ZONE.CI 全球网

本文披露一起虚假博彩诈骗案。受害者被短视频引流下载涉诈App，骗子通过小额充值返利建立信任，随后以操作失误为由诱导其线下交三点九万元现金。警方通过预警及上门劝阻成功拦截。建议公众警惕网络博彩推荐，拒绝线下交现金，遇异常提现要求应立即报警。

中国农业银行河北省分行启动智能外呼服务项目招标，预算456.48万元，服务期2年，需100路机器人座席。项目涵盖个人新开账户回访、ETC垫款催收等四个业务品种，要求投标人具备基础电信业务经营许可证。潜在投标人需在2026年7月21日前通过农银E采平台领取招标文件，8月4日前递交投标文件。

青岛银行人脸识别系统应用创新及优化项目完成直接采购，由重庆中科云从科技有限公司以152.59万元含税金额中标。该项目于2026年6月发布公告，7月完成评审。此信息反映了银行业在生物识别与AI安全建设方面的持续投入，对了解金融机构人脸识别系统供应商动态具有基础参考价值，但无具体技术细节。

国家网络身份认证公共服务通过网号和网证实现数字与现实身份安全映射，在不泄露原始信息前提下提供匿名认证。该服务已覆盖四百余个场景，下载超九千万次，提供高安全、便捷及扫码三种模式。此举有效降低个人信息泄露风险，为打击电诈与黑灰产提供治理工具，实现网络身份治理的制度创新。

本文详细介绍了Oracle数据库SQL注入的注意事项与排序注入实战技巧。核心要点包括：Oracle对字段数据类型敏感，注入时需匹配字符或整型；通过orderby判断列数后，unionselect需使用对应类型数据。排序注入中，可控参数为desc/asc位置，可利用exp()报错或DBMS_PIPE.RECEIVE_MESSAGE延时盲注。作者分享了踩坑经历：误判为MySQL导致绕过失败，最终通过注释方式（#不可用而–可用）正确识别Oracle数据库，并成功利用Oracle特有函数实现注入。建议在Oracl

该文档仅为Khan安全团队发布的一篇标题为流水线坏了的占位或引流页面，正文无实质技术内容，仅包含引导至小说阅读器的链接。

WordPress曝出RESTAPI路由混淆(CVE-2026-63030)与SQL注入(CVE-2026-60137)漏洞链，攻击者无需认证即可通过未授权SQL注入获取管理员密码哈希，进而破解密码并利用插件安装功能实现远程代码执行。影响WordPress7.0.0-7.0.2、6.9.0-6.9.5及6.8.0-6.8.6版本。官方已发布安全版本，建议用户立即升级至7.0.2、6.9.5或6.8.6及以上版本。360产品已支持检测。

本文汇总了2026年7月18日多篇网络安全技术文章，涵盖免杀工具Heavenly更新、GateIn内核级C2模型、ClickFix攻击链利用Cloudflare掩护、WordPressBricksforge未授权提权漏洞、Nginx堆缓冲区溢出漏洞、WindowsLegacyHive零日漏洞等，并包含安全事件周报和CSRF绕过技术。

本文汇总近期AI与科技动态。核心包括马斯克称Grok4.6两万亿参数模型下周完成训练；OpenRouter获收购意向估值超十三亿美元；月之暗面Kimi筹备赴港上市；TikTok测试AI肖像检测打击深度伪造；Spotify去年清理七千五百万首AI垃圾音乐。此外涵盖英伟达N1X芯片跑分、腾讯WorkBuddy多端上线、商汤八K图像模型及网易有道与Soul的AI硬件等资讯。

文档介绍通过CDP注入为Codex桌面端定制背景和主题，无需修改官方安装包，支持Windows和Mac系统。包含下载、安装步骤、脚本使用方法及自定义背景图片更换方式。提供项目下载链接和关注公众号获取安装包提示。

锦岳智慧在2026世界人工智能大会上获评人工智能安全漏洞治理联盟首批成员单位。该联盟由国家信息安全漏洞库牵头，旨在构建漏洞发现、通报共享、协同处置、风险预警的综合治理体系。锦岳智慧将依托威胁检测、漏洞挖掘等技术优势，参与应急响应与标准共建，助力提升AI安全韧性。

2026世界人工智能大会智能社会论坛于7月18日在上海举办，主题为迈向人机共生的智能社会。论坛由同济大学与杨浦区政府联合主办，聚焦人工智能治理、伦理及社会应用。会上揭牌了人工智能科技伦理审查与服务基地，发布了多项研究成果，包括智能社会治理丛书和数字法院建设报告。论坛强调以协同治理应对安全与伦理挑战，推动人机共生社会构建。

奇安信CERT披露WordPressRESTAPI批处理路由混淆与SQL注入组合漏洞CVE-2026-63030，无需认证即可远程代码执行，影响WordPress6.8至7.1版本，PoC已公开，建议升级至最新版本或禁用未认证RESTAPI访问。

本文系统梳理AI模型供应链安全与模型水印领域的核心理论、攻击方法、防御技术及评估体系。重点分析了模型文件格式安全风险，特别是Pickle序列化的任意代码执行漏洞，并对比了SafeTensors等安全格式。文章还涵盖了模型水印技术、知识产权保护及完整性验证方法，为AI安全从业者提供了全面的参考框架。

本文介绍BurpAPIFinder这一BurpSuite插件，用于在攻防演练中自动发现未授权接口、敏感信息泄露等。文章通过一个高校人脸采集系统的实战案例，演示了如何通过fuzz操作将登录接口改为注册接口，实现任意用户注册并登录系统。该工具可提取URL、解析JS文件、支持自定义敏感关键词和主动探测，是安全评估的实用辅助工具。

SmartPerfettov1.0.28版本在2026年5月17日至6月4日期间进行了重要更新，核心是从AI助手转向可复用的Trace分析平台。新增Smart模式、选区快问和CLI采集入口，共用分析核心。证据规则从启动和滑动扩展到Power、ANR、Input、IO、Network等更多场景，确保报告结论有据可查。同时引入Claude、OpenAI、PiAgentCore和OpenCode四条Agentruntime，共用输出规则，增强了分析的可靠性和可验证性。

该文档介绍了一款基于JavaSwing的未授权访问探测工具，支持39+常见服务如Redis、MongoDB、Elasticsearch等的批量扫描，具备SOCKS5代理、指纹识别和CSV导出功能。工具适用于安全测试人员快速检测未授权漏洞，运行环境需JDK8及以上。用户可通过GitHub获取并按照使用说明操作。

WordPress核心漏洞CVE-2026-63030和CVE-2026-60137组合可实现预认证远程代码执行。攻击链利用RESTAPI路由混淆和SQL注入，无需凭据即可创建管理员并上传webshell。影响6.9.0-6.9.4和7.0.0-7.0.1版本。建议立即升级至6.9.5或7.0.2，并临时拦截batch/v1端点。

本文复盘了CVE-2026-63030漏洞的AI自动化监测过程，系统从多源采集、AI分析到资产扫描全链路自动化，无需人工介入。文章质疑行业抢首发复现的惯性，认为人的精力应转向业务场景判断和深度分析，而非重复劳动。建议行业转向自动化加深度判断的工作模式。

本文详细介绍了腾达P3+PA3母子电力猫的配置步骤，包括初始配对、连接设置及避坑指南。核心要点是确保主猫与子猫在同一电闸下，通过手机浏览器访问plc.tendawifi.com进行配置，避免使用防雷排插。作者强调无需安装APP或注册账号，仅需手机浏览器即可完成设置，适合老年人使用。

越南go2joy酒店预订平台发生数据泄露，涉及近140万客户记录和1.3万员工信息，包括密码哈希、联系方式、地址、预订历史等。该平台是越南最大按小时预订酒店平台，累计下载220万。泄露数据已在暗网公开，建议用户修改密码并警惕钓鱼攻击。

WordPress6.8.0至7.0.1版本存在组合漏洞(CVE-2026-63030和CVE-2026-60137)，攻击者可通过未授权访问RESTAPI的批量请求端点实现SQL注入，获取管理员密码哈希后利用插件安装功能执行任意代码。文章提供了漏洞复现步骤、POC链接及修复建议，包括升级至7.0.2版本、安装安全插件或通过WAF阻断相关请求路径。

波士顿网络间谍案被告被曝曾先后任职俄联邦安全局与卡巴斯基，后加入持情报许可的IT公司参与国家级黑客行动。此案揭示网安与情报界普遍存在的旋转门现象，凸显杀毒软件因高系统权限带来的特殊风险。尽管卡巴斯基否认关联，事件仍加剧其信任危机，提示企业需严格审视安全供应商背景。

本文解读了名为TESLA的触屏电磁侧信道攻击，该攻击通过近距离电磁探头捕捉电容屏固定扫描电极时泄露的信号，利用时间与空间映射关系及机器学习还原PIN码与键盘输入。实验表明近距离下单字符识别率极高，但受距离衰减明显且依赖同型号设备提前画像。文章客观指出了原论文评估方法的局限性。防御建议包括高风险输入采用随机键盘布局、硬件层面动态打乱电极扫描顺序以及加强电磁屏蔽，普通用户无需恐慌但需警惕高敏感场景下的物理环境安全。

本文反思并重构了LLM代码审计方法论，批判了以模型或技术组件堆叠为中心的旧路线，主张转向以安全声明和证据为中心的新范式。核心结论是平台目标应为在明确边界内以可接受成本增加可验证的风险发现。文章提出将漏洞发现定义为可证伪声明，建立E0至E5的证据阶梯与证据账本替代传统聊天记录。建议首个落地场景选为SAST告警分诊，并强调需通过四类互补数据集与增量消融实验进行严格评测，以克服行业普遍存在的幸存者偏差与指标失真问题。