ZONE.CI 全球网

安全研究员发现nginx脚本引擎中存在严重远程代码执行漏洞CVE-2026-42533，自2011年map指令支持正则表达式以来已存在15年。漏洞源于PCRE捕获状态保存/恢复缺失，可导致堆缓冲区溢出和信息泄露，攻击者通过未认证GET请求即可实现RCE。受影响版本包括NGINXOpenSource0.9.6至1.30.3和1.31.2及之前版本，以及NGINXPlusR33-R36等。建议立即升级至修复版本1.30.4、1.31.3或对应Plus版本，并使用静态配置扫描器审计易受攻击的指令顺序。

奇安信CERT发布Fastjson1.2.83远程代码执行漏洞(QVD-2026-43021)安全风险通告，该漏洞影响Fastjson1.x全系列版本，CVSS评分9.8，攻击者可构造恶意JSON请求在服务器上执行任意代码。利用条件包括使用SpringBootfat-jar、JDK8及服务器允许出站HTTP访问。官方暂未发布1.x修复补丁，建议迁移至Fastjson2.x或启用SafeMode作为临时缓解措施。奇安信多款产品已支持检测。

本文分析了Vaultify恶意软件，其伪装成主页保护工具劫持浏览器导航页。软件通过Hook系统进程拦截浏览器启动、篡改配置文件实现持久化，并利用加密云控动态下发推广链接与插件，具备反杀软能力。建议用户立即卸载该软件，清理残留进程与目录，恢复浏览器配置，排查可疑扩展，必要时重置浏览器或使用安全软件查杀。

7-Zip26.02版本修复了一个高危堆缓冲区溢出漏洞CVE-2026-14266，该漏洞存在于处理XZ归档文件时，可能导致攻击者在用户打开恶意文件后执行代码。漏洞由研究员发现，评分7.0分，为本地攻击向量，需要用户交互。建议所有用户立即更新至最新版本以防范风险。

HuggingFace披露遭AI智能体攻击，攻击者利用恶意数据集触发代码执行窃取云凭证。事件响应中，美国模型因安全护栏受限，中国模型GLM5.2成功完成分析。建议政企机构建设本地前沿模型以规避安全限制并防止数据外流。

美国海军部发布了一项旨在将数据和人工智能武器化的战略，以在数字时代保持作战优势。该战略提出了名为`比特到效应循环`的数字化适应框架，旨在缩短从数据创建到产生任务影响的周期。战略设定了六大目标：加速作战人工智能、提升数据就绪度、优化基础设施、简化治理、建设人才队伍以及建立伙伴关系，以推动其`人工智能优先`的海上力量愿景落地。

数世咨询与零零信安联合发布2026年6月全球数据泄露态势月度报告，基于约10万个威胁源监控。报告显示美国为数据泄露第一大国，金融和互联网行业受影响最大。本月监控到高价值买卖情报7663份，全球数据泄露量达数百亿行。报告还分析了10个典型泄露事件，并指出全球65个活跃黑客组织共发起706起勒索事件，黑客组织正向精英化小型化自动化演进。建议企业加强数据安全防护并关注勒索软件趋势。

奇安信CERT发布Fastjson1.2.83远程代码执行漏洞(QVD-2026-43021)安全通告，该漏洞影响百万级实例，CVSS评分9.8，攻击者可构造恶意JSON请求实现远程代码执行。漏洞利用需满足特定条件如使用SpringBootfat-jar和JDK8。建议升级至Fastjson2.x或启用SafeMode模式缓解风险，奇安信产品已支持检测。

本文分析了Fastjson1.2.66-1.2.83版本中@JSONType信任旁路漏洞的利用链，攻击者通过构造特殊类名触发远程类加载实现RCE。关键前置条件包括特定ClassLoader和JDK8环境。防御措施包括开启SafeMode、升级fastjson2或JDK9+。文章还介绍了使用Memfit和Yakit工具复现漏洞的方法。

本文介绍火山引擎面向音视频Agent的开发套件AIMediaKit。它将视频理解、剪辑与转码封装为统一底座，跨越内容结构化、自动化处理及高规格交付三道门槛。视频云竞争已转向生产链路系统之争，建议开发者利用该基础设施降低集成成本，将重心聚焦于场景定义与工作流设计。

本文介绍VikingAI搜索与SearchCLI工具，帮助开发者在30分钟内搭建个人前沿技术资讯聚合系统。通过Agent引导完成安装、数据接入和产品体验三步流程，实现自动爬取、清洗、同步及搜索推荐问答一体化，解决信息过载与手动维护痛点。可操作建议是直接使用该组合快速构建技术雷达。

2026年7月公开的MemGhost攻击技术利用精心构造的恶意邮件向AIAgent长期记忆注入虚假信息，实现远程静默持久影响。攻击分邮件生成、投递注入和潜伏影响三阶段，成功率高达87.5%。防御需加强记忆完整性、来源验证和用户同意机制。

荷兰情报机构披露俄罗斯军事情报部门系统性地劫持欧洲和乌克兰境内联网安防摄像头，利用默认密码和过时固件等低门槛手段入侵，通过AI自动识别视频流中的军用车辆和物资，实时监视军事运输路线并用于定位打击。Censys扫描发现超87000台暴露摄像头，其中乌克兰超4000台。防护核心是让摄像头远离公网、更换默认密码、开启MFA、注意镜头朝向并及时打补丁。

本文探讨了油气行业AI供应链安全治理体系，指出AI在油气勘探开发中广泛应用带来新安全挑战。文章分析了AI供应链在模型、数据、组件和基础设施层面的风险，并提出了建立组织制度、构建AI物料清单、全生命周期安全管理、平台化技术支撑及内外协同机制等治理框架，以保障能源生产安全。

该文档介绍了PHPBench技术，用于自动化合成高质量Web漏洞基准数据集，以解决现有评测设施滞后、难度分布失衡、漏洞标签不可验证等问题。PHPBench通过提取真实漏洞根因、生成层级化变体、植入真实应用并自动合成PoC，构建了包含375个漏洞实例的WebVulnBench数据集。实验评估显示现有工具检测能力有限，最高发现率仅28.45%，且漏洞判定机制显著影响结果。建议使用该数据集进行统一评测。

国家安全部发文指出人工智能应成为促进共同繁荣和维护共同安全的重要动力源，强调在发展中统筹安全与创新，推动AI技术向善、造福全球。文章呼吁国际社会加强合作，确保人工智能发展符合人类共同利益，防范潜在风险。

《国际人工智能伦理治理行动计划》于2026年7月17日在上海世界人工智能大会上发布，旨在为全球人工智能治理提供行动框架。该计划围绕全生命周期伦理治理、风险分类分级防控、敏捷治理机制建设等方向，呼吁各国共商共建共享，构建包容、安全、可信、可持续的人工智能未来。

中央网信办举报中心2026年上半年处置仿冒假冒网站759个，同比增150%，涉及党政机关、事业单位及企业。假冒网站常以申领补贴、期刊投稿、虚假服务等名义诱导访问，窃取信息或骗取费用。建议网民核验网站域名与备案信息，警惕不明链接，通过官方渠道举报。

本文阐述了全球人工智能加速发展背景下强化风险意识的重要性。文章强调要统筹发展与安全，完善法律法规与风险预警体系，防范技术滥用，确保AI安全可控且处于人类控制之下。同时呼吁国际社会开放合作，反对技术壁垒，携手构建公正合理的全球人工智能治理体系。

360与朝阳区总工会合作启动ADE认证培训，聚焦智能体工程师核心能力培育，涵盖智能体构建、工具集成等模块。360依托技术积淀构建三级阶梯式认证体系，联动NITE实现一考双证。项目已覆盖全国20余省市，累计培养千余名人才，为产业数字化转型提供人才支撑。

本文报道360作为核心技术支撑方参与香港第十届跨部门网络安全实战演练，为近百个政务部门提供红蓝对抗服务。演习模拟勒索软件等前沿威胁，360依托自研平台与AI智能体实现攻防闭环。文章强调AI重塑攻防格局，并指出360将推动粤港澳大湾区网络安全协同建设。

本文预警WordPressCore未授权远程代码执行漏洞CVE-2026-60137。该漏洞因RESTAPI批处理端点路由混淆所致，攻击者无需认证即可通过SQL注入创建管理员并上传webshell。建议尽快升级至安全版本，无法升级时需通过WAF拦截批处理接口并强制认证，同时排查异常账号与日志。

该文档分享了330份国外安全厂商渗透测试报告的资源链接，来源于pentestreports.com网站，作为参考模板打包提供，用户可通过公众号回复获取下载链接，内容聚焦于渗透测试报告模板的收集与分享。

西安电子科技大学与四叶草安全合作开展企业级AI攻防实战实训，学生通过真实网站漏洞挖掘获得亿级积分等成果，强调产教融合和实战能力培养，建议推广此类模式。

阿里云发布QoderSecurity，将安全审查内建于AI编程智能体。产品采用双Agent协同与三层防线，涵盖实时正则拦截、语义增量审查及跨文件深度追踪，使误报率降低约80%、检出率提升60%，实现同会话修复。建议研发团队在AI编码场景引入此类内建安全能力以控制风险。