ZONE.CI 全球网

KaliLinux2026.2于2026年6月29日发布，主要更新包括桌面环境升级至GNOME50和KDEPlasma6.6、服务helperscripts统一化、APT源文件迁移至deb822格式、虚拟机镜像移除图形固件以加快启动速度。默认内核为Linux6.19，新增9个工具如legba和oletools。升级后建议重启，特别是涉及polkit和xrdp的用户。

2026世界人工智能大会将于7月17日至20日在上海举行，主题为智能伙伴共创未来。大会设置140余场论坛、10万平方米展览及多项赛事，聚焦全球智慧与青年力量。上海AI产业规模超6370亿元，同比增长39.5%，已形成完整发展生态。大会将提供创投对接、场景体验等全周期赋能服务。

本文系统梳理了关键信息基础设施后量子密码迁移全流程的安全风险，包括迁移前风险评估缺失与技术选型不当、迁移中系统兼容性冲突与数据泄露、迁移后运维漏洞与技术迭代适配等挑战。文章剖析了现行法律责任规制在主体权责界定、责任条款适用及安全标准体系供给方面的困境，并从构建三类法律责任清单、设计过渡期归责规则、建立监管协同与技术标准等机制框架维度，提出了责任重构的对策建议。

六部门联合发布《金融信息服务数据分类分级指南》，构建业务数据、用户数据、企业数据3个一级分类及67个三级分类的精细体系，并依据危害程度划分核心、重要、敏感一般、常规一般四级数据。该指南旨在平衡数据安全与价值实现，推动跨部门协同治理，为金融数据确权、跨境流动及未来金融法制定提供制度基础。

本文聚焦2026年美加墨世界杯期间网络赌球风险，指出不法分子通过社交平台引流境外赌博网站实施诈骗。广西玉林警方破获一起世界杯赌博引流案，多名嫌疑人被刑拘。国家体彩中心强调实体店是唯一合法购彩渠道，未授权网络销售。法律专家提醒网络赌球违法且存在财产损失风险，建议公众远离并举报违法线索。

文章指出全球至少2000万儿童已使用AI，青少年采用速度是成人3倍多，带来教育机遇的同时也面临内容认知风险、隐私泄露和AI衍生侵害等安全挑战。中国《人工智能拟人化互动服务管理暂行办法》将于7月15日施行，禁止向未成年人提供虚拟亲密关系服务。建议通过完善法治、加大研究、安全设计源头治理和提升素养等多方协同，构建儿童AI安全防护体系。

看雪学苑推出安卓逆向完整学习路线图体系课，包含开发、工具、逆向、实战四阶段。课程覆盖Java/Native层逆向、动态调试、协议分析、脱壳修复及反调试对抗等核心技术，并集成AI工具提升效率。所有案例来自真实业务，讲师拥有8年实战经验。体系课打包价3799元，适合希望系统掌握商业App逆向分析能力的中级安全工程师。

本文记录了一个面向Android逆向工程的Multi-Agent协作系统架构设计。核心理念是主控集权加插件化加上下文隔离加文档驱动协作。系统通过消息总线通信，定义了TASK、REQUEST、REPORT、STATUS四种消息类型，并采用知识层级模型（Observation到Conclusion）管理信息，配合三层校验机制确保结论可靠性。该设计旨在让AI承担70%重复劳动，人只在关键节点决策，提升逆向分析效率。

LinuxKVM高危漏洞JanusCape(CVE-2026-53359)潜伏16年后被公开,是首个同时影响Intel与AMD双架构的内核级虚拟机逃逸漏洞。漏洞源于影子MMU中释放后使用(UAF),需嵌套虚拟化触发,可致宿主机崩溃或代码执行,冲击AWS、GCP等公有云多租户安全。Linux官方已推送修复,临时可关闭嵌套虚拟化缓解。

信息安全国家工程研究中心在2026数智医学大会展示大模型安全评估与数据安全治理方案。大模型评估对标最新国标排查AI风险；数据治理方案涵盖资产梳理与分级，助力医疗机构满足合规要求，解决数智化转型痛点，为智慧医疗提供全栈安全保障。

LinuxKVM管理程序存在一个16年的释放后使用漏洞CVE-2026-53359，名为Januscape，允许客户虚拟机逃逸至宿主机。该漏洞影响Intel和AMD芯片，位于影子MMU代码中，通过混淆页表类型实现。修复方案是添加检查条件确保帧号和角色都匹配。建议立即打补丁或禁用嵌套虚拟化以降低风险。

BeyondTrust修复了影响RemoteSupport和PrivilegedRemoteAccess产品的多个严重漏洞，包括两个CVSS评分9.2的认证绕过漏洞(CVE-2026-40138和CVE-2026-40139)，可导致未认证攻击者未授权访问设备。其他漏洞涉及拒绝服务和越权访问。这些漏洞已在RS25.3.3和PRA25.3.3版本中修复，用户应尽快升级。

奇安信CERT发布LinuxFUSEpagecache本地权限提升漏洞CVE-2026-31694安全风险通告。该漏洞影响多个Linux内核版本，攻击者获得本地低权限后可通过恶意FUSE服务端触发越界写，提升至root权限。PoC和技术细节已公开，建议用户升级内核至修复版本或采取限制FUSE访问等临时缓解措施。

本文详细演示了通过未授权文件上传漏洞结合DLL劫持实现远程命令执行的完整攻击流程。核心发现包括：客户端HTTP服务绑定0.0.0.0可远程访问；UploadFile接口存在目录穿越漏洞；version.dll因未指定绝对路径可被劫持。文章提供了从漏洞发现、数据包构造到恶意DLL生成的详细步骤，属于典型的红队实战技术分享。

快手AIcoding工具渗透率高但组织提效未匹配；产品从补全到agent演进，abab串行执行导致碎片化；解法是spec驱动长程agentloop，状态外置与环境约束；未来走向人机对等协作。建议采用spec驱动和工程约束提升自主执行。

近日四部门联合起草《金融业网络安全管理办法（征求意见稿）》，构建全行业统一网络安全规章，对金融机构提出等级保护、商用密码使用、数据保护及关基设施安全等要求。天威诚信密服平台提供密码资源管理、密评支持及国密改造方案，助力金融机构满足合规要求。

浙江公安通过警力下沉、共建共治和数智化手段推动基层善治。警力下沉至社区提升响应速度，构建全民参与的平安共治体系如义警队伍，并利用数字化平台排查化解纠纷。核心成效包括挽回经济损失7.28亿元、矛盾化解率达95.21%，强调派出所主防定位和源头预防。

该文档是中国信通院副院长王志勤对《互联网信息服务管理办法（修订草案征求意见稿）》的专家解读。文章阐述了修订的重大现实意义，包括夯实网络法治根基、补齐新业态治理短板、健全公民权益保障机制。重点介绍了修订草案在坚持发展与安全并重、实施精准治理、构建多维协同监管体系及细化法律责任等方面的制度完善。最后指出新规将推动互联网信息服务向上向善发展，并需持续跟进技术演进。

公开资料显示，近期有网友发现必应搜索‘收款码’时，下拉联想词出现大量相同广告词。经安全圈实测，这是黑灰产平台批量刷量行为，并非用户端问题。文章指出刷联想词是行业顽疾，必应因市场份额增长成为新目标，其反作弊能力有待提升。建议搜索引擎厂商加强安全防护。

runZero在FatFs中发现7个漏洞，影响IoT和嵌入式设备，可导致内存损坏、崩溃或数据泄露。漏洞通过精心制作的存储介质触发，其中两个与空中固件更新相关。由于FatFs由单一维护者且无上游补丁，修复依赖下游供应商。建议审计FatFs副本、限制物理访问并监控更新。

2026年7月7日披露的美国T-mobile运营商3700万用户数据泄露事件，数据维度包括姓名、账单地址、邮箱、手机号等，可用于外贸营销。同时提及lockbit团队相关采购信息，但内容不完整。

CertiK成为阿布扎比全球市场(ADGM)科技生态Hub71的首选安全与合规供应商，为生态内企业提供8折服务优惠、20万美元补贴池及免费合规工具。合作旨在降低初创企业合规门槛，应对数字资产监管从探索转向主动执法的趋势，提供智能合约审计、渗透测试等全生命周期安全服务，助力企业满足牌照申请与反洗钱要求并加速跨国业务拓展。

文章记录了江苏省第四届数据安全技术应用职业技能竞赛初赛中源码泄露题的解题过程，包括通过git日志比对获取答案、分析ssh日志识别异常进程、以及使用binwalk和dd命令恢复块备份文件，但第三问因答案不符未能得分。

本文复盘了WorkBuddy平台AIPDF分析插件的SSRF漏洞。作者通过构造恶意PDF文件，利用插件的URL抓取功能成功访问云服务器元数据服务，获取了IAM凭证。漏洞根因包括未校验目标地址、内网权限过大及缺乏网络隔离。文章提出了使用白名单、沙箱机制、最小权限原则等修复建议，并介绍了WorkBuddy企业版的防护方案。最后附有抽奖活动。

文档描述使用hermes工具渗透一个骗子网站的经历。发现网站后台缺失，所有API返回402和404。唯一真实的是客服系统，存在Swagger暴露、文件上传无认证、消息接口未授权等漏洞。进一步发现客服系统为关键词自动回复，充值凭证为照片而非链上校验。结论是防诈意识需加强。