安全资讯 第9页
聚合当前分类下的最新内容，按时间顺序查看第 9 页精选文章。
一个 u32 怎么把 io_uring 新特性打成 root
Linux 6.15–6.19 的 io_uring ZCRX 零拷贝接收子系统被曝 freelist 越界写漏洞，修复点是 commit 770594e。它不是远程漏洞，也不是人人可打；真正有意思的是，一个看似不起眼的 u32 小整数，在特定硬件、权限、堆布局和旧提权链条配合下，能被串成 root。
Google 新 reCAPTCHA 依赖 Play Services，去 Google 化 Android 用户可能过不了验证
Google 新一代 reCAPTCHA 的部分 Android 挑战验证，要求设备具备 Google Play Services 25.41.30 或更高版本；早期支持页曾显示 25.39.30。 影响不发生在所有访问场景，而是在系统判定可疑、要求挑战验证时。GrapheneOS 等去 Google 化 ROM 可能因此卡住。 争议不在于反机器人该不该做，而在于 Web 入口正在把 Google 专有框架变成一张隐性门票。
Copy Fail 补丁被看穿后，漏洞披露的时间差没了
Copy Fail 公布当天，Hyunwoo Kim 发现修复不足并提交补丁，同时把安全影响通报给 Linux 安全工程师闭门列表。但公开补丁很快被外部人员读出安全含义并发布，embargo 实际提前结束。AI 没有自动攻破 Linux，它正在压缩漏洞披露里最值钱的东西：时间差。
CyberSecQwen-4B 发布：安全 AI 不必总上云，小模型也能做硬活
Hugging Face 博客发布 CyberSecQwen-4B：一个基于 Qwen3-4B-Instruct-2507 微调的 4B 防御性网络安全模型，训练来自 AMD Developer Hackathon 项目，并以 Apache 2.0 发布。它的看点不是“4B 打赢大模型”，而是在 CWE 分类、CVE→CWE 映射、结构化 CTI 问答这些窄任务里，本地小模型可能比云端通用模型更容易进入安全流程。对安全运营和漏洞管理团队来说，最现实的动作不是立刻替换系统，而是把它放进低风险环节试点，并保留人工复核。
马斯克在法国被刑事调查：X 的问题不只是内容审核
法国检方已把针对 X、xAI、马斯克和 Linda Yaccarino 的调查升级为正式刑事调查，焦点包括未成年人性影像、性深伪、Grok 否认大屠杀内容、数据安全和非法交易。现在还不是定罪，也不等于必然受审，但法国检方已要求提出初步指控，或发出等同起诉的令状。关键不在“马斯克又和欧洲吵架”，而在平台老板还能不能用政治迫害叙事，绕开本地法律和内容治理责任。
5座水厂被黑：国家级冲突盯上地方旧账
波兰情报机构称，5座水处理厂遭黑客攻击，攻击者可能触及工业控制设备；最坏情况可能影响供水安全，但报告没有确认水质已被篡改。报告同时指控俄罗斯支持的破坏和黑客活动针对波兰军事设施、关键基础设施和民用目标，但没有把这5起水厂攻击明确归因给俄罗斯。真正该看的不是“又一起黑客事件”，而是低预算水厂、电网等地方基础设施，正在承受国家级冲突的压力。
一个网页不问你，也能拼出多少浏览器指纹
Since You Arrived 的“taken”页面展示了一件容易被忽略的事：网页打开瞬间，IP、时区、系统、屏幕、GPU、语言、字体和 Cookie 状态等信息就可能被读取。它自称不写入 Cookie、不存储信息，反而凸显了问题：多数网站未必会如此克制。真正的风险不是某个字段泄露，而是这些信号组合后，可以在无账号、无姓名、无 Cookie 的情况下形成浏览器指纹。
L3Harris 前高管把黑客工具卖给俄方中间人：网络军火生意最怕内部人
L3Harris 前网络安全高管 Peter Williams 因窃取监控与黑客工具，并以约 130 万美元卖给与俄罗斯政府有业务联系的中间人，被法院要求在此前 130 万美元赔偿之外再支付 1000 万美元。关键不只是商业秘密被盗，而是高权限内部人把网络武器当商品转手。对国防科技和网络安全团队来说，这件事该落到权限、离职、审计和中间人尽调上，而不是停在道德谴责。
Haotian AI 被 404 Media 拿到后，视频会议的“看脸确认”该降级了
404 Media 在播客中称已获得中文界面的 Haotian AI 实时深伪软件，可用于 Microsoft Teams、WhatsApp、Zoom 等视频通话场景。相比单纯讨论深伪诈骗报道的取证难度，这条线索把风险指向了更具体的工作流：远程审批、视频核验、跨境沟通都不能再把“对方露脸”当强证明。
Cybertruck 便宜版只卖出 173 辆，也全量召回了
Tesla 正在召回已售出的全部 173 辆 RWD Cybertruck Long Range，故障点在制动盘螺柱孔，极端情况下车轮可能与轮毂分离。 目前只有 3 起可能相关保修索赔，Tesla 称没有相关碰撞、死亡或受伤报告；车主最该做的是核对召回通知并预约免费更换。 规模很小，但这是 Cybertruck 第 11 次召回。真正刺眼的是：激进设计、低价版本和制造一致性之间的账，还没算完。
美国上线 UAP 解密页面：别急着找外星人，先看谁在控制叙事
美国政府上线 PURSUE 页面，称将按总统指令分批查找、审查、解密并发布 UAP/UFO 相关记录，首批材料包括红外图像、军事报告截图和 Apollo 17 旧影像。\n这次公开目前不能证明外星飞船，也不能证明技术突破。更值得看的是：美国正在把 UAP 从民间奇谈，搬进国家安全、档案治理和政治传播的制度框架里。\n普通读者该做的不是追着模糊光点下结论，而是看后续材料怎么分类、哪些机构参与、哪些内容始终不放出来。
芝加哥ICE抗议者起诉DHS：轻微逮捕能不能变成永久DNA档案
4名在芝加哥Broadview ICE设施外被捕的抗议者起诉DHS和FBI，要求停止采集、上传和永久保存他们的DNA样本与基因档案。此案的核心不是一次抗议执法争议，而是联邦政府能否借轻微、撤销甚至未起诉的逮捕，把抗议者送进长期DNA检索体系。最受影响的是参加移民执法抗议的人，以及为他们提供法律和组织支持的人。
OpenAI分级开放GPT-5.5网络安全能力：重点不是更强，而是谁能用
OpenAI把GPT-5.5纳入Trusted Access for Cyber，并限量预览GPT-5.5-Cyber，面向已验证防御者和关键基础设施安全团队。真正的变化不是放开攻击能力，而是用身份验证、账户安全、访问分级和滥用监控来降低双用途风险。对企业安全负责人来说，GPT-5.5 with TAC更像默认起点，GPT-5.5-Cyber只适合少数授权红队和受控测试流程。
ICE 探索智能眼镜：人脸识别可能从“举手机”变成“看一眼”
404 Media 称，ICE 正在探索开发智能眼镜，用来补充其人脸识别应用 Mobile Fortify；DHS 回应称，目前尚未承诺任何智能眼镜资金。 关键不在于眼镜是否已经部署，而在于执法识别可能从手机扫描推进到可穿戴、实时化现场。 真正受影响的是街头被扫描者的知情、拒绝和纠错能力，尤其是移民社区、持签证者和容易被误识别的人。
Model Y首个通过NHTSA新版ADAS测试：赢的是项目成绩，不是自动驾驶认证
2026款后期批次Tesla Model Y成为首个通过NHTSA新版ADAS测试的车型，但适用范围很窄：仅限2025年11月12日及之后生产的车辆。这个结果利好特斯拉，也说明美国监管开始把辅助驾驶能力拆成可测试项目；但它不是FSD获批，更不是自动驾驶官方背书。
Canvas 两次被黑后“谈妥”了：学生数据不是赎金桌上的筹码
Instructure 称已和入侵 Canvas 的 ShinyHunters 达成协议，黑客承诺删除数据、不再勒索客户，但公司也承认没有完全确定性。比数据泄露更刺眼的是二次入侵和登录页篡改：教育 SaaS 的安全风险，已经从后台事故变成了校园秩序被公开劫持。
Dirty Frag 本地提权漏洞链公开：Linux 管理员该先堵模块加载，而不是等 CVE
Openwall oss-security 邮件列表披露 Dirty Frag Linux 本地提权漏洞链，报告者称其影响主流发行版，披露时没有 CVE，也没有发行版补丁。真正的风险不在“远程攻破所有 Linux”这种夸张说法，而在本地攻击者可能借无补丁窗口拿到 root 权限，管理员应优先做模块级临时缓解。
PCPJack接管TeamPCP旧受害系统：云入侵后的风险还没结束
SentinelOne报告称，未知团伙PCPJack正在入侵已被TeamPCP攻破的云系统，移除对方工具，并部署自传播代码窃取凭据。它不像白帽清理，更像另一批攻击者接管失陷资产，把凭据、初始访问权限和勒索机会重新变现。对企业云安全团队来说，重点不是围观黑产内斗，而是确认失陷环境是否真正重建、密钥是否彻底轮换。
Firefox 271 个 AI 找洞样本：LLM 漏洞扫描终于有了硬信号
Mozilla 称 Anthropic Mythos 在两个月内辅助发现 271 个 Firefox 安全漏洞，并且“几乎没有误报”。这比单纯说 Firefox 修了多少漏洞更关键：AI 安全工具的价值，不在报告写得像不像，而在能不能接入真实测试链路，把怀疑变成可复现证据。
Yarbo 割草机器人改口移除默认后门：带刀片的设备，钥匙不能默认在厂商手里
Yarbo 承诺改变机器人割草机的远程访问设计：默认不再安装远程后门，只有用户主动 opt-in 才启用临时诊断通道。这比单纯修漏洞更关键，因为问题的核心不是一次安全事故，而是联网硬件的默认控制权到底归谁。
Cloudflare复盘“Copy Fail”：一次Linux本地提权漏洞为何没有变成事故
Cloudflare披露了应对Linux内核本地提权漏洞“Copy Fail”（CVE-2026-31431）的全过程，称未影响其环境、服务和客户数据。真正有价值的不是“没出事”声明，而是它展示了云基础设施团队如何用检测、威胁狩猎和bpf-lsm临时限流，把一个需要重启修补的高危内核漏洞压到可控范围内。