ZONE.CI 全球网

本文汇总了2026年7月28日前后多个安全事件：意大利勒索攻击持续高发制造业成为LockBit5与Qilin重点目标；GitHub和PyPI引入基于时间的防御措施应对供应链攻击；新型DolphinX恶意软件利用AI分析器对高价值受害者排序；Synopsys因注册逻辑漏洞导致约4万条企业客户数据泄露；Steam论坛遭ClickFix攻击植入XMRig挖矿程序；Certighost漏洞允许低权限AD用户模拟域控制器；必应图片漏洞允许SVG文件以SYSTEM权限执行命令；Bluenoroff的Zoom钓鱼工具包

AWSCloudTrail存在绕过漏洞，攻击者可通过非生产端点进行静默权限枚举而不产生日志，暴露了日志盲区。AWS通过禁止外部访问非生产端点修复。建议企业关注日志覆盖完整性，避免依赖单一审计源。

文章指出前CIA退役特工正转型为人生教练、领导力导师和自媒体博主，将情报机构内部的心理认知、行为分析、沟通说服等能力包装成商业课程。这一趋势反映情报能力向社会领域外溢，对我方人才培养体系有启示意义，值得关注其可复制的方法论。

该文档披露了KB5014754补丁在ADCS的CMC提交路径上存在绕过漏洞。通过id-cmc-addExtensions控制属性，攻击者可绕过SID扩展强制检查，利用ESC1模板从非特权用户提升至域管理员权限。微软已将其标记为非漏洞。建议环境应尽快移除ESC1模板，不能仅依赖补丁。

本文剖析了影响Redis6.2至8.8的三组认证后RCE漏洞，利用Stream双重释放、TDigest堆溢出及TopK野指针释放构造任意读写原语，劫持hashFunction实现无破坏性代码执行。利用无需DEBUG模式且服务可恢复，但受TCP分片限制仅适用于SSRF或本地回环场景。建议通过ACL禁用RESTORE等高危命令实现根本防御。

CVE-2026-42533是nginx双遍字符串求值引擎中的严重堆缓冲区溢出漏洞(CVSS9.2),影响多个版本。攻击者可通过特定配置模式实现预认证远程代码执行,PoC已公开。建议立即升级至nginx1.30.4/1.31.3或NGINXPlus修复版本。

本文披露伊朗借SS7协议漏洞与商业广告库实时追踪美军位置，结合漫游协议实施定向定位并支撑物理袭击，暴露出智能手机数字尾气泄露的严重国安隐患。建议敏感岗位人员停用个人手机、规范使用专用设备，制度层面须收紧商业位置数据的获取与流转以防范此类定向打击。

本文深度剖析ClaudeCowork沙箱逃逸至Mac宿主机的完整攻击链，非特权用户通过unshare获取Capabilities，经AF\\_NETLINK触发全局加载act\\_pedit.ko，利用CVE-2026-46331页缓存投毒篡改coworkd程序，最终获VMroot权限并通过virtiofs-root读写宿主机文件。建议立即收敛virtiofs共享目录，配合关闭非特权用户命名空间、启用seccomp白名单及内核模块最小化策略，构建纵深防御阻断攻击。

WordPress插件UncannyAutomator<=7.3.2存在SQL注入漏洞(CVE-2026-65462),源于sanitize_text_field()未转义SQL通配符导致LIKE注入,PoC可探测数据库长度,建议用户立即更新插件至最新版本以修复漏洞。

文章报道暗网公开了突尼斯黑客组织takriz成员的身份信息。该组织是区域性草根黑客行动主义团体，技术能力中等，主要进行网站篡改、信息爬取和人肉搜索。近期因mytt应用相关网络冲突导致内部数据泄露，但泄露数据包真实性未被独立验证。

乌克兰CERT-UA预警UAC-0099组织利用伪装成Notepad++插件的恶意程序攻击乌克兰机构。攻击始于钓鱼邮件，诱导用户下载含VBS脚本的ZIP包，脚本释放Notepad++及恶意DLL插件LUNCHPOKE。该插件通过WinRAR解压加密包释放BURNYBEAR加载器与MATCHBOIL.V2载荷，并创建每三分钟执行一次的计划任务实现持久化。建议升级软件并警惕陌生邮件。

该文档详细分析了契约锁产品中通过Less编译功能实现远程代码执行的漏洞利用链。核心发现是/api/css接口调用Less.compile时，若默认配置文件CustomStyleExample.less内容可控，可通过反引号注入JavaScript表达式触发代码执行。同时，文档揭示了通过/document/createbyfile接口上传特定文件（如HTML）可间接控制less文件内容，但利用需满足默认配置且未更改自定义样式等条件。建议关注此类隐式代码执行点及接口权限控制。

本文作者astaxie（Beego创始人）介绍了其开源AI网关项目TokenHub的定位与设计理念。TokenHub采用Apache2.0协议，面向企业内部治理，强调私有化部署、员工身份管理、项目Key、成本审计与请求日志等企业级特性。与LiteLLM、Portkey、Higress、NewAPI等现有项目不同，TokenHub不追求成为中转或计费平台，而是致力于成为企业可长期拥有、放心商用、自由二开的AI统一入口。文章分享了作者从Beego到TokenHub的开源理念，认为开源是技术协作方式，并解释了选

攻击者利用ClaudeCowork沙箱的Linux虚拟机，通过unshare创建用户命名空间获取capability，利用AF_NETLINK触发内核加载act_pedit模块，利用CVE-2026-46331页缓存投毒篡改只读文件，最终通过coworkd执行被投毒代码获得VMroot权限并逃逸至宿主机Mac。建议关闭非特权用户命名空间和采用seccomp白名单。

美国参议员怀登于2026年7月27日致函联邦机构，要求两年内全面淘汰传统VPN等老旧远程访问系统，转向零信任架构。公开资料显示，85%的勒索软件保险索赔源于VPN漏洞利用，且国家支持的黑客持续利用这些入口发动攻击。怀登提出四项整改要求，包括消除暴露入口点、建立零信任标准、优先投资并强制采用以及更新联邦采购条例。这一倡议标志着美国联邦网络安全战略从被动修补向主动架构重构的重大转向。

ChatGPT近期调整策略，拒绝直接模仿知名作家文风，转而提供相似氛围或写作技巧。这一变化源于版权法律风险与行业压力，各大AI平台态度分化。用户需将文风拆解为具体语言特征来引导AI。这标志着AI创作从无限模仿转向尊重版权与安全边界。

本文探讨AI时代IT部门转型路径，指出老系统是根基，建议通过API外接AI而非盲目重建。强调数据治理核心地位，提倡内部转岗培训，将考核转向业务价值。实操建议小步快跑，先IT内部试点再向业务扩展，必须保留人工审核与安全管控，并附90天落地计划表。

上海黄浦区检察院披露一起利用低价小商品虚假下单骗取运费险的黑产案件。团伙累计诈骗237万元理赔金，并通过虚拟币跨境洗钱，最终9人因保险诈骗及洗钱罪获刑。该案呈现互联网保险三方分离特征，建议保险机构强化理赔异常监测与虚拟币资金审查，防范黑灰产套利。

本文分析TCP四次挥手中客户端进入FIN-WAIT-2状态后能否发送新消息。通过内核数据结构追踪状态，指出在FIN-WAIT-2中客户端理论上可以发送数据，但实际行为取决于系统调用。建议理解TCP状态机，避免在关闭连接后发送数据。

Zabbix中国官方发布14款自研原生扩展插件，覆盖AI告警分析、网络可视化、批量资产管理、性能报表等场景，以原生模块方式部署，开箱即用，旨在补齐Zabbix在可视化、报表、资产管控等方面的短板，提升运维效率。

镇江警方破获特大演唱会抢票黑产案。前程序员李某开发外挂，利用动态IP代理、篡改IMEI与MAC地址伪造数百真实用户，实现毫秒级绕过平台风控。团伙一年半内刷票超6万张牟利1600万元，主犯因非法获取计算机信息系统数据罪获刑。建议票务平台升级设备指纹校验与异常行为分析模型以对抗群控攻击。

本文揭露代收赚佣金兼职实为跑分洗钱。经典套路为银行卡与支付账户跑分，新型伪装成黄金代购、虚拟币对敲及虚假交易。出借账户即担责无免责，流水达二十万即触犯帮信罪，面临判刑与征信污点。凡需提供收款码代收转款赚提成的兼职均属洗钱，务必直接拉黑远离。

本文系统总结了四种Skill创建方法，从使用skill-creator自动生成到手动创建，适合不同水平的小白用户。核心结论是skill-creator最推荐，通过自然语言描述即可自动生成并验证。关键发现包括从已有对话提取和社区改造可快速上手。可操作建议是优先安装skill-creator，用大白话描述需求，让AI自动完成创建。

本文对比四款RAG测试工具：RAGAS适合轻量验证但长文本误判高，TruEra企业级强但成本高，DeepEval测试即代码但覆盖度有限，LlamaTest基于可观测性可极速定位故障。建议按阶段选型：探索期用RAGAS，构建期用DeepEval，运维期用LlamaTest，金融等高危场景需叠加对抗测试以保障鲁棒性。

本文发布存储桶遍历漏洞利用工具V2.0，解决文件预览及危害证明难题。新版集成基于HaE规则的敏感字段搜索，内置PDF、Office、音视频及嵌套压缩包的远程流式预览。同时新增文件排序、批量下载保留目录结构等功能，耗时操作均转为后台任务，并自动生成信息泄露HTML报告，有效提升存储桶安全测试效率。