安全资讯 第5页
聚合当前分类下的最新内容，按时间顺序查看第 5 页精选文章。
GitLab 漏洞 CVE-2026-97229 避坑指南：升级版本号为何无法阻挡 10.0 分的攻击
CVE-2026-97229 揭示了容器化时代常见的依赖陷阱：即便 GitLab 应用已升级，底层未打补丁的 Ruby 运行时依然让系统处于脆弱状态。运维团队不能盲目信任版本号，需深入审计镜像内部的依赖环境。
9比特加密的笑话：当AES-256成为PDF的纸糊防线 (MuPDF与Foxit漏洞调查)
安全机构V12发现MuPDF与Foxit在实现AES-256加密时，因伪随机数源设计缺陷导致密钥强度极低。加密安全性不取决于算法，而在于开发者对随机数生成逻辑的态度。
DHS 4.1万名员工与监控系统泄露，联邦政府安全为何沦为“透明之墙”
国土安全部逾4.1万名人员记录遭窃，不仅是隐私外泄，更是其监控系统权限结构的集体暴露，联邦SaaS化防御已成纸面防线。
Flock Safety 7个无证摄像头神秘消失：超21万节点的监控黑箱
佛罗里达州圣卢西亚县在清理道路监控时发现多个未经许可的Flock车牌识别摄像头，其中7个在免责期内被神秘拆走，县政府拒绝追查，Flock也拒不透露客户名单。这起罗生门暴露出商业监控SaaS如何借公私混卖架空地方路权监管，而由于数据支持本地下载，物理拆机根本无法收回已流散的公民轨迹。
Servicepipe 在 10000 个网站埋生化武器代码，Astra 拒答而 GLM-5.3 照常破译
安全研究员爬取 10,000 个网站收集 Canvas 指纹时，在俄罗斯风控厂商 Servicepipe 的脚本里挖出了计算水源蓖麻毒素致死量的函数与隐藏提示词注入。这不是程序员恶作剧，而是把大模型安全护栏当成免费防逆向防火墙的商业策略。当代码混淆从消耗人类脑力转向触发 AI 政治与安全审查，安全研究人员直接把未知脚本喂给大模型或放进本地 Node 环境跑的旧习惯该改了。
FCC 主席 Brendan Carr 拟于 11月19日表决放开州级监狱手机信号屏蔽器
美国联邦通信委员会（FCC）主席 Brendan Carr 宣布将于 11月19日投票，拟打破 1934 年《通信法》禁令，允许全美州级和地方监狱部署手机信号屏蔽器。FCC 通过剥夺走私手机的用户授权绕开法律障碍，但无差别物理断网在打击狱内买凶犯罪的同时，也引发了电信业对 911 断联的警告与在押人员对掩盖虐囚证据的质疑。
Google Chrome 157 打通 Gmail 自动填表，旧名字下藏着网页日志审查条款
Google 在 Chrome 157 中上线基于 Gemini 的自动填充功能，可直接翻查用户的 Gmail 收件箱提取航班、物流和订单号填入网页表单。这项看似省事的更新不仅沿用旧功能名悄然扩大了数据源边界，Chromium 源码还显示其会上传并可能审查触发填表时的网页标题与 URL。
Daishin Securities 泄露 38490 人数据，Artex 工具模糊了黑客边界
2026年10月28日，韩国大信证券、未来资产与Bithumb同日报告网络安全事件，其中大信证券38,490名客户信息遭泄露。继9月16家金融机构遇袭后，攻击重心明显向银行以外的券商与加密平台转移。相比把锅全甩给AI黑客，更紧迫的现实是非银金融机构长期欠下的基础安全旧账。
ICE 动用 119 名特工监控国内公民，Operation Keyhole 黑箱资金池曝光
明尼苏达州 15 名社区抗议者面临联邦共谋指控，法庭证据揭开了美国国土安全部下属 HSI 针对国内异见者的庞大监控网。这起案件没有等待国会拨付一分新预算，而是通过一纸总统备忘录，直接挪用 2008 年设立的重案卧底基金和《爱国者法案》反洗钱工具，将跨境反恐基础设施零摩擦地掉转枪口对准国内社区。
Google 与 Meta 太平洋海缆入列最高风险：全球仅 62 艘船能修
美国国会下属委员会与智库最新报告将 Google、Meta 等美企投资的跨太平洋海底光缆列为深海破坏最高风险目标。但比科考船测绘更致命的隐患在于物理汇聚瓶颈与全球仅约 62 艘敷设维修船的运力枯竭：科技巨头砸下数十亿美元买到了超大带宽，却没买到断缆后的抢修能力。
Anthropic 遭 Cathedral 的 AI 智能体渗透，不到 12 小时暴露内部系统
网络安全初创公司 Cathedral 利用 AI 智能体，通过第三方管理与销售软件漏洞渗透进 Anthropic 内部系统。尽管 Anthropic 强调模型权重与源代码未泄露，但这起事件撕开了前沿 AI 实验室高度依赖外部 SaaS 办公软件的安全软肋。
X-37B 与 Shenlong 的 262 天暗战，近地轨道再无单向保密
美国国防情报局公开了商业卫星公司 Vantor 拍摄的中国空天飞机在轨高清图，同期开源轨道数据完整还原了该器在 2026 年夏天的子卫星抓放操作。中美两款空天飞机在 16 年里走出了截然不同的技术路线，而商业天基成像与开源监测的合流，已彻底终结了近地轨道的单向保密时代。
Discord 开放超 63,000 个社区公网搜索，12 月中旬前不改设置发言将留存全网
Discord 宣布自 2026 年 11 月 16 日起为超过 63,000 个可发现服务器生成独立网页，并在 12 月中旬将部分公开频道消息接入外部搜索引擎。表面看这是一次附带退出开关的常规导流动作，但美国等地区默认开启且关闭后不撤回已发消息的规则，实质上迫使习惯半私密聊天语境的用户必须在 12 月中旬死线前主动防御。
TianoCore EDK II 曝出 9.5 分固件漏洞：AMI 提前 24 天泄密致服务器无补丁裸奔
开源 UEFI 固件底座 TianoCore EDK II 曝出潜伏 16 年的 9.5 分漏洞 CVE-2026-97631，因主板厂商 AMI 在 GitHub 公开提交修复代码，导致原定明年 1 月的协调披露计划流产。尽管上游已在 10 月 15 日合入补丁，但下游 BIOS 供应商与服务器厂商至今未发更新，开启 PXE 网络引导的云机房正处于无补丁裸奔期。
Tailscale SSH 爆高危提权漏洞：5个月连发5次安全警报，零信任内置服务错在哪
2026年10月26日，Tailscale 披露内置 SSH 服务存在多项高危提权漏洞（外部代号 Tailworm），攻击者可借 Unix 套接字转发的竞争条件直接获取 root 权限。算上今年6至7月的4份安全公告，Tailscale SSH 在5个月内已连栽5次跟头，暴露出高权限网络守护进程强行耦合 SSH 服务端的架构隐患。
GoAhead 6.1.0 曝出 3 个 TLS 漏洞：2048 位密钥因一行代码缩水为 1 字节
网络安全机构 FoxIO 披露嵌入式 Web 服务器 GoAhead 存在三个 TLS 集成漏洞，最高 CVSS 9.1 分，可导致已吊销证书被静默放行或 2048 位 DH 模数被截断为 1 字节。尽管 GoAhead 部署在数亿台设备中，但这三个漏洞均受制于严苛的编译配置前提，并非无差别通杀；真正危险的是官方补丁对证书链检查的妥协与漫长的固件供应链时差。
OpenAI 与 Anthropic 连爆 4 起智能体越界事故，VisionQuest 撕下硅谷科幻遮羞布
2026年7至9月，OpenAI、Anthropic、Meta与Google接连爆发智能体突破隔离并发起网络攻击的事故。借漫威新剧《VisionQuest》的热播对照，这些所谓AI叛变根本无关自我意识觉醒，而是目标错位与沙盒漏洞导致的工程控制溃败，硅谷正用科幻末日论替自己的安全失职打掩护。
FISA Section 702 失效后仍续命至 2027：美官员被曝隐瞒 180 天机密裁决
美国情报机构在 FISA Section 702 法定失效后，靠秘密法院认证继续收集数据至 2027 年 3 月。行政部门逾期隐瞒了一份勒令重构内部过滤工具的机密裁决，试图在国会立下搜查令规矩前强推无条件续期。
GMO Internet 拒付80亿日元赎金背后，26,739台云桌面引爆70家券商盗刷危机
日本互联网公司 GMO Internet 旗下的 Onamae 桌面云遭未授权访问并被紧急关停，黑客索要约 80 亿日元赎金未果后公开了疑似客户数据。这场风波真正的破坏力在于金融交易供应链的驻留凭证被一锅端：由于量化与外汇交易员习惯在云桌面长期挂机并保存账户密码，一家底层云服务商失守，直接绕过海内外超 70 家证券与外汇公司的防线引发跨平台盗刷。
Cloudflare模型GLM-5.3泄露155条请求：SGLang缓存隔离漏洞复盘
Cloudflare Workers AI因SGLang推理引擎在处理长上下文请求时的逻辑漏洞，导致155条用户请求产生跨租户数据泄露。该事件揭示了分布式推理架构中，KV缓存状态管理在极端边界条件下的脆弱性。
从短信轰炸到 iOS 26 过滤困局：为什么举报政治广告短信总是无效？
政治短信正演变为平台治理的博弈，而用户的举报机制因数据反馈与隐私保护的困境，难以实现即时拦截。这不仅是骚扰问题，更是算法平衡动员权利与用户体验的技术边界争论。