ZONE.CI 全球网

研究人员披露OpenClawAI助手中三个高严重性漏洞(CVSS8.8/8.4),包括操作系统命令注入和路径遍历,可被利用通过WhatsApp消息触发主机代码执行、凭证盗窃和权限提升。漏洞已在2026.6.6版本修复。建议更新、启用沙箱、移除exec工具、监控git克隆命令。

GPTSecurity周报总结了7篇AI安全领域前沿论文，涵盖LLM在自主物联网漏洞利用(VEXAIoT)、MCP服务器污点漏洞缓解(SPELLSMITH)、定向模糊测试种子合成(SeedSmith)、驱动自动生成(SynapseFlow)及多智能体防火墙等应用。核心发现是LLM驱动的安全自动化在攻击成功率(高达100%)和漏洞检出率上表现显著，但需注意后门攻击等新风险。可操作建议是关注这些工具的实际部署与防御策略。

ModHeaderv7.0.18版本被曝内置窃密SDK，影响超80万用户。恶意代码伪装成dayjs库，通过AES-GCM加密采集浏览域名并生成设备指纹，定时上传至伪装成斯坦福研究的境外服务器。当前版本窃取功能处于休眠状态，但攻击者可随时激活。建议立即卸载插件并删除本地残留文件，企业可依据IOC进行排查。

近期中央政治局会议和国务院常务会议将水网、新型电网、算力网、新一代通信网、城市地下管网、物流网这六张网纳入国家顶层部署，加强规划建设。该报道来自央视新闻，由内生安全联盟转载，属于政策新闻类内容，不涉及具体技术细节或可操作建议。

工信部等四部门联合印发指导意见，提出到2030年互联网基础资源高质量发展实现体系化突破，到2035年建成先进新型互联网基础设施。文件部署16项任务，涵盖基础理论创新、关键核心技术突破、IPv6及卫星互联网等新型设施建设、资源安全保障、应用服务提升、监督管理及国际合作，旨在赋能网络强国和数字中国建设。

本文是零基础SRC漏洞赏金入门指南与引流软文。核心提出五步法：掌握HTTP交互基础、熟练使用BurpSuite、通过DVWA靶场手动复现理解原理、从小厂商SRC开始实战、专注越权与密码重置等高收益逻辑漏洞。文章强调重思维轻工具，通过积累实战变现。文末以赠送攻防资料为噱头引流，技术深度较浅但具基础指引价值。

魔方安全将于2026年7月16日参加粤网安大会并焕新亮相，诚邀各界人士莅临交流。该活动旨在展示其安全解决方案与品牌形象，属于企业市场推广行为。

本文详细记录了HackMyVm靶场Type的渗透测试过程，包括信息收集、端口扫描、目录探测、域名绑定、使用cewl生成密码并通过Yakit爆破登录后台，利用WordPress配置文件获取密码切换用户，最终通过VNC图形界面结合xdotool工具实现提权至root。整个过程展示了从外网信息收集到内网权限提升的完整攻击链，提供了可操作的技术步骤。

Flowise3.0.13及更早版本存在高危认证绕过漏洞(CVE-2026-56271)，因企业版认证中间件使用硬编码默认JWT密钥且环境变量未配置时静默回退，攻击者可伪造管理员令牌获取平台最高权限。官方已在3.1.0版本修复，建议立即升级或配置自定义环境变量加固，并轮换敏感凭据。

本文介绍了微软Copilot中执行型AI助手Cowork的功能与计费。Cowork可直接在M365生态中执行发邮件、建会议及生成文档等操作，过程透明可控。使用需商业版许可及租户在Azure开通点数计费，实测单任务成本约12元且三万点数起购。文末含账号售卖引导，属推广软文。

本文介绍PPTCopilot工具，可将PDF和Word文档一键转换为PPT，自动排版配图，支持多种风格，节省时间。核心功能包括文档转换、品牌排版、AI配图等。操作简单，上传文档即可生成。建议用户使用微软原生Copilot提高效率。

本文介绍微软Copilot与Clipchamp集成的AI视频生成功能，用户输入一句话即可全自动生成视频，无需剪辑基础。该功能支持办公教程、企业培训、产品介绍等场景，操作简单，3分钟出片，素材和音乐商用免费，适配职场风格。

今日安全简讯涵盖六项关键事件：耐克数据泄露疑来自第三方服务商而非直接入侵；RedHook恶意软件新变种利用无线ADB获取Android设备shell权限；CISA紧急要求修复Joomla扩展iCagenda和BalbooaForms的高危文件上传漏洞；U-Boot引导加载程序六个严重漏洞影响大量嵌入式设备，可致验证启动机制失效；GitHubAPI遭幽灵账户大规模侦察，用于映射组织结构和成员；Zimbra经典Web客户端存在存储型XSS漏洞，建议立即升级至10.1.19版本。

东风街道领导冯东旭和段维峰近日深入新潮睿石信息技术有限公司党支部开展党建调研，实地走访办公区域并座谈交流，了解企业经营状况和党支部建设情况。领导肯定企业党建成绩，强调深化党建+业务融合模式，发挥党员先锋模范作用，并表示街道将主动服务企业，优化营商环境，助力高质量发展。

本文介绍00Query工具，用于红队和SRC漏洞挖掘中快速发现微信公众号和小程序资产。核心方法包括通过ICP备案查询小程序appid，以及使用00Query工具基于ICP备案号或企业名批量查询。工具还支持公众号跳转功能，用于发现嵌套的H5资产。该工具已开源在GitHub。

中国电信安全旗下网站安全专家产线宣布网站安全监测新一代引擎全面上线，该引擎旨在提升网站安全监测能力，为用户提供更高效的安全防护服务。

本文系统解析大模型提示注入与越狱攻击，指出间接注入与多模态越狱威胁严峻。核心结论是模型有用性与安全性存在根本张力。关键发现涵盖思维链劫持与自动化越狱等新趋势。建议企业在架构层构建多层护栏，将大模型视为不可信引擎，敏感操作须经确定性非模型验证层拦截，并结合红队测试持续加固防御。

本文为中国电信安全网关产品线发布的内部通讯第8期，内容为排版展示与推荐阅读链接，无实质技术内容或可操作建议。

本文深入剖析了2025年终端安全对抗中EDR规避的三大前沿技术：间接系统调用通过从ntdll.dll内合法地址执行syscall来绕过用户态hook；ETW绕过通过patchEtwEventWrite等函数使EDR无法接收关键事件；内核回调脱钩通过遍历并清零EDR注册的回调函数指针来隐藏进程创建等行为。文章指出攻击者已能在500ms内完成规避，防御方则向硬件虚拟化、行为分析和内存完整性扫描演进。建议防御者采用纵深防御策略，结合应用白名单、网络分段和最小权限原则。

本文为珠海某半导体企业的IT工程师招聘广告，月薪八千至一万二。岗位核心要求包括企业信息化建设、网络运维以及代码保密与数据防泄漏方案落地，需三年以上经验。文末附带招聘中介天唯科技的业务与资质简介，整体属于安全IT领域的典型招聘推广软文，对相关求职者有一定参考价值。

该漏洞是http.sys驱动中UlpParseNextRequest函数的整数溢出问题(CWE-190),导致内核池缓冲区溢出(CWE-122)。根因是16位加法无溢出检查,当capacity接近0xFFFF时加5会回绕,导致后续分配过小,引发溢出。补丁通过RtlUShortAdd函数添加溢出检查,并由KIR特性标志控制。攻击者可通过HTTP监听器远程触发,影响IIS、WinRM等服务。建议系统管理员确保KIR标志启用以防范此漏洞。

奇安信联合共建的‘可信决策人工智能技术北京市重点实验室’正式获批。该实验室聚焦解决大模型幻觉、数据投毒等AI安全痛点，旨在推动AI决策的可信可控。奇安信将提供网络安全底座与实战攻防检验机制，开放政企场景加速技术成果转化，以此深化其在人工智能与网络安全交叉领域的产学研协同布局。

阿根廷足协遭黑客入侵窃取数据，凸显大型赛事面临AI驱动的工业化网络攻击威胁。传统单点防护已失效，攻击者利用AI大幅提升欺骗性。建议主办方摒弃被动防护，构建集基础防御、智能运营与情报预警于一体的三位一体纵深防御体系，保障赛事数据与业务安全，实现零事故目标。

本文剖析ApachesuEXEC日志目录可写导致的SUID提权漏洞。当Web用户对日志目录具备写权限时，攻击者可利用符号链接劫持日志，结合suexec.c中vfprintf未过滤换行符的缺陷，以root权限向/etc/passwd等关键文件追加恶意内容完成提权。文章详解五种利用方式、攻击链标准化流程及Alpine环境实战复现，建议严格限制日志目录权限。

美亚柏科协助海关破获特大无人机走私案。团伙借线上线下及海外代理，篡改农用无人机芯片程序规避管控并走私。技术团队分三阶段攻坚：数据分析摸清脉络，全量检材鉴定厘清架构，芯片解码锁定篡改固件定罪证据。案涉170余架无人机、超1100万元，沉淀出可复制的标准化鉴定流程。