新型 GoSerpent 恶意软件瞄准东南亚政府与外交人员实施间谍活动
网络安全研究人员发现一款此前未被记录的恶意软件 GoSerpent，自 2025 年末起被用于针对东南亚实体的网络攻击，侧重长期驻留与情报收集。俄罗斯网络安全公司卡巴斯基于 2026 年 2 月披露该活动，称其针对该地区的政府与外交机构。
Read More
OpenSSL HollowByte漏洞可用11字节TLS请求冻结服务器内存
11字节即可让未打补丁的OpenSSL服务器为一条永远不会到达的消息预留多达131 KB内存。在Okta测试的glibc系统上，这些内存在进程重启前都不会被释放。OpenSSL于6月通过修复发布了HollowByte，但未分配CVE、未发布安全公告，也未在更新日志中标注该修复。报告并命名该拒绝服务漏洞的Okta红队于周四公布了细节。
新的 Windows LegacyHive 零日漏洞使黑客获得管理员权限
使用 “Nightmare Eclipse” 昵称的安全研究人员发布了一款名为 LegacyHive 的 Windows 零日漏洞利用程序，该程序允许攻击者在已更新的 Windows 系统上提升权限。该漏洞位于 Windows 用户配置文件服务（User Profile Service）中，尚未分配 CVE 编号。
ThreatsDay：游戏外挂间谍软件、24小时勒索软件、Chrome 同步追踪 + 12 更多故事
本周许多麻烦都从一个看起来很熟悉的东西开始：一个熟悉的代码仓库、一个有用的安装程序、一个无害的同步设置。然后交接出了问题，机器开始与他人通信，损害比解释来得更快。老漏洞卷土重来，薄弱默认配置依然有用武之地，一些攻击路径简单得几乎不像研究成果。以下是这一团乱麻。
亚美尼亚应美国引渡请求拘留俄罗斯游客，律师称抓错人
亚美尼亚自6月28日起在拘留中心关押一名名叫亚历山大·叶尔马科夫的俄罗斯游客，该请求是针对一名涉嫌与REvil勒索软件团伙有关、名为亚历山大·叶尔马科夫的美国引渡请求。其妻玛丽亚·尤罗娃称，机场边境官员在埃里温兹瓦尔特诺茨机场的出发大厅将其拦下，并带至侧室。律师称美方弄错了人。
新 wp2shell WordPress 核心漏洞允许未认证攻击者执行代码
2026 年 7 月 18 日更新：两个漏洞现已分配 CVE 编号，完整利用机制已经公开，相关持续对象缓存的条件也被披露，且一个可运行的概念验证代码已公开发布。WordPress 核心中存在一处无需登录的 HTTP 请求即可执行代码的漏洞，影响所有 6.9 与 7.0 版本，直至官方发布 6.9.5 与 7.0.2 修复版本并启用自动强制更新。
AI 智能体的最小权限原则：身份、访问与工具绑定
随着 AI 智能体日益自主，强大的身份、访问与审计控制对其安全至关重要。本文探讨了在 AI 智能体场景中实施最小权限原则、托管身份、RBAC 以及工具访问控制的关键考量与最佳实践。
微软亮相 Black Hat USA 2026：在 AI 与供应链攻击时代捍卫信任
欢迎莅临 Black Hat USA 2026 微软安全展区，了解供应链研究、动手实操安全体验、专家对话以及我们的招待会。
军用自主化部署竞赛已开启，可信信息基础设施能否跟上？
军用部队正承受着前所未有的压力，需要更快地部署自主化能力。在美国、英国和北约，新的投资、不断演变的国防战略以及加速的采购路径正在改变能力交付方式。如今，焦点已转向让这些系统以任务速度协同运作所需的可信信息基础设施。
欧盟命令谷歌向竞品AI助手开放Android麦克风、摄像头和屏幕权限
欧盟委员会周四依据《数字市场法》作出两项具有约束力的规范决定，要求谷歌在下一个主要版本Android 18中（最迟于2027年8月1日前）向竞品AI助手开放与Gemini同等的功能权限，包括摄像头、麦克风、屏幕内容、熄屏唤醒词以及后台模拟点击和键盘输入以驱动其他应用的能力。