ZONE.CI 全球网

CERT/CC于2026年7月23日披露Logto身份认证平台存在六个漏洞，允许攻击者通过未验证邮箱劫持账户、绕过MFA及重放SAML断言。厂商SilverhandInc.未响应协调，目前无补丁。建议管理员避免本地账户与联合登录使用相同邮箱、停止使用socialSAML连接器、在上游IdP强制启用MFA并监控日志。

KnotResolver的DNS-over-QUIC模块存在无需认证的堆越界写入RCE漏洞。攻击者利用大小追踪错误覆写TLS对象函数指针实现代码执行，进而伪造下游DNS应答。目前PoC已公开。建议立即升级至6.4.1版本，或禁用DoQ、限制端口访问并监控进程崩溃，DoT与DoH不受影响。

安全公司any.run联合BCALtd、Northscan假扮招聘方，诱捕朝鲜Lazarus组织旗下FamousChollima的三名黑客入职虚拟DeFi公司。通过沙盒云桌面全程监控黑客操作，暴露其工具链、私人邮箱及攻击手法。黑客使用AI生成假证件、ChatGPT应付面试，目标为钱包私钥和企业内网。建议企业加强远程招聘活体核验、证件EXIF检查、限制非授权远控软件，并实施最低权限原则。

该漏洞为WindowsSMBv3内核级远程代码执行漏洞(CVE-2026-57089)，无需认证即可利用，影响广泛，具备蠕虫级传播潜力。建议立即安装补丁或采取封禁445端口等缓解措施。

DeepSeekHarness(dsh)是一个以一切皆插件为核心理念的AIAgent框架,基于Cordis实现可逆注册的插件系统。其关键设计包括seam能力接缝实现组件解耦、以事件溯源为基础的会话日志系统,以及通过预设配置实现不同运行模式(标准、PTC、极简、创造)。该框架适合构建需要长期维护的复杂Agent系统,但当前仍为开发者预览版,不适合快速搭建单任务助手。

本文科普了五种后量子密码(PQC)算法:ML-KEM(密钥封装)、ML-DSA(数字签名)、SLH-DSA(无状态哈希签名)、FALCON(格基签名)及中国设计的Aigis-enc。这些算法由NIST标准化或正在标准化中,旨在抵抗量子计算机攻击,是未来密码学迁移的关键技术。建议关注其标准化进展并提前规划系统迁移。

乌克兰CERT-UA预警APT44通过虚假招聘对IT人员发起定向攻击。攻击者伪造企业账号进行仿真面试，诱导受害者下载基于WireGuard改造的恶意VPN客户端。该后门利用自定义Base64编码与AES加密隐藏载荷，在权限降级前执行恶意代码实现跨平台持久化。建议求职者严格核验企业资质，拒装不明VPN，企业需加强终端入网管控。

伯明翰大学研究发现恶意SIM卡可通过标准AT命令中的RUNAT功能控制物联网设备,26台设备中9台受影响,涉及充电桩、工业路由器等。攻击利用蜂窝模块标准接口,厂商默认开启该功能导致风险扩大。建议立即盘点资产、向供应商确认补丁状态、加强物理防护。

DeepSeekV4-Pro与V4-Flash于2026年8月17日起调价，引入峰谷分时计费机制。高峰时段输出价格涨幅达350%，缓存命中价格涨幅最高达1100%。建议用户利用空闲时段（价格50%）调用以控制成本。尽管大幅涨价，其高峰价格仍低于海外竞品ClaudeFable5约57倍，具备成本竞争力。

本文揭露美西方对华认知战中的公关雇佣军西区战略团队WEST,其核心团队由前情报特工与政客组成,通过索罗斯政治黑金运作,实施双轨战略:一方面武器化人权议题炮制反华叙事,另一方面为经济绞杀战提供理论掩护,并拆解其认知战战术如创伤知情与验证者培育,揭示其作为霸权主义政治打手的真实面目。

CyberStrikeAI项目9个月获5.8kStars和1200+部署，新版对话页从会话中心升级为项目化安全作业台，支持先选项目再开任务、任务清单进度跟踪、模型切换、人工审批等关键变化，旨在支撑真实部署中的持续安全作业与协作审计。

DeepSeekAI开源智能体框架DeepSeekHarness，核心理念为一切皆插件，基于Cordis系统实现高可组合性与扩展性。框架具备全程可追溯日志，支持Standard、Code、Minimal与Creator四种模式及开箱即用的WebUI，可通过npx命令快速启动。项目处于预览阶段，采用MIT协议。本文为技术资讯转载并含安全社区推广。

本文介绍了两个渗透测试常用技能:CK-Skills是一套面向SRC漏洞挖掘的Agent提示词工程与技能知识体系,通过四层架构让通用Agent在垂直安全领域达到专家级表现;JS逆向分析Skill则围绕camoufox-reverseMCP构建工作流,覆盖JS混淆还原、Cookie归因分析、反爬决策等场景。两个工具均提供GitHub链接供用户安装使用。

DeepTutor是港大开源的终身个性化辅导系统，核心创新为三层记忆体系，能记住用户学习进度。它提供知识中心、引导式学习、多AI代理支持、活书编译器和题库系统。开源免费，可部署使用，旨在解决教育个性化不足问题。

盛邦安全漏洞扫描评估系统凭借10万+资产指纹库与66万+漏洞特征库，在香港特区政务场景中从多家国际厂商中脱颖而出。产品具备复杂异构资产透视、AI智能降噪、0day快速应急等能力，已落地香港政务安全检测与风险管理体系。该案例验证了其技术实力，并为其拓展国际市场提供了权威背书。

本文深入分析SkidMapRootkit挖矿窃密活动，揭示其通过Redis未授权漏洞入侵，利用mldconfig和review核心样本释放多种恶意组件，包括替换系统命令、劫持PAM认证、加载Rootkit实现持久化，并窃取SSH密码进行挖矿。攻击链涉及20多个样本，具备高度隐蔽性和清除难度。建议加强Redis安全配置并监控异常系统行为。

CVE-2026-55040是MicrosoftSharePointJWT令牌验证链中的认证绕过漏洞，由四个校验缺陷组合导致：外层令牌未强制签名、内层令牌仅解析证书指纹未验证签名、未注册证书路径被接受、签名仅检查非空。远程未认证攻击者可利用此链冒充用户或管理员，导致文件披露和数据修改。公开PoC后风险迅速升级，管理员应立即安装2026年7月安全更新、缩小互联网暴露面并审计异常身份操作。

CheckPointResearch追踪的Lazarus组织OperationDreamJob行动最新变体，针对全球国防行业，利用零日漏洞CVE-2026-68820和CVE-2025-49113，通过DLL侧加载和木马化PDF查看器分发恶意软件，部署FudModulerootkit和Troy后门。关键发现包括漏洞已修复但攻击仍在持续，建议及时打补丁并加强钓鱼防护。

美国白宫发布总统备忘录，授权国土安全部建立新项目，允许私营企业在政府监督下对境外网络犯罪组织实施进攻性网络行动。项目由司法部和国土安全部双重监督，企业需通过背景审查并缴纳100万美元保证金。行动禁止造成人员伤亡或武装冲突，误伤美国系统需立即上报。该政策旨在利用私营企业技术能力打击跨国网络犯罪。

本文披露名为NullReceiver的npm供应链攻击。攻击者通过仿冒前端UI包，在运行时查询以太坊钱包的零金额空转账，将收款地址解码为C2的IP。该方法无需智能合约，以收款地址作一次性编码容器，极难指纹识别。建议审查依赖锁文件，监控Node进程异常访问以太坊RPC行为，失陷后须隔离主机并轮换凭据重建环境。

本文为辽宁省教育系统网络安全保障专业人员ECSP-G培训的开班通知，旨在提升教育行业网络安全人员的专业技能。由于缺乏具体培训内容、时间安排和报名方式等实质细节，信息价值有限，仅能作为一项培训活动的预告。

该文档为教育系统网络安全保障专业人员培训（ECSP-M/D/AISEC）在辽宁地区的开班信息通知，发布于2026年8月14日。内容主要涉及培训开班安排，属于安全培训类信息，未提供具体技术细节或可操作建议。

该通知由中国计算机行业协会网络和数据安全专业委员会发布，旨在举办人工智能安全工程师（高级）培训班。培训目的是提升AI安全技能，涵盖机器学习、模型安全、大模型安全等。培训对象为相关从业人员及学生，报名需满足学历或工作经验条件。费用为9900元，考核合格后颁发双证书。可操作建议是联系指定方式报名。

安全牛发布《AI+网络安全全景图（2026版）》，梆梆安全连续十三次入选，覆盖11大类30项细分领域。其在AI安全方向布局，推出移动软件研判AI智能体系统等产品，形成AI能力矩阵。同时深耕移动安全、数据安全等传统领域，构建覆盖移动互联网全场景的防御体系。

上海市数字技术专业职称评审申报提示由赛博研究院发布，申报方向包括大数据、区块链和数据安全，截止日期为2026年8月17日。赛博研究院是上海市级智库，提供战略咨询与技术支持，并承担多项数据安全相关职能。建议符合条件的从业者尽快提交申报。