ZONE.CI 全球网

RailsActiveStorage框架存在严重漏洞CVE-2026-66066，可导致未经身份验证的攻击者读取任意文件并可能升级为远程代码执行。漏洞影响多个版本，建议升级libvips至8.13以上并轮换Rails主密钥及数据库凭证等敏感信息。安全厂商已发布防护规则，但PoC已公开，需尽快修复。

Coldcard硬件钱包固件缺陷意外关闭硬件随机数发生器，降级使用确定性软件随机数，致使助记词种子有效熵值骤降至40至72位。攻击者借此离线穷举破解私钥，累计窃取1367枚比特币约8860万美元。受影响设备涵盖特定固件版本的Mk2至Q系列，且仅升级固件无法修复旧弱种子。用户须立即升级固件并全新生成种子转移资产，行业建议采用多品牌多重签名及手动骰子熵规避底层算法风险。

日本于2026年7月31日正式设立国家情报局构建首相集权的双层情报体系打破战后分散制衡格局法案立法仓促且缺乏独立监督个人信息保护缺位引发在野党与民间强烈抗议该体制将中国列为重点对象并深度对接日美同盟加剧亚太对抗中方需在情报防范外交博弈舆论引导及区域合作等多维度制定系统性应对策略

本周电子取证领域聚焦AI伪造与深度伪造治理，包括衡山AI伪造仅退款判刑案及欧盟AI法扩大实施要求深度伪造标识。国内多地举办电子数据取证比武，强化跨境取证与证据标准统一。零日漏洞与供应链攻击频发，如CiscoFMC和Fastjson漏洞被在野利用。重大数据泄露事件包括OriginEnergy90万客户数据泄露。政策方面，国家网信办公安部发布小型个人信息处理者简化措施规定。硬件安全方面，COLDCARD钱包RNG漏洞致8800万美元比特币被盗。

国投智能联合多方宣布首批100台保安机器人入列，标志保安行业迈向人机协同新阶段。企业规划搭建标准、运营、安全三大平台，推出机器人即服务模式与元枢安防大脑，定下三年万台上岗目标，并发首款摄像智能耳机赋能一线，推动传统安保数智化转型。

美亚柏科发布2026年8月培训课程汇总，聚焦电子数据取证、AI与大数据分析领域。课程含职业技能认定、部委共建及自主特色实战培训三类，涵盖取证分析、AIGC应用及警务数据建模，为执法骨干提供体系化认证与进阶培训，助力数字法治建设。

SolarWinds修复了WebHelpDesk严重漏洞CVE-2026-28323（CVSS9.8），攻击者可借此绕过SAML2.0单点登录认证，未授权访问工单及内部敏感数据。该问题已在2026.2.1版本中修复，同版本还修复了拒绝服务及多项pgAdmin漏洞，并废弃Servlet认证。建议管理员立即升级，旧版需先升至2026.1再升级至2026.2.1，升级后务必测试SAML功能并审查异常登录日志，原使用Servlet认证的用户应迁移至安全的SSO方案。

该文档为政策板块日报，但正文内容缺失，仅包含标题、作者、时间及图片占位符，无实质政策信息或技术分析。

本文主要探讨全流量安全领域引入AI白名单机制的趋势，由斗象智能安全发布。由于正文内容均为图片，无法提取具体技术细节和结论。从标题推测，文章可能涉及利用人工智能技术优化全流量分析中的白名单策略，以提升安全防护效率与准确率，属于典型的安全行业产品或理念宣传。建议关注AI在流量安全领域的实际落地效果。

该文档为国家认证认可监督管理委员会发布的检验检测机构资质认定一单一库管理常见问题解答，核心要点包括：2026年6月1日起施行的一单一库政策明确了资质认定范围与能力项目库动态调整机制；未入库项目无需取得CMA资质但不得使用CMA标志；已废止标准若被现行标准引用或用于特定工作仍可入库使用；引入沙盒监管模式将先进团体标准纳入库中。建议机构及时通过管理平台申请标准入库并注意报告标注规范。

东莞证券发布AI创新建设一体化算力服务项目招标公告，预算384万元/年，服务期三年。项目旨在支撑公司AI业务规模化发展，采购完整算力服务。投标截止日期为2026年8月24日，需现场递交文件。符合条件的供应商应在8月7日前完成报名。

本文公示了中国农业再保险AI速赢点项目评标结果。2026年7月评标显示，浪潮软件以971万元中标第一，北明软件与零壹视界分列第二、第三。该文仅为行业采购信息分享，无具体技术实现与安全建设细节，缺乏深度分析与可操作建议，对安全从业者的技术参考价值极低。

7月网安招标呈现三大风向：从单次等保转向持续安全运营，数据安全因执法常态化成为必选项，合规要求下沉至区县级。政务重持续运营，医疗宜打包等保与密评，教育抓暑期窗口，企业防勒索损失。本文为安全公司营销软文，借数据分析与自测问题引导客户咨询。

本文档仅包含标题学计算机的、作者Khan安全团队、发布时间及地点等基本元数据，以及小说阅读器的跳转提示，缺乏实质性的技术内容、核心观点或可操作建议，无法提取有效信息。

美创科技发布企业数据库运维安全解决方案，通过备份、运维管控与动态脱敏三大产品，解决账号共享、信创合规、高危SQL拦截、敏感数据保护及业务连续性五大核心痛点。方案提供统一Web入口、国产化替代、智能风险识别、动态脱敏及快速备份恢复能力，旨在构建人员可信、访问可控、操作合规、数据安全的运维新范式。

本报告揭示中国AI治理重心从内容控制转向行为控制，智能体安全成核心关切。国内出台拟人化AI管理等法规并推进智能体强制标准，国际层面中美重启对话且中国积极塑造多边架构。技术研究聚焦智能体失控等风险，但企业安全披露透明度不足。建议企业加快布局智能体合规体系。

本文为网络安全资料打包下载的推广软文，以可信纵深防御参考架构为引，罗列了涵盖安全责任制、供应链安全、零信任、AI安全应用、威胁态势报告及多项国家标准的数十份文件。文章本身无实质技术分析或结论，主要目的是引导用户下载资料并加入社群，不具备直接的技术指导价值。

本文系统分析了俄罗斯科技安全制度建设的逻辑与困境。文章指出俄罗斯科技安全认知经历了从风险识别到安全化提升的演进，在2016年完成制度定型。制度构建集中在科研治理架构、进口替代和人才培养三个支柱，呈现框架先行、逐步填充的特征。然而在2022年全面制裁后，制度惯性被打破，进口替代成效有限、人才培养周期长等能力转化瓶颈凸显。文章揭示了认知完善与能力有限之间的张力。

火绒安全实验室发现黑产团伙通过仿冒开黑语音工具Oopz的钓鱼网站(oopz.live)针对游戏玩家发起攻击。攻击链以诱导用户执行恶意PowerShell命令开始,下载伪装MSI安装包,通过多阶段加载、白加黑技术及签名进程掩护,最终在内存中启动.NET远控木马(RAT),具备窃取浏览器登录态和加密货币钱包的能力。火绒安全产品已实现拦截,并建议用户认准官方渠道下载软件。

本文为字节跳动二零二七届校园招聘启动的宣发内容，由字节跳动技术团队发布，主要面向未来毕业生招募人才。文章以图片形式展示核心信息，缺乏具体岗位细节与技术描述，整体为单纯的招聘广告性质，不具备网络安全领域的专业技术价值或可操作建议。

安全研究员公开了一种利用MicrosoftCopilotforWord提示注入漏洞的新型攻击技术。攻击者将隐藏恶意指令嵌入文档，当Copilot处理该文档时，会执行指令篡改数据并将恶意指令复制到新文档，形成自我复制的AI蠕虫。该攻击利用LLM先处理后甄别的设计缺陷，威胁信息完整性，且难以修复。组织需关注AI辅助决策场景下的信息完整性风险。

中国软件评测中心发布人形机器人零售服务岗比赛规则，作为第二届世界人形机器人运动会承办方之一，赛迪研究院提供技术支撑。规则聚焦超市店员场景，涵盖标准制定、产品测试和备赛训练。下期将讲解餐饮制售岗规则。

该文档介绍了第二届世界人形机器人运动会中餐饮制售岗的比赛规则，由赛迪研究院提供技术支撑。核心要点是赛迪研究院在机器人技术研究、标准制定和检验检测方面的专业优势，为竞赛全流程提供保障。文档预告了后续将发布工业、应急和办公场景的赛项规则讲解，属于活动预告性质，缺乏具体技术细节或可操作建议。

本文为中国软件评测中心发布的第二届世界人形机器人运动会装配上料岗规则解读。赛迪研究院依托其在机器人标准制定与检验检测的专业优势，为赛项规则制定及产品测试验证提供全流程技术支撑。内容旨在帮助参赛团队掌握人机搭档场景的竞赛标准，并预告了后续工业、应急及办公场景的规则讲解，整体属于赛事技术标准宣发。

本周CNVD共收录531个漏洞，其中高危269个，0day占比87%，涉及Google、Microsoft、IBM等厂商产品，存在权限提升、缓冲区溢出等风险，建议用户及时更新补丁。