ZONE.CI 全球网

2026年7月10日CISAKEV新增4个在野利用漏洞，包括AdobeColdFusionCVE-2026-48282（CVSS10.0）、Joomla插件SPPageBuilderCVE-2026-48908（CVSS10.0）、LangflowCVE-2026-55255（CVSS9.9）及CoreWCFCVE-2026-54782（CVSS10.0），另有ApacheGravitinoCVE-2026-41042（CVSS9.1）。这些漏洞均被积极利用，需立即升级软件、审计日志并限制网络访问。

第2期资金数据与虚拟货币融合侦查分析实战培训专班在成都圆满落幕，聚焦新型犯罪侦查痛点，通过5天沉浸式集训，整合链上链下资金数据技术，提升执法人员一体化溯源与全链条打击能力，为常态化打击涉网犯罪奠定基础。

WannaHammer3.0勒索病毒通过社工钓鱼传播，以5元QQ转账赎金和社死式音频播放为特点。该样本采用魔改DES加密但存在缺陷可离线恢复，通过倒计时、禁用任务管理器、篡改壁纸和播放淫秽音频施加心理压力。应急响应建议保留现场并联系专业团队使用专用工具解密。

该文档内容模糊，仅包含图片和简短文字，提及真HC与虚假HC的对比，并标注来源为银遁安全团队。文档缺乏具体技术细节或可操作建议，更像是一篇带有调侃性质的娱乐内容，不具备技术评价价值。

本文深度分析电信诈骗担保平台屡禁不止的原因，指出其源于合法担保机制被滥用，形成跨境黑产链。关键发现是诈骗分子通过换壳平台持续运营，打击需国际合作。建议用户不轻信高回报投资、拒绝杀猪盘套路、保护个人信息、使用国家反诈中心App，以防范风险。

2026年5月全球知名眼科企业爱尔康遭网络攻击，攻击者获取大量业务数据并公开，涉及MARLO平台用户信息、Salesforce供应商数据、客户资料、订单信息及部分源代码。攻击者曾与公司谈判但未达成交易，最终公开数据样本。建议企业加强网络安全防护与暗网监控。

斗象科技发布2026攻防演练必修高危漏洞集合2.0版，整理38个高危漏洞，涵盖SQL注入、RCE、文件读取等类型，影响国产化ERP、OA、CRM等系统。报告提供漏洞信息、影响范围、检测思路和修复建议，旨在帮助企业补充自查清单，应对护网期间安全风险。

2025年度四川省科学技术奖网络空间安全领域共6项拟获奖项目，一等奖由漏洞挖掘群体智能项目获得，体现四川在漏洞攻防与群体智能交叉的领先地位；二等奖至三等奖覆盖密码理论、未知威胁防御、终端/云网/智慧城市安全，形成从基础理论到场景应用的完整链条，凸显军校企政四位一体协同特色。

本文介绍CVE-2020-0796SMBGhost漏洞在红队内网渗透中的利用方法，提供基于开源项目二次开发的EXP工具，支持检测与利用。文章强调利用存在蓝屏风险，且扫描结果不一定准确，需谨慎使用。同时包含工具获取方式与实战步骤。

本文详细介绍了Wireshark通过Lua插件解析DTLCP协议的过程，包括插件加载、协议注册、字段定义和解析逻辑，并对比了DTLCP与TLCP的差异，提供了可操作的实施步骤。

本周工业网络安全形势严峻，多起重大事件与漏洞曝光。英国政府推出网络韧性承诺书，强化董事会与供应链安全。漏洞方面，日立能源e-meshEMS、施耐德EasergyMiCOM及西门子SINECOS均被披露高危或中危漏洞。安全事件频发，日本KDDI超1200万用户数据泄露，德意志银行遭勒索攻击，英国外交部凭证被窃，美敦力及埃森哲也发生数据泄露。建议企业加强第三方组件安全、及时打补丁并强化多因素认证。

该文档分析了2026年7月8日特朗普在安卡拉北约峰会期间换机的深层逻辑。核心要点是换机决策并非单纯技术或公关失误，而是地缘政治、飞机安全争议与多重利益冲突的交汇点。新飞机（卡塔尔赠送的波音747-8）因改装仓促、能力存疑，在伊朗发布暗杀令及霍尔木兹海峡局势升级的背景下，被安全团队建议替换为防御系统更成熟的旧飞机。事件揭示了卡塔尔作为多重利益承压点的复杂角色，以及霍尔木兹海峡封锁对全球能源供应链的实质性威胁。

《国家网络身份认证公共服务管理办法》实施一周年，在便民利企和保护公民个人信息方面成效显著。该服务已接入530余个App及网站，4000万人申领数字身份，提供认证2.8亿次。应用领域覆盖互联网、政务、金融、医疗等，有效遏制黄牛倒票和替考等黑产。未来将持续优化体验，拓展更多场景，实现数字身份安全畅游。

2026年7月10日网络安全文章合集涵盖多个热点:包括针对Sublarge靶机的渗透测试实战,涉及SSH私钥转换与权限提升;DRMGEMchange\\_handleUAF漏洞(CVE-2026-46215)允许本地用户提权至root;OPNsense防火墙存在严重RCE漏洞(CVE-2026-57155,CVSS9.9),PoC已公开;AI编程工具ClaudeCode被发现存在后门,会回传敏感信息;此外还涉及蓝队技战法撰写、Budibase低代码平台认证绕过漏洞复现以及TLCP国密协议流量包验签解密

本周报收录了国家信息安全漏洞共享平台(CNVD)及国家信息安全漏洞库(CNNVD)发布的风险漏洞信息，建议相关用户和组织及时关注并应用官方补丁与修复方案，以保障信息系统安全稳定。

中国信息安全测评中心发布2026年第二期CISP讲师选拔及维持报名通知，时间为7月10日至22日。报名采用单位集中推荐方式，选拔对象为CISP及子品牌持证人员，维持对象为现有讲师。选拔费1600元，维持免费。联系人康老师，邮箱[email protected]。

中国信息安全测评中心发布2026年第一期CISP讲师选拔报名补充通知，针对材料提交不规范或不完整的人员开通补交通道，要求各单位于2026年7月17日前将补充材料提交至指定邮箱，并联系负责人康老师。

天融信获全国首批AI服务安全能力评定双项二级认证（最高级），覆盖AI应用全生命周期防护。其AI安全服务体系包括安全建设（设计、训练、上线全流程可信保障）和安全检测（模型、应用、内容三层框架）。未来将聚焦规模化交付、技术深化与产业协同，推动AI安全治理水平提升。

上海市通信管理局于2026年7月7日发布铸盾模都人工智能安全赋能专项行动通知，要求提供AI服务的企业落实网络数据安全主体责任，加强网络安全、数据安全、个人信息保护、供应链安全、智能体与具身智能安全管理，强化风险监测与应急处置，推动AI安全高质量发展。企业需在8月31日前备案重要数据目录，11月30日前上报AI业务清单。

阿里安全课堂在西安电子科技大学举办为期十周的网络安全实战课，由一线专家讲授渗透测试、云安全、数据安全、AI安全等十个主题，结合真实案例与攻防演练，旨在培养复合型网安人才，推动产教融合。课程覆盖从基础到进阶的实战技能，帮助学生建立系统安全思维。

本文披露了Spicychat平台上一个对象级授权失效(BOLA/IDOR)漏洞，该漏洞允许攻击者通过未授权访问消息标签端点来泄露私密AI聊天内容。漏洞赏金为700美元。核心问题在于辅助功能端点缺少授权检查，修复建议是在处理标签更新前验证用户对父对话的访问权限。建议安全测试时关注次要功能端点的授权。

公安部7月9日发布数据，今年以来全国公安机关侦办网络黑客犯罪案件1900余起、网络谣言案件8000余起，关停违法违规账号2.3万余个，清理违法有害信息50万余条。同时持续整治网络水军、网络暴力等突出问题，并加强个人信息保护，曝光违规App470款，推广国家网络身份认证服务。下一步将继续高压严打网络违法犯罪，营造清朗网络环境。

中国网络空间安全协会发布通知，面向会员单位征集人工智能+典型案例，重点围绕政策创新、应用拓展和支撑能力方向，申报截止2026年7月14日17时。同时，该协会人工智能安全治理专委会将另行开展创新应用与治理案例征集活动。

2025年度中央预算审计报告揭示财政资金监管四大问题领域:预算执行与转移支付资金分配跑偏、专项债券项目虚报收益套取资金、专项资金被挤占挪用和闲置浪费、项目建设审批不严与绩效缺失。企业项目申报与资金使用需重点审查八大方面,包括申报真实性、政策匹配度、资金合规性、审批程序、建设进度、绩效目标达成、财务核算规范及整改落实。绩效评价成为核心监管抓手,企业须建立全生命周期绩效管控体系,确保目标可量化、过程可追溯、结果可兑现,否则将面临资金追缴、限制申报等处罚。

CNNVD近期采集208个AI漏洞，含32个超危、92个高危、84个中危。主要涉及FlowiseAI、OpenClaw、MicrosoftAzureAIBotService等厂商，漏洞类型包括输入验证错误、权限控制问题和授权问题。厂商已发布补丁，建议用户及时更新。