ZONE.CI 全球网

分析了2026精武杯恶意程序，包括程序启动参数、释放文件、模拟客户端名称、shellcode解密算法和密钥、校验解密结果的字符串、动态加载函数、C2地址、通信主机名和备用C2获取机制等。

PHP核心于2026年10月20日披露两个远程代码执行漏洞CVE-2026-109618与CVE-2026-109619，CVSS评分均为9.2，影响范围广。目前无公开可用PoC，但演示视频已泄露。PHP官方计划10月21日22时发布紧急安全更新，建议今夜升级。临时缓解措施包括在php.ini中设置session.upload\\_progress.enabled为Off，或在Web服务器层面拦截multipart/form-data的POST请求。

Cracken研究实验室对四款主流自主渗透智能体进行红队测试，通过搭建含间接提示注入陷阱的仿真网站，成功令全部智能体沦陷。攻击链利用目录列表泄露、伪装成正常工具的decoder二进制及反向shell实现容器沦陷，进而横向移动、读取Agent推理状态、注入任务并通过API控制Agent，最终在应用逻辑层持久化。文章揭示Agent安全盲区：其判断程序安全仅靠行为是否符合预期，提出执行先于验证、事后推理无法挽回沦陷等观点，并给出七条防御建议，包括架构上区分读到的内容与收到的指令、执行前验证、出网白名单、网络分段

PHP官方预告两项CVSSv4.09.2分严重漏洞（CVE-2026-109618、CVE-2026-109619），计划于2026年10月21日14:00UTC发布更新。CERT-EU提示潜在未认证RCE风险，完整技术细节待公布。建议运维团队立即清点PHP实例资产、准备更新与回退方案、收敛暴露面，更新后逐实例确认生效版本并保留日志。

本周网络安全态势整体评价为良，基础设施运行平稳，主要威胁来自软件高危漏洞、恶意代码传播及网站攻击。CNCERT协调处理675起网络安全事件，含跨境事件172起，重点处理471起仿冒投诉事件。建议持续关注漏洞预警与恶意代码防护，加强跨境事件监测与响应能力。

长亭应急响应中心监测到PHPCore存在两处远程代码执行漏洞CVE-2026-109618和109619，统称php2shell，CVSSv4.0评分9.2，官方计划于2026年10月21日发布安全更新。漏洞源于session上传进度处理机制的释放后重用问题，可能导致任意代码执行。建议用户立即清点资产、准备补丁窗口，对停止支持版本采取隔离或迁移措施，并可通过禁用session.upload\\_progress.enabled等临时方案缓解风险。

西工大与山石网科合作打造AI驱动的校园安全运营门户，以AgenticSOC平台解决告警多、系统散、责任人难找等挑战。通过自然语言交互统一入口，打通安全能力与业务系统，实现异常行为排查和安全运营健康巡检两大场景自动化。AI作为数字员工接手重复工作，安全人员保留关键决策权，形成人机协同新范式。

本文为2026精武杯计算机取证比赛Writeup，详细记录了计算机取证全过程，包括系统信息提取、开机密码破解、WSL大模型部署分析、加密盘破解、虚拟机取证、区块链钱包助记词恢复等操作，展示了从检材中提取关键证据的完整技术流程。

PHP官方预告两个CVSS9.2核心RCE漏洞，定于10月21日修复，受影响版本与成因未公布。攻击面指向会话上传进度处理路径，已复现入口级问题。建议关注官方补丁，排查PHP资产，特别是容器镜像、捆绑运行时等易遗漏场景。

PHP核心曝出两个CVSS9.2级RCE漏洞（CVE-2026-109618/109619），影响5.4.0起全版本，细节提前泄露且利用工具截图流出，官方确认漏洞真实存在。补丁定于今晚22:00发布，建议立即升级；8.1及更老版本无官方补丁需升级或下线。补丁落地前应监控PHP进程异常子进程，电商及暴露面大的站点优先处理。

2026年10月21日暗网监测发现国内某知名多品牌连锁酒店集团数据遭泄露，涉及3.11亿条记录，售价1400美元。泄露数据含会员个人资料、历史及未来预订记录、消费结算信息等。建议相关酒店集团立即核实并加强数据安全防护，用户应警惕信息被用于诈骗。

本文深度拆解CVE-2026-99999漏洞，该漏洞位于宿主Linux内核IPv4网络栈而非KVM，通过guest可控的校验和元数据实现越界读写，可泄露宿主内存、崩溃宿主乃至执行代码。漏洞存在约18年，修复补丁6785011f8b16仅堵住五个消费点未堵源头，影响RHEL及AlmaLinux多版本，运维需关注补丁覆盖范围。

本文作者以白帽子视角讲述在src平台提交漏洞后遭遇评级争议的亲身经历，指出规则模糊、审核标准不一、申诉流程冗长等问题，强调系统是否核心与漏洞风险应独立评估，呼吁平台执行规则一致、减少白帽子额外沟通成本，并提及AI普及后src生态变化及平台整顿无效报告现象。

本文系统梳理中国最早获批的6个国家实验室，涵盖同步辐射、正负电子对撞、核物理、材料与海洋等领域，详述其核心装置、历史沿革与最新进展，并延伸介绍2017年后20余家新型国家实验室体系，展现中国战略科技力量从单点突破走向体系化协同的演进脉络。

天融信发布金融业智能体安全解决方案，针对金融AI智能体面临的安全风险，构建评估准入、运行防护、持续运营的安全闭环。方案涵盖大模型安全网关、数据安全监测、API审计等能力，满足监管合规要求，支持国产化适配与多场景灵活部署，护航金融智能体安全上岗。

文档分享一位网友入职8人小公司的经历，月薪4900元，双休五险一金，节假日不调休，请假不扣工资，福利规范。文章讨论小公司工作体验，认为公司规模与工作体验无必然联系，需考虑公司稳定性和个人成长空间，建议若工作轻松还能学习新技术则值得珍惜。

华能澜沧江水电公司发布2026年网络安全培训服务项目询比采购公告，旨在应对数字化转型中新型电力系统面临的勒索软件及AI深度伪造等安全威胁。采购要求供应商具备安全运维、集成及风险评估等资质，并有网络安全培训或渗透测试类项目业绩。响应截止时间为2026年10月26日，通过华能集团电子商务平台获取文件并递交响应。

印度证书机构emudhra的8张中间证书私钥因生成环节缺陷被外部研究者秒破，密钥随机性仅一个字节，影响Chrome、Mozilla等信任链，涉及TLS和代码签名证书。Mozilla紧急移除对根证书信任，事件暴露密钥生成流程严重漏洞，需加强HSM使用与审计。

文章探讨了翻墙VPN治理的重要性，分析了敏感数据在不知情中出境的风险，提出了从终端行为分析的角度进行治理的思路，并介绍了安恒办公智盾防翻墙VPN治理方案。

天融信入选2026年上海市AI+制造专业服务商能力图谱，凭借工业安全与AI安全领域积累，作为工业AI安全赛道服务商入选。公司提出工业网络安全三层认知框架，构建五款运营智能体，融合工业安全小模型与天问大模型双核驱动AI引擎，并获吴文俊人工智能科技进步奖一等奖，持续深耕工业安全领域。

腾讯云鼎实验室推出CodeBuddySecurity的SCA漏洞可达性分析功能，通过ReachX引擎结合AI提取证据与规则判定，将漏洞信息与项目源码及配置关联，帮助团队缩小重点复核范围并优化修复排序。真实项目测试中告警队列规模缩小88.4%，降噪效果显著，同时提供可复核的代码位置与判定理由，为安全团队提供更精准的修复依据。

首届CCF网络安全智能挑战赛暨京华杯TPCTF2026启动报名，由中国计算机学会主办，清华北大联合承办，设智能体与人机协同双赛道，命题涵盖Crypto、Reverse、Web、Pwn、AI安全等方向，面向高校师生及企业人员，报名截止至2026年10月，赛事官网ctfy.tsinghua.edu.cn。

举办首届山东省通信行业职业技能竞赛，包括网络与信息安全管理员S工种决赛，竞赛时间为2026年10月27日，地点在中国移动人才发展中心山东分中心，参赛选手食宿自理，竞赛内容涉及网络与信息安全防护、管理、处置等，理论成绩占20%，实操成绩占80%

本文为第四届数信杯AI安全团队综合赛理论题WP，由星宇Sec发布，内容涉及数据安全大赛理论题解题思路，旨在提升数据安全产业创新能力与人才供给，护航数字中国建设。文章提供竞赛解题参考，对参赛者具有实践指导价值。

国家数据发展研究院发布2026年度实习生招聘公告，面向高校优秀学子提供实习岗位，涵盖科研业务管理、新闻宣传、人事管理、数据要素研究、数据资源研究、数字科技研究及国际合作研究等七个方向。要求硕士及以上在读，每周实习至少3天、时长至少3个月，提供实习补贴及三餐，并有机会参与国家级科研项目。