ZONE.CI 全球网

斗象科技CowboyOS作为国内首个面向安全运营场景的AI员工操作系统，新增Hermes运行环境支持，验证其解耦架构。该系统将SOP转化为可执行工作流，沉淀组织经验，统一权限与审计，实现漏洞处置、告警分析、自动化巡检等场景的闭环运营。其核心价值在于通过异构运行环境适配与治理统一能力，降低技术迭代成本，避免厂商锁定。

斗象科技发布2026攻防演练必修高危漏洞集合1.0版，梳理了2025年10月至2026年6月期间红队利用最频繁的34个高危漏洞，涵盖远程代码执行、认证绕过、SQL注入等类型，涉及Oracle、Apache、Microsoft等厂商及国产系统。报告提供漏洞基础信息、检测规则和修复方案，旨在协助企业开展风险自查、加固边界防线，完整版需关注公众号获取。

国家计算机病毒应急处理中心通报了72款移动应用和小程序存在个人信息保护违规问题，覆盖医疗、金融等多个领域。其中小程序占比较高，因其开发迭代快常忽视合规流程。通报的问题主要集中在隐私政策告知不明确、用户同意方式失范、未完全保障用户权利（如更正、删除信息）以及数据安全措施薄弱等方面。企业需对照要求落实合规，加强数据加密与匿名化处理，以规避下架风险。

优比快修复UniFi操作系统7个高危漏洞，含CVSS10.0命令注入漏洞CVE-2026-50746。其他漏洞涉及SQL注入、SSRF、CORS配置错误等，影响UniFiConnect、Talk、Access等应用。厂商建议升级至066号安全公告所列版本，暂未确认在野利用。用户应尽快更新以降低风险。

Nebula团队公开了安卓远程Root漏洞利用链，结合Firefox浏览器漏洞与Linux内核15年旧漏洞，用户点击恶意URL即可实现设备Root。攻击链分浏览器、内核和后利用阶段，已证实可在谷歌Pixel设备上运行。漏洞细节暂缓披露，但PoC代码已公开，建议用户及时更新系统补丁。

ApacheAPISIX3.16.0版本的jwt-auth插件存在JWT算法混淆漏洞(CVE-2026-39999),CVSS评分9.1。攻击者可利用公钥伪造令牌绕过身份验证,可能暴露后端服务。建议升级至3.16.1或更高版本,并审查访问日志排查异常令牌。

pretix团队发布2026.5.3版本修复两个严重漏洞。CVE-2026-13602为会话劫持漏洞，攻击者通过串联支付插件签名验证缺陷、重定向工具密钥复用及管理员模拟功能，可获取任意后端账户控制权。CVE-2026-13603为pretix-oppwa插件SSRF漏洞，因未校验resourcePath输入导致OppwaAPI密钥泄露。官方建议立即更新至2026.5.3等版本并更换API令牌，临时可屏蔽特定URL缓解。

2026年虹膜识别与指纹识别在生物识别领域展开巅峰对决。虹膜识别凭借原生非接触、高稳定性及NIST最新评测中速度飙升180倍的优势，在高安全场景崛起；指纹识别仍以法律先例和性价比主导司法与消费领域。两者均引入动态活体检测与不可逆模板保护。未来趋势是多模态融合，根据场景动态调用，实现安全与体验双赢。

HalluSquatting是一种新型AI攻击，利用LLM的幻觉缺陷，通过预测并抢注AI编程助手可能虚构的代码库名称，植入恶意指令，从而大规模感染设备并构建僵尸网络。该攻击可导致DDoS、勒索软件和加密货币挖矿等严重后果，揭示了AI工具在资源解析上的固有安全风险，提醒用户需谨慎验证AI生成的内容。

全球最大动漫盗版网站hianime被越南警方联合美国执法部门捣毁，该团伙运营100多个盗版网站，盗版超26000部动漫，非法获利1285万美元，7名嫌疑人被捕。此次行动标志免费动漫盗版时代加速终结，正版化趋势加强，但短期内用户可能面临追番不便。

GhostCMS存在严重缓存投毒漏洞(CVE-2026-53943,CVSS9.6),影响v4.0至v6.36.0版本。攻击者利用x-ghost-preview请求头污染共享缓存,可劫持员工账户。建议立即升级至6.37.0或更高版本,或配置缓存绕过该请求头。若怀疑被入侵,可使用v6.41.0中的重置身份验证功能。

本文介绍了FridaRPC机制，将App内部加密函数暴露为外部Python可调用的API，避免还原算法。核心包括rpc.exports暴露接口、三层通信架构、JSON序列化限制、Java.perform包裹必要性及零依赖最小示例。关键建议是RPC脚本越短，App升级后失效概率越低，适合批量签名、动态密钥等场景。

本期暗网快讯汇总了2026年7月9日多个数据泄露事件，涉及美国通信服务商Cox、加拿大电信Videotron、法国旅游机构、政府UFO研究文件、马来西亚税务机构等，威胁行为者兜售凭证、数据库及机密文件，包括RansomHouse宣称攻陷Trellix源代码仓库。建议关注凭证泄露和供应链风险。

lpe-toolkit是GitHub上开源的Linux提权审计工具，集成24个漏洞覆盖7种CPU架构，支持自动检测内核版本并过滤已修补漏洞。工具提供预编译二进制、干跑模式等功能，适用于渗透测试、应急响应和安全研究。使用需注意仅限授权场景，部分漏洞可能触发安全告警。

本文介绍基于Cairn二次开发的AI渗透测试机器人Zero的设计与实战。核心是专家Agent与渗透Agent的双人协作框架，通过有向无环图进行逻辑推理，利用MCP协议集成工具。实战中成功获取webshell，但存在成本高、复杂场景能力弱、图形界面操作缺失和幻觉误判等局限。作者认为AI自动化渗透正走向实战，但不会取代安全专家。

该文档介绍了一款面向APP/Web加解密逆向分析与渗透测试的可视化解密框架CipherBridge。其核心特性包括AI自动生成mitmdump插件、可视化配置多种加解密算法、BurpSuite双向桥接及浏览器Hook等。工具支持Windows/macOS/Linux，安装简便。对于安全测试人员而言，该工具可显著提升处理加密接口的效率，是一个实用的开源解决方案。

重庆奇安信招聘App渗透测试和代码审计岗位。渗透测试岗要求2年以上经验，掌握逆向与协议分析，持有CISP及CNVD证书优先。代码审计岗要求1年以上经验，熟悉OWASPTop10及审计工具。简历投递至[email protected]。

本文是作者在CSOP2026AI安全大会的议题分享，系统分析了AI驱动自动化渗透测试的技术现状、工程实践与演进方向。文章指出当前AI渗透技术已进入实用阶段但尚未成熟，重点介绍了Cairn等基于事实图驱动的自动化渗透系统设计，并提出了多Agent协作、释放模型能力、Workflow与动态探索共存等工程判断。最后展望了从自动化渗透向持续验证能力演进的长期趋势。

工信部发布ClaudeCode安全后门风险提示；同时汇总多起安全事件：ControlWebPanel高危漏洞(CVE-2026-57517)可致远程代码执行；日本多家公司数据泄露；LinuxKVM存在16年逃逸漏洞；虚假面试钓鱼窃取Gmail凭证；埃森哲确认数据泄露；MicrosoftTeams被利用传播Etherrat恶意软件；Debull工具滥用设备代码流攻击M365账户。

Linux内核FUSE组件存在本地权限提升漏洞(CVE-2026-31694)，源于fuse_add_dirent_to_cache()未检查dirent大小，恶意FUSE服务器可导致缓存溢出。影响多个内核版本及Ubuntu、Fedora等发行版。利用需本地低权限及FUSE功能。建议立即升级补丁或采取限制FUSE访问等临时缓解措施。

文档披露刚果通信服务商KeccelTechnologies计费数据库遭泄露，涉及340万用户数据，包括短信、WhatsApp、API网关信息。平台为非洲企业提供批量消息服务。泄露数据可能被用于诈骗或身份盗窃，建议相关用户立即修改密码并监控账户异常。

本文介绍了一个AIAgentSkill工具，它集成IDAPro实现恶意样本自动分析，能识别C2通信、进程注入等恶意行为，并提取关键威胁指标。工具内置REAI函数分析、FindCrypt加密识别等模块，用户仅需配置IDA路径和API密钥即可使用，显著降低逆向分析门槛。

第四批UAP解密材料提高了公开性，但未提供异常技术决定性证据。它区分了公开、存在与异常三个证据层次，指出信息不足是主要问题，而非确认异常。建议关注完整数据链而非仅靠视频。

中央网信办自5月部署短视频内容标注工作以来，从严处置一批未规范标注的账号，包括利用残障卖惨、摆拍悲情故事、演绎家庭矛盾、虚构见义勇为等案例。累计清理违规短视频24.1万余条，处置账号2.1万余个，并责成相关平台整改。下一步将继续从严处置和公开曝光。

上海市通信管理局发布铸盾模都2026年人工智能安全赋能专项行动通知，要求提供AI服务的企业落实网络数据安全主体责任，加强网络安全、数据安全、个人信息保护、供应链安全、智能体安全等基线建设，开展风险监测与应急演练，并在8月31日前完成重要数据备案。该行动旨在提升行业AI安全水平，推动AI技术高质量发展。