ZONE.CI 全球网

ProgressMarkLogicServer存在HTTP请求走私与缓存中毒漏洞CVE-2026-9190，影响11.3.6及12.0.3之前版本。该漏洞因解析不一致引发，允许远程攻击者绕过身份验证、劫持会话或窃取凭据。目前漏洞已有在野利用，危害评级为严重。建议用户尽快排查受影响版本并立即升级至官方最新版以消除风险。

MarkLogicServer存在严重认证绕过漏洞CVE-2026-9192，影响11.3.6与12.0.3前版本。攻击者可远程绕过密码验证，以任意已知用户权限执行查询，且已有在野利用。建议用户尽快排查并升级至官方最新版修复。

ProgressMarkLogicServer存在SAML身份验证绕过(CVE-2026-7557)和目录遍历(CVE-2026-9195)漏洞，影响11.3.6及12.0.3之前版本。攻击者可远程利用，已发现在野利用。官方已发布修复补丁，建议用户立即升级至最新版本以防范风险。

河南商丘网警查处一学校因未履行网络安全保护义务，其网络服务器开放高危端口并开启Telnet服务，缺乏安全防护与日志记录，导致人脸信息等敏感数据面临泄露风险。公安机关依据网络安全法对其行政处罚并责令整改。建议网络运营者关闭非必要端口、使用加密协议、加强日志管理与数据保护。

外媒称中国推动关基领域停用十余家美以网安软件，网信办同日审查派拓网络，标志安全产品自主可控加速。安全软件因深度访问网络具特殊性，监管有法理依据。海外厂商营收占比低冲击有限，国产头部厂商迎替代窗口。建议企业以官方渠道为准，评估供应链风险并理性规划替代方案。

AutoCVE是一个面向CVE挖掘场景的Multi-Agent自动化审计平台，实现从项目筛选、代码审计到报告生成的全流程无人工干预。在为期一周的测试中，该系统成功获取覆盖14个开源项目的30个CVE编号，最高CVSS评分达9.9。其核心通过调度Recon、Scan、Triage、Finding和Verification五个Agent协同工作，结合SAST工具与源码深度分析，完成从信息收集到动态PoC验证的闭环。系统支持交互式审计、可视化追踪及结构化漏洞报告一键导出，研究人员仅需设定目标数量并复制报告提交，

本文科普互联网明网、深网与暗网三层结构，指出普通人主要风险在于明网隐私暴露与深网密码泄露而非暗网。建议包括：各平台用独立强密码并开两步验证；社交平台少晒隐私；拒点陌生链接；用泄露查询网站自查；不碰暗网并装好安全软件，以此筑牢个人防线。

某主流硬件冷钱包因随机数生成算法存在系统性缺陷导致约5000个钱包被入侵，1755枚比特币即1.1亿美元被盗，打破冷存储绝对安全的神话。事件根源在于随机数不随机致使私钥空间缩小且可被针对性穷举。建议用户摒弃对冷存储标签的盲目迷信，购买前务必查验第三方审计报告，采取跨设备分散存储资产，并优先选择可验证的开源硬件钱包方案。

VulnFlanker是一个面向内部安全运营的漏洞影响评估与受控验证平台，整合漏洞情报、主机资产快照、资产匹配与风险优先级排序等自动化工作流。它支持从CISAKEV等源采集漏洞情报，通过Agent接收Linux主机快照，并利用AI大模型补充漏洞信息。平台提供React控制台管理资产与风险，支持Docker快速部署，旨在提升企业漏洞评估效率。

本文记录了一次艰难的渗透测试过程，从暴力破解弱口令开始，发现文件上传和SQL注入漏洞。通过堆叠注入结合文件读取功能实现任意文件读取，获取源码并审计出认证绕过等漏洞。最终利用ROOT权限的SQL执行功能，通过日志写入成功getshell。关键发现包括堆叠注入与文件读取的组合利用、ROOT权限的SQL执行功能、XML解析导致的绕过问题。可操作建议是注意堆叠注入与文件读取的组合利用，以及检查SQL执行功能的安全配置。

碳泽信息宣布成功中标许继集团安全自动测试平台项目，这是一项签约喜讯。文章提供了公司联系方式，包括电话、网址和邮箱，用于销售咨询和技术支持。

该文档为《证券期货业网络和信息安全管理办法》全文，旨在保障证券期货业网络和信息安全，保护投资者合法权益。办法明确了核心机构、经营机构及信息技术系统服务机构的安全责任，要求建立健全安全防护体系，落实等级保护，加强投资者个人信息保护，并建立应急处置机制。机构需确保信息系统安全运行，进行数据备份与压力测试，关键信息基础设施运营者需强化安全管理。

SKRoot通过直接Patch原厂内核二进制文件实现Root，无需源码编译，支持3.10至6.12内核，具备SELinux零触碰、无挂载、无痕迹特性，可绕过seccomp限制并从init进程注入，覆盖主流Android设备，但需解锁BL锁且曾装Magisk需彻底刷机。

文章指出AI并未导致零日漏洞数量暴增，但改变了漏洞生命周期形状，漏洞利用平均发生在补丁发布前7天（负7天）。攻击目标转向企业级产品，AI已能完成长链条攻击。防守方需从补丁完成率转向暴露窗口管理，并持续验证安全控制有效性，以应对时间压缩的威胁。

本周网络安全核心动态包括：PaloAlto在华产品启动审查，BMC漏洞致数万设备可被植入后门，AI儿童故事性别偏见显著，中断注入攻击绕过CPU防御，港口遭入侵及勒索软件首犯获刑等。建议企业加强供应链审查、固件更新、AI内容风控及硬件安全加固。

安天发布AShut隐私配置加固工具，覆盖Win11的92项隐私配置点，支持Win7。工具为单文件绿色版，离线运行，操作可逆，提供详细说明。用户可免费从安天垂直响应平台下载。

本文介绍了ApoorvCTF中一个Rust语言逆向挑战的实战过程。核心思路是通过动态调试和静态patch技术，修改程序关键判断条件（如check1和check2），绕过字符类型检测，使程序自动执行AES-128-CBC解密流程并输出flag。文章强调国外比赛侧重逆向流程分析与汇编能力，而非单纯编写解密脚本，并提供了通过交叉引用回溯定位关键代码的实用方法。

国家标准《数字化转型数字人才技术能力和培养要求》正式发布，将于2026年11月实施。该标准提出数字人才能力图谱，规定了数字素养、管理及技术应用要求，并建立人才成熟度模型。标准适用于企事业开展数字人才培养、评价与选拔，为能力提升提供权威依据，后续将推进宣贯落地。

第十九届全国大学生信息安全竞赛（作品赛）暨第三届长城杯网数智安全大赛决赛将于近期举行，该通知由官方发布，旨在告知入围队伍决赛相关安排，并提供了决赛队伍名单的附件下载方式。

该文档为山石网科发布的2026年7月网络安全新政策月报，以图文形式汇总当月网安领域重要政策法规动态，旨在帮助读者快速掌握政策要点与行业趋势，属于信息汇总类内容。

该文档为第十九届全国大学生信息安全竞赛决赛的开赛通知，发布于2026年8月7日。通知包含决赛队伍名单附件，但未提供具体技术内容或分析。核心信息为竞赛时间与参赛队伍确认。

《公安机关网络空间安全监督检查办法》自2026年10月1日起施行，规范公安机关对网络运营者等对象的网络安全、数据安全、信息安全监督检查。办法明确了检查对象、内容、方式（线上巡查、远程检测、现场检查）及程序，强调分级分类管理、避免重复检查，并规定了委托技术服务机构、记录存档、风险提示及法律责任等要求。

本周网安监管新规密集落地，网信办就大型个人信息保护规定征求意见，公安部监督检查办法十月施行。奇安信报告指上半年高危漏洞激增逾五成且利用加快，安天与天融信分别升级威胁检测模型及推出AI安全评估。建议企业抓紧落实合规，重点防范RCE等漏洞，布局AI安全治理。

武汉市网络安全协会发布通知，依据民政部新规规范分支机构组织架构及负责人称谓。分支机构统一设委员会，负责人改称主任委员、副主任委员等。对外活动需获授权，并要求全面自查整改。此举旨在落实管理要求，理顺运行秩序。

该文档为《公安机关网络空间安全监督检查办法》全文，自2026年10月1日起施行。办法明确了公安机关对网络运营者、数据处理者等对象的监督检查职责、方式、内容及程序，包括线上巡查、远程检测和现场检查，并规定了法律责任与协作机制。网络运营者需依法履行安全保护义务，配合检查。