ZONE.CI 全球网

pgAdmin团队修复了pgAdmin4中三个CVSS评分均高于9.0的严重漏洞，包括存储型XSS漏洞CVE-2026-12048、身份验证绕过漏洞CVE-2026-12046以及AI助手SQL注入漏洞CVE-2026-12045。这些漏洞可导致跨站脚本攻击、代码执行和SQL滥用风险，影响大量PostgreSQL用户。官方已在9.16版本中通过内容净化、添加身份验证装饰器和限制SQL执行等方式完成修复，建议用户立即升级并视数据库输入为不可信来源。

文章介绍了一种新的AI编程范式——循环工程。它将传统的手动编写和执行提示词，转变为设计一套能自动运行、自我迭代的系统（即循环）来指挥AI完成任务。这种方式被视为从`操作机床`到`设计整条产线`的转变，旨在提升生产力。文章还分析了其面临的挑战，如成本、失控风险，并强调真正的核心竞争力在于设计这些循环的能力。

本文分析OpenClaw存在的七大安全风险：权限过大导致系统接管、插件市场藏匿恶意软件、网页隐形指令注入、错误理解用户指令、凭证泄露内网渗透、异常token消耗造成经济损失、频繁更新引入新问题。针对每项风险提供具体防护方案，包括权限隔离、插件扫描、沙箱隔离、操作确认机制、密钥轮换、预充值限额和谨慎更新策略。

Squidbleed漏洞（CVE-2026-47729）是Squid代理服务器中存在29年的内存泄露漏洞，源于FTP目录解析代码对空字符处理不当导致指针越界。攻击者可在同一代理网络（如公共WiFi）下读取其他用户内存，泄露明文HTTP请求、账号密码、Cookie等敏感信息。修复建议立即禁用FTP代理功能或验证补丁是否包含空终止符检查。

该文档介绍了开源编程助手OpenCode及其插件oh-my-opencode的安装配置流程，指出该组合可替代封闭的ClaudeCode。文章详细演示了如何安装OpenCode客户端、配置GPT/Gemini/GLM等AI模型，并通过自然语言指令安装增强插件。作者强调该方案能大幅降低编程Agent使用门槛，让普通用户体验VibeCoding，并提供了具体操作步骤和资源链接。

该文档介绍利用高德地图API自动获取特定区域单位信息的红队技巧，包括注册获取免费Key、使用requests库调用接口实现自动化资产收集的方法，适用于快速定位不同产业目标资产。

Microsoft披露Mastranpm供应链攻击事件，140多个包因维护者账号被朝鲜SapphireSleet组织接管而注入恶意代码，攻击在依赖安装阶段即可触发风险。文档指出AI开发链路需重视依赖治理，并提出7项应对建议：排查影响、轮换凭据、固定版本、限制脚本权限、收紧发布流程、监控CI/CD出站、建立事件响应机制。

重庆万州网民余某某为吸粉引流，在网络平台编造并发布涉缅甸园区的虚假视频及耸动文案，经警方调查核实其内容系移花接木的谣言，已对余某某作出行政处罚，警示大众网络空间需谨言慎行、遵守法规。

美国国务院情报与研究局(INR)于2024年5月发布《开源情报战略》，旨在通过四大目标体系化利用OSINT支持美国外交决策：建立OSINT使用治理框架与政策标准，投资OSINT数据工具与技术能力，强化分析师OSINT培训与工艺标准，深化与盟友、行业及学术界合作。该战略强调非机密产品优先、隐私保护及与情报界整体战略对齐，以提升信息优势与战略洞察力。

德阳市公安局通过构建`一市一台`智慧接处警系统实现高效警务，该系统可自动预警并精准调度，2026年1-5月提前化解417个风险，刑事警情同比下降48%；一站式执法办案管理中心将流程缩短至半天，涉企案件快侦快办机制12天破获技术图纸泄密案；数字化便民平台提升涉企服务效能，满意度超98%。

该指南系统介绍政府开源情报(OSINT)采购框架，涵盖音视频分析、社交媒体监控、暗网情报等7大应用场景，通过DeepMedia.AI检测深度伪造、Sayari追踪芬太尼网络等案例展示解决方案实效。详细说明6种政府采购渠道及2024年OSINT战略等政策法规，强调AI技术整合与数据标准化趋势。

本文是炼石网络在建党节发布的数据安全宣传文章，强调国密标准重要性及企业数据安全建设方案。文章介绍炼石作为国家级专精特新小巨人企业，提供免改造数据安全平台，已服务超500家头部客户，保护十多亿人口信息。内容包含企业背景、技术优势及多行业落地案例，具有明显产品推广性质。

该文档为网络安全资讯专刊第42期，内容涵盖暗网论坛动态2条、x平台动态5条及开源信息13条，主要提供当日威胁情报与行业动态摘要。文档结构清晰但具体技术细节被图片遮挡，缺乏可验证的实质内容与可操作建议。

本文详细介绍了EVE-NG7.0.1-12最新版的完整部署流程，包括基于Ubuntu24.04LTS创建ESXi虚拟机、配置硬件参数、自动化安装步骤、常见问题处理（如进度条等待机制）以及镜像上传和权限修复操作。文档强调新版本在系统安全性和用户体验上的改进，并提供了云盘镜像获取方式，适用于网络工程师进行SD-WAN、SRv6等大型实验环境搭建。

威胁行为者声称在暗网出售约3.1亿条Temu用户数据，样本显示包含姓名、邮箱、密码哈希、设备信息等敏感内容。分析指出可能存在凭证填充攻击、钓鱼风险，建议用户立即修改密码、启用双因素认证并监控账户活动。Temu尚未对此事件作出官方回应。

文档详细分析了2026年6月公开的AppleA12/A13BootROM级别漏洞usbliter8，该漏洞源于DWC2控制器硬件设计缺陷，通过USBSetup包长度校验漏洞实现内存覆盖。漏洞影响iPhoneXR至11等设备且无法软件修复，目前PoC支持降级模式和启动未签名iBoot，为越狱提供基础但需专用硬件工具。文章深入解析了A12/A13不同的利用链及PAC绕过技术，并给出后利用方案。

AvoHQ于2026年6月17日修复了RubyonRails管理框架中的授权绕过漏洞CVE-2026-55518，该漏洞允许低权限用户越权关联记录导致权限提升或租户数据泄露，CVSS评分达9.6。受影响版本包括3.32.0及以下和4.0测试版至beta.50，官方已在v3.32.1和4.0.0-beta.51中修复并建议立即升级，同时需在创建操作时强制关联授权检查并添加回归测试。

本文介绍可口可乐与百度一镜合作，在世界杯期间推出由AI生成的范志毅数字人和宣传视频。数字人具备2秒快速响应、方言热梗互动、多场景切换能力；TVC通过prompt生成实现导演级运镜和品牌调性统一。技术层面依托文心大模型和群体智能架构，实现形神兼备的实时交互。案例显示数字人可重构代言模式、降低内容成本、形成营销闭环，成为品牌营销新基建。

中国信通院启动首批可信软件供应链企业级AI编程助手/智能体能力评估，旨在建立相关标准并推动技术从可用向可信演进。评估聚焦智能编程、开发、检查等核心能力及企业场景适配水平，通过测试的企业可获得第三方资质证书以提升市场竞争力，并为用户选型提供参考。报名时间截至2026年7月，评估周期为1-2个月。

本文提出SOC安全Agent选型应摒弃单一技术标准，构建技术选型（知识底座准入、能力解耦诊断、实战场景验证）与经济选型（全景TCO模型、CPP成本指标）双维评估框架。核心结论强调需通过随机对照试验验收能力，并以青藤无相AI为例展示其L4级自治能力可实现60%人力节约、12个月内ROI，最终指出采购决策需以可度量的经济性为硬约束。

文档分析了OpenAICodex桌面端消耗150GB月流量和4.8TB硬盘写入量的现象，指出其架构采用WebSocket长连接、云端沙盒执行和常驻后台服务导致高资源占用。通过与轻量级终端工具ClaudeCode的对比，揭示AI编程工具日益重量级化的趋势，并探讨了重架构与轻架构各自的优劣及混合使用场景。

2026年7月巴西圣保罗州交通局DETRAN-SP发生数据泄露事件，涉及1300万条机动车登记及驾照信息，包含车牌、车主身份税号、地址、违章记录等敏感数据。该事件暴露政务系统安全风险，建议受影响用户及时监控个人信用记录并更换相关凭证。

近日，中柬执法合作取得新突破，陈志犯罪集团骨干刘忍被成功从柬埔寨押解回国。刘忍涉嫌在柬埔寨运营网络赌博及电诈园区，参与电信网络诈骗、非法拘禁等严重犯罪，涉案金额巨大。中柬警方深化合作，强力打击电诈犯罪，已遣返涉诈人员2万余名。公安机关将持续强化跨国执法协作，铲除犯罪窝点，维护民众财产安全与社会稳定。

本期暗网快讯汇总了全球多起重大数据泄露事件，涉及巴基斯坦、巴西、土耳其等国政府、金融及医疗机构。威胁行为者频繁兜售或泄露海量数据库，规模达数千万至数亿条，包含生物识别与护照等敏感信息。此外还涉及AWS云配置泄露及零日漏洞售卖。该情报反映出全球数据泄露风险严峻，建议相关组织加强外部威胁监测与数据泄露排查，防范潜在二次利用风险。

该文档为网络安全每日早报，汇总了全球20起安全事件与政策动态。核心内容包括：Langflow漏洞被利用部署挖矿程序、日产汽车数据泄露与PeopleSoft零日漏洞关联、npm对热门账户实施防护措施、移动恶意软件感染增长70%、多起供应链攻击（如Icarus攻击KlueSalesforce）及数据泄露事件（如Aflac保险438万客户信息泄露）。同时涉及政策动向如美国儿童在线安全法案通过、CISA更新漏洞管理指标，并提出AI时代需加强韧性建设与联盟防御的战略建议。