ZONE.CI 全球网

2026网络安全创新发展大会将于7月16日下午在北京举办，主题为破界前行AI赋能百业安全升级，由国信期刊主办，邀请多位专家就AI与漏洞挖掘、移动通信、制造、金融、安全合规、数据交易、等保、电子政务等议题演讲。报名截止7月14日。

全国网安标委发布2026年网络安全标准化研究课题申报通知，设立定向课题（含漏洞管理、AI安全、智能体安全等6项）和开放课题（面向卫星互联网、低空智联网等新兴领域），要求境内法人单位申报，课题负责人需高级职称，2026年7月31日前提交材料，12月31日前结题，优秀成果将推荐发布技术研究报告或实践指南。

第十六届光华工程科技奖于2026年7月9日在两院院士大会上揭晓，中国工程院院士邱中建获得光华工程科技成就奖，高性能精密制造专家郭东明等39位科学家获得光华工程科技奖。该奖由中国工程院于1995年设立，旨在奖励杰出工程科技人才，已颁发15届，共383位专家和一个团体获奖。

司法鉴定科学研究院展示了检测AI换脸视频和拼接录音的方法。换脸视频的破绽包括眨眼不完整、牙齿丢失等；录音鉴定通过听觉识别和频谱分析，检测本底噪声差异和复制粘贴的频谱完全一致。证明假相对容易，证明真很难。对可疑音视频应逐帧分析、频谱分析。

本文介绍Crypto2025上关于自适应安全SNARG的构造研究。作者BrentWaters和DavidJ.Wu证明在亚指数安全IO和普通单向函数存在下可构造NP的自适应安全SNARG，无需额外代数假设。核心技术是重新实现两挑战范式，将挑战生成与验证合并到混淆程序中。该构造具有理论意义，但假设较强且规约不紧，不适用于直接部署。

本文针对防火墙策略臃肿问题，提出清理三类脏数据（冗余、影子、过期规则）的方法。通过displaysecurity-policyrule和displayfirewallsession命令排查零命中规则，并利用Python脚本批量比对规则字段以标记可疑项。强调定期清理策略是运维优化关键，可提升匹配效率并减少误放行风险。

携程技术团队分享了从Kubefed迁移至Karmada的多集群治理实践。核心要点包括：通过分离业务资源与平台策略解决Kubefed的模型适配和耦合问题；采用韧性优先架构，将高频扩缩容保留在成员集群内，联邦层仅负责全局策略；利用权重驱动实现数十万Pod的平滑跨集群迁移；通过统一分发将新集群初始化时间从数天缩短至数小时。针对规模化挑战，团队优化了控制面状态同步、启动成本和内存压力。

华中科技大学计算机学院本科生彭雨洋、徐燕玲、王舒逸的论文被数据挖掘顶会SIGKDD2026录用。论文提出CoAct框架，通过对比任务分配和推测性冗余机制，解决LLM智能体执行效率瓶颈，无需预训练模型即可提升并行性和资源利用率。该研究为智能体工作流优化提供了新思路。

习近平在2026年7月8日国家科技奖励大会等会议上讲话，强调科技创新是核心竞争力，指出我国科技事业取得历史性成就但仍存在原始创新能力不足等问题。他提出六点要求：增强体系化攻关能力、推动科技与产业融合、培养青年人才、提高投入效能、改革科技评价、加强伦理安全治理，号召全党全社会支持科技强国建设。

2026年7月2日国家市场监督管理总局和国家标准化管理委员会发布公告全国网络安全标准化技术委员会归口的7项网络安全国家标准正式获批发布这些标准将指导网络安全领域的合规与建设工作

网易智企-易盾与声网联合推出实时互动内容审核解决方案，解决直播语聊等场景中风险传播快、审核链路长的问题。方案复用声网音视频能力降低接入成本，通过易盾多模态识别引擎实现从风险发现到业务处置的闭环治理。易盾在第三方大模型内容风控市场以43.7%营收份额居首，并参与生成式AI安全国标编写。

今日安全新闻汇总：GPT-5.6全量上线并将Codex并入ChatGPT；微软警告GigaWiper后门可摧毁Windows电脑；Chrome150更新修复27个漏洞；埃森哲数据泄露事件中黑客声称窃取35GB数据但公司驳斥；勒索软件生态持续扩张四大团伙主导攻击格局；70余家网络安全企业支持新AI安全宪章；GhostApproval漏洞致主流AI编码工具可越权写入工作区外文件；欧盟公布网络安全计划减少对外国AI系统依赖；腾达固件未修复后门可让攻击者获取设备管理员权限；AssuranceAmerica数据泄露

Jamf调查687名IT负责人发现，27.1%深度整合AI的企业已遭遇安全事件，高于早期探索阶段的19.4%。企业面临四大风险：暗影AI（员工私自使用未授权工具）、代理型AI（拥有写权限可篡改代码）、供应商泛滥（AI功能随软件更新悄然嵌入）及成本失控（治理缺位）。报告建议三步破局：摸清AI工具家底、在软件层面建立强制访问控制、将AI治理前置到采购阶段。治理能力是创新护城河，企业需在效率与安全间找到平衡。

IBMPowerHMC存在严重命令注入漏洞CVE-2026-12943，CVSS评分9.8，允许未授权攻击者远程执行任意命令。影响HMCV10.3.1050.0至V10.3.1064.0及V11.1.1110.0至V11.1.1112.0版本。管理员应立即从IBMFixCentral下载补丁修复，防止系统被完全控制。

腾达多款路由器存在CVE-2026-11405身份验证后门漏洞，攻击者可绕过密码校验获得管理员权限。漏洞位于/bin/httpd的login()函数，通过比对sys.rzadmin.password值实现。受影响型号包括FH1201、W15E等。厂商未发布补丁，建议立即禁用远程管理并更改LANIP地址。

匿名作者bikini在GitHub公开Exploitarium仓库，包含数十个未报告的0day漏洞PoC，利用AI辅助fuzzing（如GPT-5.5Cyber）发现，将漏洞发现边际成本降至极低。此举引发安全圈震动，支持者认为可降低研究门槛，反对者担忧加剧攻击风险。文章指出这是AI时代安全研究范式转变的标志，建议防守方立即盘点基础设施、打补丁升级以应对漏洞发现速度远超修复速度的剪刀差。

一种网络钓鱼技术利用微软设备授权流程劫持企业账户，无需窃取密码。攻击者发送钓鱼邮件引导用户输入一次性代码，在合法微软页面完成验证，从而获取访问令牌和刷新令牌，实现长期隐蔽访问。防御建议包括禁用不必要的设备代码流、实施条件访问策略、监控DeviceCodeSignIn事件并培训用户拒绝未经请求的验证码。

MCP模型上下文协议是AI世界的USB-C接口，一个开源标准，让AI应用能统一连接文件、数据库、日历等外部系统，实现即插即用。它解决了当前AI工具各自为政、集成复杂的问题，已有多款产品支持。对开发者而言是下一波基础设施，建议尽早了解；对普通用户则意味着AI将变得更实用。

文档为CTFPlus-MISC每周练习解题报告，涵盖五个题目：通过修复图片CRC校验获取flag；利用git恢复文件并逆向加密算法（凯撒、XOR、Base64）解密；使用SerpentECB模式解密加密文件；从DNS流量包中提取Base32编码数据并还原ZIP文件；分析DNS请求域名中的Base64编码获取flag。提供了具体操作步骤和脚本。

GhostLock(CVE-2026-43499)是Linux内核rtmutex代码中的栈释放后重用漏洞，影响2011年以来几乎所有内核版本。攻击者无需特殊权限即可利用PI-futex功能实现本地提权及容器逃逸。PoC代码已公开，可靠性接近97%。建议立即升级至Linux7.1或最新LTS版本，并启用内核栈随机化等缓解措施。

本文记录了一次针对监管部门小程序的实战文件上传绕过过程。作者通过修改文件头字节绕过内容检测，成功上传一句话木马并连接蚁剑。面对服务器禁用函数限制，利用蚁剑插件成功绕过并获取shell。文章还详细介绍了文件上传漏洞的常见绕过方式，包括后缀、MIME类型和内容检测。后半部分为SRC漏洞挖掘培训课程推广，介绍课程价格、内容、特色及学员成果。

本文是一个真实案例复盘，讲述了企业因对离职员工权限回收不彻底，导致业务线停摆近三个月的严重安全事件。攻击者利用未被回收的数据库密码、后台API设计缺陷以及光猫L2TPVPN隧道，每天定时执行破坏脚本，绕过所有安全措施。事件最终揭示了企业在人员管理、代码审计和网络设备安全等方面存在的多重漏洞，并强调了完善管理制度和技术规范对网络安全的重要性。

研究人员公开了SharePoint远程代码执行漏洞CVE-2026-33112的PoC，该漏洞CVSS评分8.8，影响本地部署版本。攻击者仅需站点成员账户即可利用XSD架构导入绕过此前补丁实现远程代码执行。微软已在5月补丁中修复，建议立即应用更新并阻止服务器向不受信任主机发起出站连接。

BMCControl-M/Server存在严重漏洞CVE-2026-10539，CVSS评分9.5，允许未经身份验证的攻击者远程执行命令。该漏洞源于输入处理不当，影响9.0.20.x至9.0.21.200版本。建议立即升级至9.0.21.300或更高版本，并限制网络访问以降低风险。

本文警告在线PDF工具存在数据隐私风险，文件可能被第三方服务器存储或滥用。核心方案是自建S-PDF（SecurePDF）系统，基于Docker部署Stirling-PDF等开源工具，实现所有文件处理在本地或私有服务器完成，数据不出内网。文章详细介绍了部署步骤，并推荐使用cpolar内网穿透工具实现外网安全访问。结论是自建S-PDF是处理敏感文档时唯一值得信赖的安全方案。