ZONE.CI 全球网

本文汇总了HackerNews在2026年8月13日的10条技术新闻。核心内容包括：Tailscale团队追查并修复了一个潜伏16年的SQLiteWAL重置竞态漏洞，并开源了调试工具；Qwen发布2.4万亿参数MoE模型，但部署门槛高；Grok4.6发布，主打长上下文代理任务；文章探讨AI可能放大软件工程中的设计债；攻击者伪装成AI爬虫进行大规模漏洞扫描；从信息论角度解释压缩与预测的关系；Chrome对小尺寸JPEG的解码优化导致显示差异；2026年日食网络摄像头地图上线；DeepSeekV4Pro081

本文介绍了Pythagorea游戏第24.5关定弦定角作圆的格点解法。核心原理是尺规作图中先找弦中点作垂径，再作特定角度确定圆心。格点作图时利用弦斜率2/3和垂径斜率-3/2，通过画两个交叉定位圆心，并标注圆上格点。作者还提到可用正方形对角线找45度角替代圆周角定理。

CVE-2026-26119是WindowsAdminCenter的认证缺陷漏洞，允许已认证的低权限用户通过网络提升权限，影响WinREST的PowerShellinvokeCommand接口。该漏洞CVSS评分8.8，PoC已公开，补丁于2026年2月发布。建议立即升级版本并收紧低权限账号对管理入口的访问。

本周国际网安资讯聚焦AI攻防加剧、供应链漏洞及勒索软件威胁。核心发现包括VMwarevCenter、SonicWall、Zoom、Docker等关键组件漏洞被利用，AI代理面临Ghostjacking攻击，勒索软件利用区块链规避执法。建议立即修补已知高危漏洞，审查AI工具供应链，强化AI代理安全与钓鱼防御，并关注监管动态以应对新型威胁。

奥地利军方发布紧急反间谍通报，列出21名疑似俄罗斯特工名单（关联GRU、SVR、FSB），要求全军排查接触史以评估渗透深度、烧毁特工网络并切断数字招募链。此举标志着奥地利从容忍情报活动转向强硬反制，反映俄罗斯在欧洲的情报渗透升级，预示后续驱逐行动。

本文指出企业安全检查的核心已从应付迎检转向验证真实管理能力。检查的’三板斧’（翻资料、查现场、问人员）分别对应制度闭环、措施落地和人员意识。企业不应将精力用于临时遮掩问题，而应利用这三点自我审视，建立真正的安全管理体系。只有日常管理到位，才能从根本上降低事故风险。

Anthropic发布Claude文本水印技术，基于SynthID-Text方法在生成时嵌入统计水印，用于检测Claude参与文本生成的可能性。水印不影响质量、速度，不增加成本，不携带个人信息。检测提供概率信号，不能直接认定作者或责任。企业应结合日志、人工审核等综合判断，避免将水印检测包装成AI写作鉴定器。

本文揭露哈萨克斯坦组织Qaharman实为欧洲游说机构ODF的代理，其利用OSINT收集情报，将破坏中资企业的反华暴徒洗白为良心犯，通过欧洲议会施压瘫痪哈国执法。建议中资企业建立对冲机制，固化犯罪证据破除叙事陷阱，并在国际舆论场揭露其黑色资金背景，以维护海外资产安全。

本文介绍一款基于FastAPI的AI安全教学靶场，涵盖提示词注入、RAG泄露、工具越权、敏感信息泄露与数据投毒五大漏洞场景。系统提供脆弱与防御双模式，默认Mock引擎无需APIKey，支持多轮攻击检测与链路追踪。项目结构清晰，适合安全人员本地部署进行AI漏洞分析与防御实践。

WordPress6.9-7.0.1核心存在两个漏洞组合：CVE-2026-63030路由混淆和CVE-2026-60137SQL注入。攻击者无需登录即可通过batchAPI发送请求，利用数组错位将未净化的字符串传入wp\\_query，导致SQL注入，可读取管理员密码hash等敏感数据。补丁修复了类型检查和数组对齐问题。

WordPressCore在2026年7月修复了两个高危漏洞CVE-2026-60137（SQL注入）和CVE-2026-63030（RESTAPI路由混淆），两者可组合形成攻击链，在特定条件下实现远程代码执行。影响版本包括6.8.x至7.0.x，官方已在6.8.6、6.9.5和7.0.2中修复。建议网站管理员立即更新核心、主题和插件，并加强日志监控与访问控制。

本文详细介绍了AndroidAPP抓包、Magisk面具安装及证书root的完整流程。内容涵盖Android各版本抓包区别、MoveCertificate模块安装、证书生成与导入方法，以及模拟器和真机的操作步骤。文章还推广了SRC漏洞挖掘培训课程，强调移动安全测试在渗透测试中的重要性。

本文介绍了一款名为黄油曲奇的浏览器渗透测试插件，基于Chrome/Edge扩展架构开发，集成了信息收集、XSS测试、SQL注入检测、云存储安全扫描、端点发现等八项核心功能。该工具采用ManifestV3规范，支持多种云厂商安全检测，并提供Shodan集成和辅助工具。文章末尾包含广告推广，降低了技术分享的纯粹性。

WordPresswp2shell攻击链由CVE-2026-63030和CVE-2026-60137串联构成，影响6.9.0-6.9.4、7.0.0-7.0.1及7.1beta1版本，默认配置下无需认证即可实现远程代码执行。攻击通过RESTAPIbatch/v1路由混淆和WP\\_QuerySQL注入完成，已有野外利用和公开PoC。建议立即升级至6.9.5/7.0.2/7.1beta2，并检查日志和数据库IOC。

本文以六边形攻防靶场sql1_POST为例，讲解POST注入、SQL注入getshell及sqlmap自动化工具。核心要点包括：POST注入参数在请求体中，需用curl或Burp等工具提交；getshell依赖FILE权限、secure_file_priv放行及Web路径可写等条件，可通过load_file读文件、INTOOUTFILE写马实现；sqlmap支持六种注入技巧（BEUSTQ），常用参数如–data、-r、–technique等。可操作建议：优先使用sqlmap的–data参数进行POST注入

CVE-2026-49952是Discuz!X5.0中一个严重认证绕过漏洞(CVSS9.1)，根因是UC_KEY与全局authkey共享同一密钥，导致密码学隔离失效。攻击者可通过登录接口将logging_ctl::logging\\_more()作为加密预言机获取合法令牌，绕过dbbak.php授权校验，再串联竞态条件和LFI实现无需认证的远程代码执行。该漏洞影响20260320至20260501版本，建议立即参考官方修复提交进行升级。

CVE-2026-48282是AdobeColdFusionRDSFILEIO处理器中的路径穿越漏洞，CVSS评分10.0。攻击者通过特制HTTP请求可绕过目录限制实现任意文件读写，进而远程执行代码。影响ColdFusion2025和2023多个版本。建议立即安装安全补丁，禁用生产环境RDS服务，并通过IP白名单和VPN加强访问控制。

HolmesGPT是一个开源的SREAgent，用于调查生产事故并辅助定位根因。它通过连接Kubernetes、Prometheus、日志系统等数据源，将告警、日志、指标和变更信息整合到一次调查中，帮助运维人员快速获取证据和排查线索。文章强调先让工具以只读方式收集证据，再人工验证，避免直接依赖AI结论。建议从非核心集群开始试点，逐步扩展数据源，确保安全边界。

本文深度解析单目、双目、结构光、TOF四种视觉相机技术原理与优劣。单目成本低但无原生深度；双目物理测距可靠但依赖纹理；结构光室内高精度但怕阳光；TOF响应快但分辨率低。选型需根据场景：语义识别用单目+BEV，户外纯视觉用双目，室内精密用结构光，低成本避障用TOF。多传感器融合是趋势。

本文详细披露了企业OA系统审批流中状态参数可被前端篡改的漏洞。作者通过实战案例，演示了将请假申请状态从pending改为approved绕过审批，并进一步测试报销、采购等场景均成功。文章总结了四种典型绕过形态，提供了系统化的挖掘方法，并给出了服务端强制状态机、严格鉴权等防御方案。核心结论是审批流状态必须由服务端控制，不能信任客户端传入的参数。

本文发布Ruby4.0.6通用RCE反序列化链，单次Marshal.load即可执行命令，向下兼容至3.3版本。该链利用RubyGems标准库新发现与旧gadget组合，通过Gem::SpecFetcher触发autoload，结合Time对象异常捕获机制绕过网络请求失败影响，最终实现文件下载与eval执行，无需额外依赖。

本文介绍如何通过Skills、MCP和Agent构建自动化漏洞挖掘流水线，强调授权明确、范围可控和可审计性。核心是将高级工程师的方法论沉淀为可复用Skill，通过MCP连接安全工具，由Agent执行资产归一化、漏洞去重、PoC匹配和分级验证。文章提出六步法：授权范围校验、数据接入、告警关联、PoC匹配、分级验证与证据固化、图谱报告输出。关键建议包括结构化PoC为YAML、坚持最小权限原则、以及生成可交互攻击面图谱以回溯证据。

本文详细介绍了利用GhostLock漏洞(CVE-2026-43499)在Android17上实现全球首个公开root的过程。通过回收栈内存、利用boot_id泄露KASLR地址、劫持ashmem文件操作以及使用pipe_buffer升级读写原语，最终修改cred结构体并绕过SELinux和seccomp，成功获取root权限。该研究展示了在启用CFI和KASLR的现代Android设备上实现提权的复杂技术路径。

该文档标题为腾讯PhysicalAIAgent人形机器人平台的具身智能安全威胁建模，但实际内容为公众号文章推广，包含技术交流群加入方式、会员申请及多篇相关文章链接，缺乏具体技术细节与安全分析。

本文是智能网联汽车电子电气架构研讨会的商业推广，概述了中央计算升级、舱驾融合、SOA落地及双合规体系建设等议题。文档指出行业缺乏统一标准导致架构改造与出海合规受阻，旨在通过研讨输出标准化方案。建议车企研发人员按需关注行业趋势，但本文无实质性技术细节。