ZONE.CI 全球网

奇安信CERT披露MariaDB认证远程代码执行漏洞(QVD-2026-48306),高危且PoC已公开。攻击者可通过低权限账号利用GRANTPROXY提权与内存释放缺陷组合,以SQL语句实现远程代码执行,控制服务器。影响版本为10.6.27至13.0.1,国内风险资产约1.7万个。建议升级或限制3306端口访问。

TP-Link修复了TL-WR940NV6路由器中的一个高危RCE漏洞CVE-2026-12935，CVSS评分8.7。该漏洞位于RTSP连接跟踪功能模块，由基于栈的缓冲区溢出引起。攻击者需诱使局域网内设备连接恶意RTSP服务器来利用，可能导致拒绝服务或远程代码执行。TP-Link已发布固件更新，建议用户及时安装以缓解风险。

本文预警RubyonRailsActiveStorage的远程代码执行漏洞CVE-2026-66066。因libvips处理HDF5文件未限制外部引用，攻击者可读取敏感文件获取密钥，伪造恶意载荷触发反序列化执行任意命令。建议立即升级至安全版本，设置VIPS\\_BLOCK\\_UNTRUSTED环境变量，并严格限制该格式文件上传。

MariaDB存在高危认证远程代码执行漏洞，攻击者利用低权限账号通过GRANTPROXY提权至DBA，结合存储过程内存释放缺陷触发释放后使用，可远程执行任意代码获取服务器控制权。影响版本包括13.0.1-rc及10.6.27至13.0.1。建议升级至稳定版本或限制3306端口访问、禁用高风险存储过程作为临时缓解。

SolarWindsWebHelpDesk存在高危SAML认证绕过漏洞(CVE-2026-28323),影响版本低于2026.2.1。攻击者需拥有低权限账户且目标未升级,可导致权限提升。核心修复建议是立即升级至2026.2.1或更高版本,升级前需备份数据。缓解措施包括限制管理控制台访问、清理低权限账户并加强审计告警。

本文详细记录了作者在客户电脑上排查并清除税务软件中隐藏木马的全过程。通过云沙箱分析发现恶意域名digitalsoft.etfapiao.com及释放的多个恶意文件。在尝试开启Windows审计日志时遇到中文系统参数错误和火绒安全软件干扰SACL设置等坑。最终放弃文本解析，采用结构化数据属性集合成功定位到释放hx.exe的父进程，并彻底清除。核心经验是使用结构化数据而非文本解析日志，并注意安全软件可能干扰系统审计。

ComfyUI高危漏洞CVE-2026-68771因不安全反序列化导致未授权RCE，评分9.8。绿盟Moby.AI称提前两月自主挖掘验证该0day。建议立即升级至v0.26.0以上，收敛公网暴露面，限制不可信数据提交，落实最小权限并排查日志，以防模型与资产泄露。

该文档为社交媒体平台上一则关于安全圈内人物或事件的娱乐性讨论帖，标题提及蓝色大肥鱼并引导评论区留言，发布于2026年8月4日，来源为喵星安全研究所。内容缺乏具体技术细节或可操作建议，属于行业八卦性质。

本文详细记录了一道CTF基础题的解题思路。题目页面仅含指向flag.php的链接，点击却返回404。作者通过BurpSuite抓包发现，在404响应的HTTP头部中隐藏了一段Base64编码字符串，解码即得flag。该案例的核心发现是flag可能藏匿于响应头中，建议在安全测试中遇到异常状态码时，务必使用抓包工具检查完整HTTP响应头，避免遗漏关键信息。

本文展示了一条PowerShell命令，用于从远程服务器下载并执行可执行文件，旨在绕过EDR检测。作者推广其公众号，分享红队攻防、渗透测试、免杀等实战技巧。文章强调仅供技术研究，严禁非法使用。核心要点是提供一种简单的远程下载执行方法，并引导读者关注获取更多技术内容。

本文汇总了8月4日披露的16个网络安全项目中标情况，涵盖安全运维、设备采购及等保测评等，百万级项目显著增加，最高达980万元。同时指出八月为网安上市企业半年报密集披露期，相关概念股呈连涨态势。文末作者分享了职场缓解内耗的心态调整建议，强调保持边界感。总体为行业资讯与职场感悟，无深层技术细节。

美国FCC正在起草新规，计划禁止进口中国新型号数据中心高速光模块，但草案尚未公开且可能调整。当前成熟产品如800G/1.6T不在禁止范围。中国厂商全球份额高，短期难以替代，但地缘博弈已延伸至光模块领域。企业需关注合规成本增加、市场多元化及供应链自主可控等应对策略。

作者赵武讲述自己因工作忙碌长期忽视家庭，认为来日方长，直到妻子确诊癌症才深刻意识到珍惜眼前人的重要性。文章通过个人经历反思人生意义，呼吁读者关注身边亲人，不要等到失去才后悔。语言真挚感人。

本文介绍一款功能全面的安卓云手机方案，覆盖环境模拟、通信模拟、系统运行、应用分身、图形媒体、网络连接、硬件安全及系统镜像等能力，支持安卓15-17及多种硬件平台。作者强调该方案专为安全逆向分析与自动化测试设计，明确禁止黑灰产用途，并提供个人版与企业版功能划分。课程提供完整代码，适合有真实需求的技术人员学习。

字节跳动安全中心开启火山引擎AI业务专测，涵盖火山方舟等十个AI平台，限时8月4日至13日。活动设双倍积分，沙盒逃逸、RCE等高危漏洞额外奖万元，中危奖千元。测试须合规无害，严禁未报备敏感操作与数据留存。明确不收模型越狱与提示词泄露，沙箱执行须证明逃逸或跨容器影响。

声纳计划由DARKNAVY于2026年8月4日启动，旨在通过deepsec平台为中国创新提供AI安全力量。该计划强调AI在安全领域的应用，但文档未提供具体技术细节或可操作建议。

该文档为2026年8月4日发布的政策板块日报，标题为跟党走，内容仅包含标题和元数据，无具体政策信息或技术分析，不具备可操作建议。

文章通过分析美敦力、安永、Xsolis、Upbound和MCBS五起近期数据泄露事件，揭示了当前数据安全的关键趋势：医疗健康行业仍是重灾区，第三方供应链风险持续扩大，攻击模式从传统勒索转向数据窃取加公开勒索，且数据泄露已直接造成企业经济损失。建议企业加强第三方访问控制、身份凭据管理及数据保护，以应对日益严峻的供应链攻击和经济安全风险。

浙商银行发布智能体基础软硬件采购招标公告，要求投标人具备近三年内相关软硬件应用案例并通过POC测试。项目采用电子招投标方式，投标截止日期为2026年8月20日。潜在投标人需在8月19日前通过浙商银行数智采购平台获取招标文件。

该文档为网络安全风险评估管理制度，内容被大量图片和文件下载链接覆盖，缺乏具体制度细节。文档主要提供了一系列网络安全相关文件（如管理办法、报告、标准等）的下载入口，并附有社群加入链接。核心要点是作为资源汇总，而非完整的制度文本，可操作性较低。

安恒信息发布AI代码审计智能体，定位为对标ClaudeMythos的中国方案，旨在解决企业低成本建立AI代码审计能力的痛点。文章通过直播问答形式，对比传统工具与人工审计，指出AI方案在误报率、效率及可操作性上的优势，并针对无安全团队、流程改造、数据安全等企业顾虑给出具体解决方案，提供SaaS和私有化两种部署模式。

京东科技以98万元中标北京银行大模型安全网关建设项目，该信息来自行业分享公众号，内容为项目中标公告，属于商业合作新闻。

Khan安全团队于2026年8月5日发布推文，标题为天才，内容涉及在小说阅读器中阅读本章并引导用户去阅读，但未提供具体技术分析或安全相关内容，整体信息量有限，缺乏可操作建议。

一份俄语初始访问经纪人(IAB)的技术报告揭示了其双重操作模式:一方面通过漏洞利用和横向移动入侵全球网络,将访问权限出售给勒索软件团伙变现;另一方面为俄罗斯针对乌克兰国防和航空航天目标的情报收集提供支持。该经纪人使用定制化工具包和持续扫描流程,已造成包括美国医疗机构在内的多起勒索事件。建议加强边缘设备防护和ActiveDirectory安全监控。

安恒信息与杭钢集团举行高层洽谈，双方计划深化传统业务并拓展新空间。安恒将发挥数字安全基础设施及数据工厂体系技术优势，结合杭钢算力资源，共同探索数据资源化商业闭环，助力浙江打造人工智能创新发展高地。此前双方已联合成立浙江省数据安全服务有限公司推进数字安全建设。