ZONE.CI 全球网

Linux内核net/schedact_pedit模块存在本地提权漏洞CVE-2026-46331，影响v5.18至v7.1-rc7内核版本，涉及RHEL、Debian、Ubuntu等主流发行版。漏洞源于tcf_pedit\\_act函数COW页缓存污染，低权限攻击者可利用tc规则篡改协议头偏移获取root权限。360漏洞研究院已复现漏洞并发布修复方案，建议用户立即升级内核或应用官方补丁。

本文探讨AI-Infra环境下服务器固件安全实践，指出服务器具有高业务价值、部件复杂和资源复用风险三大特点。提出整机威胁建模需覆盖BMC、BIOS、GPU等全生命周期安全基线，火山引擎通过签名管理、安全启动链和可信度量体系构建服务器安全架构，并建立从需求到部署的全生命周期管理流程。文章以CVE-2023-34335漏洞修复为例，展示大规模固件漏洞治理的挑战与解决方案。

2026年火山引擎Force数据智能论坛将发布企业级数据原生智能体DataAgentPro，该智能体可深度理解企业数据语义并整合知识引擎、数据集及业务工具链，实现从任务分析到业务执行的完整链路，同时提供运营分析能力以优化智能体性能。论坛还将介绍AgentDataLake多模态处理算子及行业嘉宾实战经验分享。

文档分析近期’银狐’木马通过仿冒软件钓鱼传播，以及Weaxor、BeijingCrypt、Sorry三类勒索病毒利用OA系统漏洞的攻击态势，指出企业需及时更新系统并启用火绒安全软件的实时监控等功能加强防护，同时建议通过正规渠道下载软件避免恶意程序植入。

本文批判消费主义话术如何通过‘配不配’与‘你值得’的句式操控情绪，指出其本质是将尊严与消费绑定，诱导人们为证明自我价值而非实际需求买单。文章建议读者理性区分真实需求与外界刺激，强调真正的爱自己并非盲目消费，而是保持财务清醒与内心自由。

大蚂蚁即时通讯系统admin/secret/edit接口存在SQL注入漏洞，攻击者可通过updateloginname参数注入恶意SQL语句，导致敏感信息泄露、数据篡改或系统控制权限获取，影响5.5.x及以上版本包括6.0.1.20250407.1。

本文详细复现了OAuth2.0客户端凭证泄露与权限绕过组合漏洞的挖掘过程。攻击者通过前端JS文件中残留的注释获取client_id和client_secret，结合注册接口未校验ownerId参数实现越权创建管理员账号，最终获取高权限Token访问敏感接口。文章对比了四种AI渗透方案的效果，指出DeepSeekv4pro在复杂逻辑漏洞挖掘中表现突出，但现有AI对多层逻辑漏洞的自动化渗透仍存在不足。

文档详细记录了作者在护网行动中发现的一个组合拳漏洞，涉及OAuth2.0客户端凭证泄露和权限绕过问题。通过分析前端JS文件获取被注释的client_id和client_secret，结合注册接口的ownerId参数可创建管理员账号获取高权限Token。作者还对比了四种AI自动化渗透方案的效果，其中DeepSeekv4pro表现最佳但多层逻辑漏洞识别仍有不足。

腾讯云在AV-C2026年手机端安全评测中以99.8%恶意软件防护率通过认证，其天御SDK采用动态沙箱AI分析、安全图谱图计算和LLM智能平台三大技术，在保证高查杀率的同时有效控制误报，该检测能力已通过腾讯手机管家落地并面向企业开放。

腾讯云WAF连续三年入选Gartner云WAAP代表厂商，其一体化云原生平台融合WAF、DDoS防护、Bot管理和API安全四大核心能力，通过AI驱动的Bot管理实现99.9%异常流量拦截，提供覆盖API全生命周期的安全方案及业界首创的小程序安全加速解决方案，助力企业应对智能化攻击与数据合规挑战。

本文介绍结合Yakit与Claude实现AI自动化渗透测试的方法，通过Yakit抓取APP流量并利用MCP桥接让Claude分析请求数据。关键解决上下文爆炸、乱码解码和安全对齐三大问题，提出过滤元数据、预处理编码数据、配置权限规则等实操方案，最终实现高效漏洞挖掘。

本文探讨了AI渗透测试的实践与思考，核心是介绍一个自研AI渗透Agent在大量实战场景下的应用。文章通过百亿Token消耗这一独特视角，分析了AI渗透系统如何将Token转化为有效攻击假设和可信证据，并揭示了其在跨任务记忆、低成本承受失败和持续收敛等方面与人类红队的不同能力。文中强调，成熟的AI渗透能力依赖于底层的工程系统，而非仅靠大模型本身，并最终重新定义了渗透测试的成本、能力与组织架构。

Zimperium发现新型安卓银行木马Rokarolla，针对217个银行及加密应用，具备137个远程指令。它伪装知名应用传播，利用无障碍服务禁用Play保护、窃取锁屏密码、拦截短信验证码和剪贴板内容实施诈骗。建议用户仅从官方渠道下载应用，警惕异常无障碍权限请求，以保障资金安全。

`复兴杯`第五届全国大学生网络安全精英赛总决赛在唐山举行，设置网络安全意识与法律法规、网络安全攻防、人工智能应用与安全三大赛道，来自多所高校的选手获奖。大赛旨在以赛促学、以赛促练，推动产教融合，为网络安全人才培养搭建平台，同期还举办了《网络安全法》产教融合研讨会。

本文系统解析椭圆曲线密码(ECC)理论，涵盖其历史渊源、几何运算原理、有限域数学基础及椭圆曲线离散对数问题(ECDLP)安全核心。文章重点结合`熵密杯`竞赛场景，详细阐述ECC标准体系、国密SM2算法及高频漏洞攻击手法，为密码学竞赛备赛提供全面理论指导与实战策略。

文档记录了作者在护网行动中发现的一个组合拳漏洞，涉及OAuth2.0客户端凭证泄露和权限绕过问题。通过分析前端JS文件获取敏感配置，利用注册接口参数篡改创建管理员账号，最终实现未授权访问受限接口。文章还对比了四种AI自动化渗透方案的效果，其中DeepSeekv4pro表现最佳但多层逻辑漏洞检测仍存在不足。

奇安信CERT通告LinuxKernelnet/schedact_pedit本地权限提升漏洞(CVE-2026-46331)，该高危漏洞源于tcf_pedit_act函数在处理数据包编辑时COW范围计算缺陷，攻击者可通过构造恶意tc规则稳定篡改setuid-root二进制文件页缓存，实现普通用户到root的权限提升。影响v5.18至v7.1-rc7内核版本，涉及RHEL、Debian、Ubuntu等发行版。建议尽快升级内核至v7.1-rc7或应用官方补丁899ee91156e57784090c5565e4

本文介绍企业微信H5页面开启webview调试的实用方法，针对原调试链接失效问题提供替代方案。详细说明Android端操作流程：通过debugxweb.qq.com生成二维码、连接adb调试、使用Chrome/Edge的inspect功能，并解决404错误和网络访问问题。同时提供请求包复制技巧和其他平台参考指南，具备较高实操价值。

GoogleCloudVertexAIPythonSDK存在存储桶抢占漏洞，攻击者可通过预测性存储桶名称劫持用户模型上传，在服务基础设施内执行恶意代码窃取数据。PaloAltoNetworksUnit42发现该漏洞并报告，Google已通过添加随机UUID和所有权验证修复。建议用户更新SDK至1.148.0以上版本并显式设置staging\\_bucket参数。

GoogleVertexAIPythonSDK存在存储桶抢占漏洞，攻击者可通过预测性存储桶名称劫持模型上传流程，在受害者未设置staging\\_bucket时替换模型文件实现代码执行。漏洞允许窃取OAuth令牌、模型权重及租户数据，需更新至1.148.0以上版本并显式配置存储桶以修复。

Facebook于2020年12月封禁越南黑客组织海莲花（APT32）关联的IT公司CyberOneGroup账户。该组织针对越南人权活动家、外国政府及多行业企业，采用社会工程学、恶意Android应用、水坑攻击等手段传播恶意软件。Facebook通过阻断恶意域名、删除账户并通知潜在受害者进行反制，同时公开了相关IOC和Yara检测规则。

本文介绍如何通过BurpSuite+Ollama+本地大模型搭建渗透测试AI助手，详细提供了从模型下载、BurpSuite请求导出到Python脚本配置的完整操作流程，旨在利用AI辅助快速梳理资产、发现攻击面，提升漏洞挖掘效率，并分享了两份自动化脚本供读者获取使用。

本文系统介绍美国电信行业外国参与安全审查制度，重点解析FCC监管职责、214节许可流程及外国所有权限制条款。核心发现包括电信小组(TeamTelecom)作为跨部门机构对涉及外国实体的许可证申请进行国家安全审查，并通过风险缓解协议实施监管。可操作建议为中国企业进入美国电信市场需提前规划6个月以上审查周期，并关注无线服务领域20%外资持股比例限制。

美国国家情报总监加巴德解密文件显示，美国在乌克兰建设并支持超40个生物实验室，存放炭疽、埃博拉等危险病原体。该计划通过承包商网络、学术机构及国际组织构建三层生物防御外包网格，以合规护盾掩护军事意图，将高危病原体数据无痕抽调回美国国防网络。

文档分析美国NSA在格陵兰岛情报收集行动及对华网络攻击行为。指出NSA加大北极地区信息监控并渲染中国威胁，同时列举其近年来对中国实施网络攻击事件，包括西北工业大学遭袭及亚冬会相关行动。团队基于开源信息整理2000名NSA人员分析报告并发布建议。