ZONE.CI 全球网

AvadaBuilderWordPress插件（最高3.15.3版）存在严重漏洞CVE-2026-8713（CVSS9.1），源于fusion_form_db_entries类的maybe_delete\\_files()函数路径验证不足，允许未经身份验证攻击者通过提交特制表单数据删除服务器任意文件，可能导致包括wp-config.php在内的关键文件被删，进而使网站被完全接管。该漏洞影响超百万站点，已在3.15.4版修复。

Node.js于2026年6月18日发布关键安全更新，修复12个安全漏洞，包括两个高危漏洞：CVE-2026-48933（WebCryptoAPI整数溢出导致DoS）和CVE-2026-48618（TLS主机名验证缺陷导致认证绕过）。影响22.x、24.x、26.x版本，修复版本分别为v22.23.0、v24.17.0、v26.3.1。建议立即升级并监控异常日志、审计TLS连接、避免硬编码代理凭据。

本文系统阐述了汽车信息安全中的安全启动机制，核心要点包括信任根需通过SoC硬件提供初始代码和密钥并存储于受保护内存；安全启动须作为第一步由ROM代码强制执行，覆盖范围根据系统复杂度从100%组件到主引导加载程序；信任链由不可变的片上信任根代码建立，逐级验证后续引导阶段；该机制需在全生命周期激活并由OEM文档化实施。

新型iPhoneBootROM漏洞usbliter8利用SynopsysDWC2USB控制器硬件缺陷与固件配置漏洞，影响A12/S4/S5/A13芯片设备。该漏洞通过DMA缓冲区下溢实现内存覆盖，可绕过安全启动链获得EL1代码执行权限。由于存在于不可修改的BootROM中，无法通过软件更新修复，唯一缓解方案是升级至A14及以上芯片设备。

微软研究人员披露AutoJack攻击链，可利用AI浏览Agent加载恶意网页实现远程代码执行。漏洞存在于AutoGenStudio预发布版本的MCPWebSocket处理程序，攻击者通过诱导Agent访问恶意URL即可在主机执行任意命令。当前稳定版不受影响，预发布版本用户需手动拉取GitHub修复代码或采用容器隔离等缓解措施。

文章分析欧盟碳边境调节机制（CBAM）的正式实施对全球碳定价体系的影响。CBAM以欧盟碳排放交易体系为基础，对钢铁、铝等六大行业进口产品征收碳关税，旨在防止碳泄漏并推动全球低碳转型。文章回顾欧盟碳市场20年发展历程，指出碳价已成为产业脱碳的真实信号，同时探讨中国等发展中国家通过《碳排放权交易市场开放联盟工作大纲》参与全球碳市场规则制定的新机遇。

微软MDASH多模型Agent漏洞扫描系统在CyberGym基准测试中实现96.5%的崩溃触发率，但关键发现是剩余3.5%失败案例中65.4%源于漏洞证明阶段瓶颈。系统需处理复杂二进制格式输入、环境不一致性及构建复杂度等工程挑战。改进方向包括整合OSS-Fuzz生态、扩展非传统代码分析能力及强化Agent结构化输出验证。

Anthropic公司2026年5月开放漏洞赏金计划后，一个半月支付约560万元人民币，处理326份报告。报告显示其覆盖23项核心资产，AI成熟度评分从100分回调至90分反映现实差距。文章指出AI无法替代人工漏洞挖掘的价值，建议企业将赏金计划常态化、扩大资产范围并合理定价。

CVE-2026-42530是NGINXHTTP/3模块中的高危漏洞（CVSS9.2），攻击者可通过堆操作和内存探测绕过ASLR实现远程代码执行。漏洞利用需满足非默认配置：使用–with-http_v3_module编译并启用QUIC。F5已在NGINX1.31.2版本修复，建议用户及时升级并检查HTTP/3模块使用状态。

本文详细解析了Java反序列化漏洞检测中常用的URLDNS链机制，该链利用JDK内置的java.net.URL和java.util.HashMap类实现无第三方依赖的漏洞探测。关键发现包括：通过URL的hashCode方法触发DNS解析请求，结合HashMap的readObject方法构成完整攻击链；同时指出需通过反射修改hashCode缓存值（初始设为非-1避免put时触发，序列化前重置为-1）确保反序列化时成功触发DNS。文档提供了完整的代码实现和调试过程，具备直接可操作性。

G7峰会期间举行的AI闭门会议聚焦人工智能治理与地缘政治博弈，与会政企代表提出建立美国主导的AI合作联盟或设立中立国际议事平台等治理方案。会议未直接讨论美国对Anthropic模型的出口管制措施，但欧洲领导人批评其具有民族主义色彩并威胁停止采购，各方共识认为跨境供应链深度绑定是AI产业稳定的关键。

本文记录腾讯开源知识库平台WeKnora的实际部署与排障过程，重点分析17篇文档解析成功却无法检索的根本原因——知识库未配置embedding模型导致向量化失败。文章详细阐述WeKnora的复合检索、多租户设计和安全特性，并提供企业级知识库建设场景与选型建议，最后强调排查时需关注chunk\\_count字段而非仅依赖解析状态。

乌克兰国防部推出TrophyLab俄军武器数字共享平台，将战场缴获装备转化为技术数据库。平台收录115个样本、79个技术分类及225份逆向研究报告，涵盖高超音速导弹、无人机等核心资产。通过严格审核向盟友提供武器蓝图、零部件清单及线下样本调拨，实现从情报捕获到反制研发的闭环，提升西方防务系统的反制效率。

该文档深入分析了唐尼·琼斯船舶有限公司作为美军印太战区关键后勤服务商的战略角色，揭示其通过澳大利亚运营与香港离岸结算的双轨架构，持续中标全球船舶保障和远征合同，已从常规物资供应商升级为具备战区开启能力的第四方防务物流商。报告指出其在美军分布式海上作战中的底层支撑价值，并建议对这类商业后勤网络进行持续开源情报监测以评估地缘风险。

该文档披露了Linux内核RxGK子系统中的CVE-2026-31635本地权限提升漏洞（DirtyCBC），核心问题在于rxgk_verify_response()存在反向边界检查错误，导致超大认证器被放行，且rxgk_decrypt_skb()在AEAD解密时未检查COW保护，解密操作发生在HMAC校验前，攻击者可通过交错SGL污染SUID文件的页缓存并注入ELFshellcode获取root权限。影响Fedora、Arch等默认启用CONFIG\\_RXGK的系统，建议用户通过检查内核配置及版本

本文探讨AI技术对安全行业特别是渗透测试领域的影响，指出AI已能高效处理基础漏洞扫描和报告生成等任务，但人类从业者在业务逻辑理解、非常规攻击路径设计、风险沟通和信任建立方面仍具优势。文章建议安全人员应掌握AI工具使用、连接安全与业务需求，并快速适应新技术以保持竞争力。

本期工业网络安全周报涵盖了政策法规、漏洞预警和近期安全事件等多个方面。政策上，美国白宫发布了NSPM-12备忘录以加强国家安全系统的网络安全治理。漏洞方面，披露了RockwellAutomation、Cisco、PaloAltoNetworks等多个厂商产品的高危漏洞，其中一些已被积极利用。安全事件方面，意大利亚得里亚港务局、俄罗斯Astral公司、澳大利亚MackaySugar等多个关键基础设施运营商遭遇了勒索软件攻击或网络袭击，导致业务中断。此外，医疗和零售行业也接连发生数据泄露和网络攻击事件。

中国信通院发布2026智能体十大关键词，涵盖基础设施、互联协作、工程化、学习进化、记忆、技能、产品创新、支付协议、可信性和全栈评估。这些关键词反映了智能体技术从单体运行向群体协同、从概念验证向规模化应用的发展趋势，重点包括标准化基础设施构建、动态学习能力提升、安全可控机制完善以及实用导向的评估体系建立。

文档对比分析了多家厂商的CodingPlan编程套餐，包括腾讯云、阿里云、MiniMax、智谱、Kimi和火山引擎的价格与功能。核心发现是火山引擎的9.9元活动套餐性价比最高，可支持两个月使用；同时指出QClaw等工具收费后，第三方CodingPlan能有效替代。建议用户根据需求选择适合的套餐，并提供了各厂商的订阅链接。

本文为科技部发布的新一代人工智能国家科技重大专项2026年度第一批公开项目申报指南通知，详细说明了项目组织申报流程、推荐单位资格、申报单位条件及具体申报方式。通知要求申报单位通过国家科技管理信息系统提交材料，项目负责人需具备高级职称或博士学位，且存在多项限项规定。申报时间为2026年6月23日至7月17日，强调科研诚信和联合攻关。

本文揭示了通过恶意MCP服务器攻击WhatsApp的两种方法：潜伏型服务器通过无害工具描述切换实现数据窃取，消息注入攻击利用间接提示注入泄露联系人列表。实验表明MCP生态存在结构性安全风险，可绕过加密机制窃取完整聊天历史，攻击对用户几乎不可见。文章建议关注MCP工具安全性和用户行为监控。

国家安全部发布紧急提醒，指出软件供应链投毒事件集中爆发，强调此类安全威胁对关键基础设施和数字生态系统的危害。文档未提供具体攻击手法或防护措施细节，但警示各方需加强供应链安全管理。

该文档详细分析了Linux内核act_pedit本地权限提升漏洞CVE-2026-46331的技术细节，指出漏洞源于ptrace的get_dumpable逻辑缺陷，允许普通用户通过pidfd\\_getfd系统调用在特定时间窗口窃取setuid程序的敏感文件描述符实现本地提权。文档包含影响版本列表、完整的漏洞复现步骤及利用代码，提供了从编译EXP到成功获取root权限的实战操作指南。

本文系统介绍了图论与网络流算法的核心原理及实际应用。主要内容包括最短路径算法（Dijkstra和A\\*）、最大流最小割定理、网络设计问题（最小生成树和旅行商问题）以及交通流建模中的Wardrop均衡。文章通过导航、物流等案例阐明了这些算法在现实世界的应用价值，并指出图算法在AI知识图谱、社交网络分析等领域的关键作用。最后强调了多阶段决策问题将在动态规划篇继续探讨。

凌曦安全推出三合一实战课程，包含红队攻防、安服渗透和SRC挖掘三大方向，课程原价1899元现提供多项优惠。学员可获得永久学习权限、1对1答疑、简历指导、实战靶场、内部工具库等权益，并通过周报评选、漏洞挖掘活动、项目带打等机制提升实战能力。