ZONE.CI 全球网

本文分析JEECG4.0及之前版本的远程代码执行漏洞，攻击者可通过/api路径遍历绕过鉴权，结合fastjson1.2.31的JNDI注入实现RCE。文章详述了环境搭建、漏洞原理、利用流程及POC，并总结了alwaysUseFullPath绕过鉴权与fastjson漏洞的实战经验。

本周暗网数据泄露情报周报显示，共采集416条帖子，纳入313条泄露事件，涉及30余国政府、金融、能源、军工等领域。高体量样本包括PeopleDataLabs416M、1win96.5M用户等。具体事件涵盖e-topplus.kr2800万行、日本260万公民数据库、法国Axa800万条等。建议相关机构加强数据安全防护，关注暗网泄露动态。

中新赛克推出AI治理网关产品，针对企业AI规模化应用中的行为失控、成本失焦、数据失守、合规失效四大痛点，提供管人、管Agent、管风险、管钱四类治理能力，实现AI调用的可归属、可观测、可治理。产品支持统一接入、权限管控、敏感数据防护、Token成本核算等功能，宣称可降低30%-60%成本，并满足等保合规要求。

该周报汇总暗网数据泄露与勒索攻击威胁，披露丹麦、日本等多起重大泄露事件，分析OTRS等漏洞及攻击IP情报，建议加强数据防护与漏洞修复。

BTC现货和合约分析，包括持仓策略、突破确认条件、失效边界和判断依据，以及ETF转入和资金费率等细节。

本周网络安全资讯包括AI赋能网络攻击导致韩国多家银行数据泄露、跨国零售巨头AholdDelhaize遭受网络攻击、丹麦CPR数据泄露等事件，同时介绍了美国国家安全局后量子密码转型措施、IDC中国AI安全技术发展路线图、后量子安全五大核心要点等内容。

盛邦安全邀请参加2026中国海洋经济博览会，时间为10月22-24日。

本文介绍后量子SNARK方案RoKoko，由Klooss等提出，基于格密码与committedrefinement框架，首次同时实现线性时间证明者、多对数级通信与验证者复杂度，验证速度较当前最优方案提升约100倍，证明体积约200KB，安全性基于Module-SIS与Module-LWE假设，无需可信设置，但证明体积仍较配对基方案大三个数量级，工程适配待完善。

Citrix披露多个XenServer高危漏洞，其中三个可让虚拟机内高权限用户入侵或使宿主机崩溃，影响XenServer8.4和9，第四个漏洞影响范围较窄。管理员需检查版本并参考CTX697170及时应用安全更新，评估主机级风险与客户虚拟机崩溃影响差异。

本文介绍长亭科技发布的AI安全新品驭元，面向企业AIAgent使用场景，针对Agent资产失管、工具扩展、任务执行违规和敏感数据泄露等风险，提供资产发现、风险扫描、模型服务管控、Skill检测、MCP管控和上下文风险研判等功能，构建Agent安全治理闭环，并已内部实践验证。

2026年高等教育本科国家教学成果奖公示1826项，其中网络空间安全领域仅13项，占比约0.7%。成果高度聚焦人才培养模式改革，以实战攻防、靶场竞赛为核心方法论，呈现从知识传授向实战能力导向的转向。牵头单位呈双一流理工强校与行业警察院校双轨格局，并有跨校跨域协同趋势。建议关注实战化培养模式改革与跨校资源整合。

本文介绍开源项目dsh-redteam-model，基于DeepSeekHarness构建红队工作流，通过四层结构（Persona、Playbook、Skills、Refs）将安全经验转化为可复用流程，预设渗透测试、代码审计、二进制分析、应急响应等十种工作模式，并结合运行时插件实现阶段校验与证据记录。项目强调工作流与插件能力而非漏洞发现保证，部署需先配置DeepSeekHarness，建议隔离环境测试，仅限授权安全场景使用。

本文介绍作者为安全运营场景开发的IT资产台账匹配工具，解决VLOOKUP无法处理一格多IP、IP段、表头错位等脏数据问题。工具支持智能匹配、IP段展开、多sheet查找及命令行模式，强调宁可新建列也不填错列的设计原则。文章提供具体工程细节与使用边界，对安全运营人员有实用参考价值。

AIStorm亮相新加坡GovWare2026展会，以全栈AI安全能力应对智能体时代挑战。其核心战略涵盖AI驱动的网络安全与AI安全治理两大主线，推出AIDR方案、智能体身份安全及Token运营平台等产品，旨在构建发现-拦截-监控-修复的安全闭环，助力企业管控智能体权限越界与行为失控风险，并拓展全球市场。

本文系统阐述判断个人是否与CIA存在秘密关系的分析方法论，强调不能凭外貌、职业或性格特征下结论，而应关注行为是否形成完整证据链。文章区分了CIA正式雇员、行动官、线人及冒牌货等类别，分析了套取信息、关系变质、身份核查等关键环节，提出需同时出现不正常信息需求、关系发展、利益交换和保密要求四要素，并强调从可疑到确认需分级证据支撑，最后提醒避免擅自调查的违法行为。

MS08067安全实验室发布新书，由14位业内专家联袂推荐，限时65折促销。实验室专注网络安全教育培训，已培养近6000名人才，获多项荣誉称号。文章为图书推广软文，附购买渠道及实验室背景介绍。

启明星辰在2026人工智能产业大会上展示隐私盾产品，针对AI时代语音隐私泄露问题提供硬件级防护方案。该产品通过物理切断麦克风信号，具备防APP窃听、防恶意录音、防声音外放三大功能，采用即插即用设计，跨系统兼容，为政企客户与个人用户提供更安全的语音环境。

ICSE2026研究分析649个真实车联网漏洞，发现59%集中在车机和T-Box，因其处于外部网络与CAN总线交界面。Pwn2Own2026上特斯拉车机被USB攻破获root权限。防守需从硬件信任根、通信保护、网关隔离、IDPS及OTA供应链五层架构着手，并建议优先自查T-Box与IVI固件更新等七项措施。

本文分析数据要素市场化下数据安全制度的适配性困境，包括制度碎片化、产权规则模糊、监管滞后及主体约束软化，并提出重构路径：夯实基础制度、健全流通制度、优化监管制度、完善救济制度，以平衡发展与安全，推动数据要素安全有序流通。

网易智企参与中国信通院组织的人工智能加平台经济标准研究，从大会启动到系列研讨，结合自身在AI应用、平台服务与内容治理等实践，为标准框架完善贡献产业经验，助力平台经济智能化与规范化发展。未来将持续参与标准研究，深化合作，推动AI应用与平台治理协同发展。

陌陌安全应急响应中心宣布自2026年10月16日起暂停接收新增漏洞，已提交漏洞仍正常审核处理，积分奖励不受影响。暂停期间禁止对陌陌业务进行未授权安全测试，恢复时间另行通知。建议关注官方渠道获取最新动态。

日本记者因涉嫌间谍罪在萨哈林被捕，揭露日本情报搜集关注方向的新变化，俄方警惕日本从公开信息中挖掘情报价值。日本政府设立情报机构强化情报搜集，俄方收紧敏感地区信息活动。事件说明公开信息与情报之间的距离正在缩短，应关注日本在周边地区的情报搜集活动。

本文是习近平总书记2026年1月12日在二十届中央纪委五次全会讲话的主要部分，强调以更高标准、更实举措推进全面从严治党。文章提出三项要求：坚决有力贯彻落实党中央重大决策部署，警惕两面人；科学有效把权力关进制度笼子，完善制度并强化执行；清醒坚定推进反腐败斗争，保持高压态势，一体推进不敢腐不能腐不想腐。

该文档为一篇推广软文，介绍新白嫖deepseekv4.1活动，提供邀请码注册链接，注册后可获得token，并说明注册后查看模型服务及API基地址的步骤。内容主要为活动推广，缺乏技术深度。

CNNVD发布关于微软多个安全漏洞的通报，此次更新共涉及18个漏洞补丁，其中高危漏洞15个，中危漏洞3个。建议相关用户及时关注官方公告并安装补丁以防范风险。