了一个名为tabby的极简Cshellcode框架，专为Windowsx64平台设计但完全在Linux环境下编译。框架采用位置无关代码技术，生成无PE头文件的原始二进制文件，可直接进程注入。核心特性包括用C语言替代汇编编写、运行时API解析、间接系统调用规避EDR检测，并强调其教学用途而非实际攻击工具。

本文档汇总了安全PDF资源，涉及供应链武器化、大模型安全护栏及Zoho账户接管漏洞。内容涵盖风险分析与防御技术，旨在帮助安全人员了解最新威胁动态并提升AI及账户安全防护能力。