ZONE.CI 全球网

本文是一篇散文随笔，记录了作者在北京法源寺偶然阅读一块清代功德碑的感悟。碑文记载了僧人墨禅的生平及其在庚子事变后护持僧众、恢复地方秩序的事迹。作者认为古寺石碑是安静的地方记忆载体，能将宏大历史具象化为具体痕迹。文章表达了在旅行中通过不起眼的历史遗迹与百年前的人物产生跨越时空连接的珍视感。

文章以网信上海对携程因违法出境个人信息罚款1000万元为切入点，分析我国网络与数据治理进入更严格常态化执法阶段。指出数据出境合规成为企业核心问题，监管重点从制度建设转向具体执行。强调企业需掌握数据资产、明确数据流向并建立跨境审批机制。未来监管将覆盖更多平台型企业，数据安全需融入技术架构与业务流程。同时AI发展将推动数据监管升级，企业应重视数据分类分级与脱敏处理。

Wireshark基金会发布4.6.7版本紧急修复12项安全漏洞，涉及SSH、TLS及Wi-Fi等多协议解析器与抓包文件组件。漏洞类型包括空指针解引用、无限循环及内存越界等，攻击者可借助恶意构造的数据包或捕获文件触发程序崩溃与拒绝服务。官方指出此轮修复规模扩大与AI辅助漏洞挖掘有关。建议企业及安全团队立即升级至最新版本，避免在无限制环境下解析未知来源流量，并建立常态化软件更新机制以保障网络分析与取证工作的安全连续性。

Apache修复了Log4j中CVE-2026-49844漏洞，该漏洞允许攻击者通过特殊数值破坏JSON日志输出，影响log4j-api组件，CVSS评分6.3中危。攻击原理是MapMessage包含NaN或Infinity时布局写入无效JSON导致解析失败。影响版本2.13.1至2.25.4等，已在2.25.5和2.26.1修复。目前无公开PoC，EPSS评分低于1%。建议立即升级或过滤非有限浮点数。

本文披露了ApacheKafka4.0.0至4.0.x版本在OAUTHBEARER路径中的身份验证绕过漏洞。因客户端仅校验JWT生效时间而未强制校验过期时间，攻击者可利用获取的已过期令牌进行无限期重放，进而接管代理节点、窃取数据或破坏集群。目前官方暂无补丁，建议临时限制SASL监听器网络访问、轮换JWT签名密钥并强制客户端重新认证，待安全版本发布后应尽快升级修复。

CVE-2026-31694是一个Linux内核FUSE本地权限提升漏洞，允许低权限用户通过恶意FUSE服务端溢出页面缓存获取root权限。该漏洞影响使用4KiB内存页的近期内核版本，攻击代码已公开。建议立即安装内核补丁，并限制非必要环境中的FUSE使用以缓解风险。

CVE-2026-13753影响HPDeskjet2800系列打印机，因后端API未校验会话状态，未经身份验证的攻击者可通过直接GET请求获取Wi-FiDirect凭据、明文密码短语及SNMP配置等敏感数据。目前无公开PoC，HP未发布补丁，建议隔离打印机、禁用Wi-FiDirect并限制SNMP访问。

FreeBSD于2026年6月30日发布三份安全公告，修复了三个本地权限提升漏洞(CVE-2026-49418、CVE-2026-49419、CVE-2026-49415)。这些漏洞均允许无特权本地用户获取root权限，其中两个影响所有受支持版本，第三个影响15.0及以上版本。目前无临时缓解方案，唯一修复方法是立即升级系统并重启以加载修正后的内核。

CISA公告指出GardynIoTHub存在三个漏洞，最严重CVE-2026-13768（CVSS10）因硬编码凭据导致未认证远程代码执行，影响超13.8万台设备。攻击者可利用泄露密钥控制设备并横向渗透。补丁已部署，建议保持设备联网更新并置于防火墙后。

ApacheCamel修复了四个高危漏洞，包括三个标头注入漏洞（CVE-2026-55994、CVE-2026-55993、CVE-2026-46726）和一个Keycloak身份验证绕过漏洞（CVE-2026-53913）。标头注入可导致SSRF和机密泄露，Keycloak绕过可能引发RCE。受影响版本广泛，建议升级至4.21.0或应用临时缓解措施如移除Camel控制标头。

ApacheIoTDB2.0.8修复三个漏洞:严重路径遍历CVE-2026-24014(评分9.8)可致文件写入与代码执行,身份验证绕过CVE-2026-24013(评分9.1)泄露数据,拒绝服务CVE-2026-24012耗尽堆内存。影响1.3.3至2.0.8版本。建议立即升级并限制RPC端口访问。

decompressnpm包存在高危漏洞CVE-2026-53486，CVSS评分9.1，影响每周超280万次下载。攻击者利用硬链接和符号链接绕过目录检查，可写入任意文件甚至获取root权限。所有版本至4.2.1均受影响，原始项目无人维护。建议升级至分支的11.1.3版本，临时措施包括只解压信任压缩包并以非root用户运行。

HackerNews2026年7月12日摘要涵盖10条科技新闻，核心包括苹果起诉OpenAI窃取商业机密、AI治理路线图争议、Starlink计划发射10万颗卫星、超声无声语音读取技术、ClickHouse优化PgBouncer吞吐、Google搜索新指标、重元素化学键相对论效应、Iroh智能风扇IoT方案、女划手横渡太平洋及Otary图像库教程。新闻反映AI竞争加剧、太空资源争夺及技术伦理讨论。

本文探讨AI时代下DevSecOps的演进，指出AI在加速代码生成的同时带来新安全挑战，如对抗性提示和供应链漏洞。文章提出以智治智策略，通过AI辅助编码审查、智能扫描与自动修复，将安全左移至生成即审查。同时强调需关注AI系统自身安全，包括模型供应链风险和面向智能体的红队测试，为安全开发提供可操作路径。

暗网分析师报道称StansberryResearch（美国金融投资研究公司）数据在暗网泄露。该公司提供30多种付费订阅简报，涵盖股票、加密货币、贵金属等投资策略，年费从199美元到33000美元不等。泄露事件可能影响其订阅用户信息安全，建议相关用户关注并采取防护措施。

伊朗背景黑客组织Handala已打通网络窃密与线下袭击的双线链路。其利用隐蔽隧道窃取美以政军敏感数据，并借虚假招聘等社工手段招募人员实施实体暗杀。建议企业严控终端权限与非法外联，个人须警惕境外钓鱼招聘与隐私暴露，以防范虚实融合的新型国家级威胁。

本文剖析俄Gamaredon组织的套娃攻击链。其利用压缩包漏洞突破防线，将蠕虫隐匿于NTFS数据流，借伪装快捷方式感染U盘穿透隔离内网，结合Telegram动态更新C2实现窃密。建议政企升级解压软件，监控异常定时任务与ADS路径读取，严控涉密U盘使用以防泄密。

Lazarus组织在2024-2025年发动Synchole行动，利用水坑攻击和韩国本土软件CrossEX、InnorixAgent的0day漏洞，入侵韩国半导体、金融等企业，部署ThreatNeedle、SignBT等模块化间谍工具，实现潜伏窃密和内网横向渗透。建议企业立即升级相关软件补丁，排查异常进程和网络连接。

本文分析了CommonsCollections4.0的CC2反序列化利用链。核心发现是通过TransformingComparator与PriorityQueue的readObject构建调用链，并利用反射先占位后替换解决多次触发问题。同时探讨了结合TemplatesImpl动态加载恶意字节码的第二条利用链，为Java反序列化漏洞审计提供代码级参考与实操建议。

本文分享了使用AI辅助挖掘SRC漏洞的实战经验。作者将Claude与BurpSuite联动，对开源系统源码进行白盒审计，AI自主发现漏洞并生成SSRF等完整POC。结论指出AI白盒审计比黑盒测试更安全，建议先让AI自由发挥审计，再加载自定义skill二次分析，且生产环境慎用，应先在测试网站熟悉流程。

本文介绍了提示词工程基础，将编写提示词比作给无记忆的AI下属布置任务。文章结合理论梳理了提示词要素，并通过React登录页开发实例，详细拆解了角色设定、上下文、约束条件、风格及输出格式的实际应用价值，强调换位思考以消除模糊信息是写出高质量提示词的关键。

本文揭示AI扫描器可能被攻击者利用的安全风险。通过间接提示注入，攻击者在评论区埋藏恶意指令，使扫描器泄露内部敏感数据。另一种手法是利用SSRF和host头篡改，让扫描器访问内网服务并外传数据。文章强调工具反噬问题，提醒安全人员关注此类攻击面。

本文深入剖析了大模型提示词注入攻击的演进路径与防御策略。由于大模型无法严格区分指令与数据，攻击从初级的指令覆盖和角色扮演，演变为编码混淆、间接注入以及思维链劫持等高级形态。防御方面，文章提出构建涵盖输入净化过滤、指令与数据结构化分离、输出敏感信息检测的三层纵深防护体系，并结合模型安全对齐与对抗微调提升免疫力。建议企业开展威胁建模与红队演练，强化日志审计与实时监控，以应对智能体时代下愈发严峻的注入风险。

台湾威健实业股份有限公司发生数据泄露，攻击者在数据交易论坛出售其官网数据集，涉及客户联系人、支持工单及网站互动记录等敏感信息。泄露数据包含客户身份、联系方式、地址、工单处理详情及行为分析数据，对企业客户隐私构成严重威胁。建议相关企业立即排查系统安全，加强数据保护措施。

2026年5月28日暗网泄露两份FSB绝密文件，涉及信号情报与技术侦察操作流程及针对涉密人员侦察行动识别。文件真实性高，暴露FSB技术拦截能力与内部评估，对俄罗斯反间谍体系构成高价值情报损害，可能被乌克兰/西方利用进行针对性反制。