ZONE.CI 全球网

斗象科技发布2026攻防演练必修高危漏洞集合2.0版，整理38个高危漏洞，涵盖SQL注入、RCE、文件读取等类型，影响国产化ERP、OA、CRM等系统。报告提供漏洞信息、影响范围、检测思路和修复建议，旨在帮助企业补充自查清单，应对护网期间安全风险。

2025年度四川省科学技术奖网络空间安全领域共6项拟获奖项目，一等奖由漏洞挖掘群体智能项目获得，体现四川在漏洞攻防与群体智能交叉的领先地位；二等奖至三等奖覆盖密码理论、未知威胁防御、终端/云网/智慧城市安全，形成从基础理论到场景应用的完整链条，凸显军校企政四位一体协同特色。

本文介绍CVE-2020-0796SMBGhost漏洞在红队内网渗透中的利用方法，提供基于开源项目二次开发的EXP工具，支持检测与利用。文章强调利用存在蓝屏风险，且扫描结果不一定准确，需谨慎使用。同时包含工具获取方式与实战步骤。

本文详细介绍了Wireshark通过Lua插件解析DTLCP协议的过程，包括插件加载、协议注册、字段定义和解析逻辑，并对比了DTLCP与TLCP的差异，提供了可操作的实施步骤。

本文通过三道CTF题目详细演示了Web流量包分析提取冰蝎WebShell、本地导出Java类文件排查隐藏内存马、以及Fastjson漏洞关联哥斯拉流量解密获取Flag的完整实操步骤。核心方法包括过滤HTTP流量定位WebShell路径、使用MD5计算文件哈希、通过ABC蓝队分析工具解密冰蝎和哥斯拉加密流量、以及全局搜索敏感关键字排查内存马。可操作建议包括使用D盾查杀工具辅助验证和编写Python脚本解密Base64类文件。

该文档分析特朗普2026年7月10日在TruthSocial的帖子，其声称1000枚导弹已瞄准伊朗，将个人暗杀威胁与国家核打击授权直接绑定。帖子包含自动报复机制、一年可延期时间窗口及嘲讽性宗教用语，旨在谈判前最大化威慑筹码并维持国内强硬形象。分析指出该帖与同日接受伊朗谈判请求形成信号矛盾，属于信息战工具，其真实军事命令存在不确定性。

该文档分析了2026年7月8日特朗普在安卡拉北约峰会期间换机的深层逻辑。核心要点是换机决策并非单纯技术或公关失误，而是地缘政治、飞机安全争议与多重利益冲突的交汇点。新飞机（卡塔尔赠送的波音747-8）因改装仓促、能力存疑，在伊朗发布暗杀令及霍尔木兹海峡局势升级的背景下，被安全团队建议替换为防御系统更成熟的旧飞机。事件揭示了卡塔尔作为多重利益承压点的复杂角色，以及霍尔木兹海峡封锁对全球能源供应链的实质性威胁。

本周工业网络安全形势严峻，多起重大事件与漏洞曝光。英国政府推出网络韧性承诺书，强化董事会与供应链安全。漏洞方面，日立能源e-meshEMS、施耐德EasergyMiCOM及西门子SINECOS均被披露高危或中危漏洞。安全事件频发，日本KDDI超1200万用户数据泄露，德意志银行遭勒索攻击，英国外交部凭证被窃，美敦力及埃森哲也发生数据泄露。建议企业加强第三方组件安全、及时打补丁并强化多因素认证。

《国家网络身份认证公共服务管理办法》实施一周年，在便民利企和保护公民个人信息方面成效显著。该服务已接入530余个App及网站，4000万人申领数字身份，提供认证2.8亿次。应用领域覆盖互联网、政务、金融、医疗等，有效遏制黄牛倒票和替考等黑产。未来将持续优化体验，拓展更多场景，实现数字身份安全畅游。

2026年7月10日网络安全文章合集涵盖多个热点:包括针对Sublarge靶机的渗透测试实战,涉及SSH私钥转换与权限提升;DRMGEMchange\\_handleUAF漏洞(CVE-2026-46215)允许本地用户提权至root;OPNsense防火墙存在严重RCE漏洞(CVE-2026-57155,CVSS9.9),PoC已公开;AI编程工具ClaudeCode被发现存在后门,会回传敏感信息;此外还涉及蓝队技战法撰写、Budibase低代码平台认证绕过漏洞复现以及TLCP国密协议流量包验签解密

本周报收录了国家信息安全漏洞共享平台(CNVD)及国家信息安全漏洞库(CNNVD)发布的风险漏洞信息，建议相关用户和组织及时关注并应用官方补丁与修复方案，以保障信息系统安全稳定。

中国信息安全测评中心发布2026年第二期CISP讲师选拔及维持报名通知，时间为7月10日至22日。报名采用单位集中推荐方式，选拔对象为CISP及子品牌持证人员，维持对象为现有讲师。选拔费1600元，维持免费。联系人康老师，邮箱[email protected]。

中国信息安全测评中心发布2026年第一期CISP讲师选拔报名补充通知，针对材料提交不规范或不完整的人员开通补交通道，要求各单位于2026年7月17日前将补充材料提交至指定邮箱，并联系负责人康老师。

天融信获全国首批AI服务安全能力评定双项二级认证（最高级），覆盖AI应用全生命周期防护。其AI安全服务体系包括安全建设（设计、训练、上线全流程可信保障）和安全检测（模型、应用、内容三层框架）。未来将聚焦规模化交付、技术深化与产业协同，推动AI安全治理水平提升。

上海市通信管理局于2026年7月7日发布铸盾模都人工智能安全赋能专项行动通知，要求提供AI服务的企业落实网络数据安全主体责任，加强网络安全、数据安全、个人信息保护、供应链安全、智能体与具身智能安全管理，强化风险监测与应急处置，推动AI安全高质量发展。企业需在8月31日前备案重要数据目录，11月30日前上报AI业务清单。

阿里安全课堂在西安电子科技大学举办为期十周的网络安全实战课，由一线专家讲授渗透测试、云安全、数据安全、AI安全等十个主题，结合真实案例与攻防演练，旨在培养复合型网安人才，推动产教融合。课程覆盖从基础到进阶的实战技能，帮助学生建立系统安全思维。

本文披露了Spicychat平台上一个对象级授权失效(BOLA/IDOR)漏洞，该漏洞允许攻击者通过未授权访问消息标签端点来泄露私密AI聊天内容。漏洞赏金为700美元。核心问题在于辅助功能端点缺少授权检查，修复建议是在处理标签更新前验证用户对父对话的访问权限。建议安全测试时关注次要功能端点的授权。

公安部7月9日发布数据，今年以来全国公安机关侦办网络黑客犯罪案件1900余起、网络谣言案件8000余起，关停违法违规账号2.3万余个，清理违法有害信息50万余条。同时持续整治网络水军、网络暴力等突出问题，并加强个人信息保护，曝光违规App470款，推广国家网络身份认证服务。下一步将继续高压严打网络违法犯罪，营造清朗网络环境。

中国网络空间安全协会发布通知，面向会员单位征集人工智能+典型案例，重点围绕政策创新、应用拓展和支撑能力方向，申报截止2026年7月14日17时。同时，该协会人工智能安全治理专委会将另行开展创新应用与治理案例征集活动。

2025年度中央预算审计报告揭示财政资金监管四大问题领域:预算执行与转移支付资金分配跑偏、专项债券项目虚报收益套取资金、专项资金被挤占挪用和闲置浪费、项目建设审批不严与绩效缺失。企业项目申报与资金使用需重点审查八大方面,包括申报真实性、政策匹配度、资金合规性、审批程序、建设进度、绩效目标达成、财务核算规范及整改落实。绩效评价成为核心监管抓手,企业须建立全生命周期绩效管控体系,确保目标可量化、过程可追溯、结果可兑现,否则将面临资金追缴、限制申报等处罚。

CNNVD近期采集208个AI漏洞，含32个超危、92个高危、84个中危。主要涉及FlowiseAI、OpenClaw、MicrosoftAzureAIBotService等厂商，漏洞类型包括输入验证错误、权限控制问题和授权问题。厂商已发布补丁，建议用户及时更新。

中央网信办自2026年5月推进短视频内容标注工作，近期从严处置一批未规范标注的账号和平台。典型案例包括利用残障人士卖惨、摆拍外卖员悲情故事、演绎家庭矛盾、虚构正能量事迹等违规行为。近两月累计清理违规短视频24.1万余条，处置账号2.1万余个，并对未落实标注要求的中小平台进行约谈。下一步将继续从严处置和公开曝光违规行为。

公安部发布暑期防范电信网络诈骗安全提示，针对中小学生、大学生及留学生群体，揭露网络游戏虚假交易、刷单返利、冒充公检法等常见诈骗手法，并提醒家长加强监督、学生不点击陌生链接、及时报警，同时警惕高薪招聘陷阱，避免成为电诈帮凶。

2026年第二届ICO国际网络安全奥林匹克在突尼斯落幕，中国队首次参赛即获两枚铜牌，并成功申办2028年第四届ICO（由武汉网络空间安全学院承办）。两位中国专家入选ICO国际委员会和国际科学委员会，提升中国在全球青少年网络安全教育领域话语权。赛事采用CTF模式，覆盖二进制、密码学、取证、逆向、Web安全等领域。

本文是网络安全工程师zero老z的个人介绍，他创建了cyberseclab安全实验室，旨在分享网络原理、安全原理和系统思维等长期有价值的知识，而非短期热点。未来计划持续分享网络基础、防火墙、VPN、OT安全等方向的内容，强调理解为什么这样做比如何操作更重要。