文章总结： 该文档是一份网络安全日报，主要内容包括：披露了Ubuntu、AppleWebKit和GNUInetUtilstelnetd等多个产品的安全漏洞；介绍了AmazonBedrock等AI平台存在的数据泄露风险；报道了LeakNet勒索软件和GlassWorm恶意软件的最新活动；以及欧盟对相关网络攻击实体实施制裁的消息。此外，还包含了微软在AI安全、系统调试等方面的技术研究动态。
综合评分： 85
文章分类： 网络安全,漏洞预警,恶意软件,AI安全,威胁情报
枇杷熟了-全球网络安全日报2026-03-18
枇杷哥
枇杷哥
枇杷熟了
2026年3月18日 18:29
北京
Daily Security Newsletter
🔐 全球网络安全日报
📅 2026年03月18日 Wednesday
每日精选全球网络安全最新研究、漏洞预警、技术动态、威胁情报
📊今日概览 · 共 81 条
| | |
| — | — |
| 🚨漏洞与威胁8 | 📚技术研究8 |
| 🔍威胁情报8 | 🤖AI 安全与大模型8 |
| ☁️云安全8 | 🏆漏洞平台5 |
| 📌社区与社交媒体8 | 🇨🇳中国安全媒体7 |
| 📌区块链与 Web3 安全8 | 📌移动安全8 |
| 📌数据隐私与合规5 | |
🚨漏洞与威胁(8条)
1. Ubuntu CVE-2026-3888漏洞让攻击者通过systemd清理定时漏洞获得根原文：Ubuntu CVE-2026-3888 Bug Lets Attackers Gain Root via systemd Cleanup Timing Exploit
影响Ubuntu Desktop版本24.04及更高版本的默认安装的高度严重的安全漏洞可能被利用来将权限提升到根级别。该问题被跟踪为CVE-2026-3888 （ CVSS评分： 7.8 ） ，可能允许攻击者夺取对易受影响系统的控制权。“这个瑕疵……
📰 漏洞与威胁⏰ Wed, 18 Ma
🔗 原文链接：https://thehackernews.com/2026/03/ubuntu-cve-2026-3888-bug-lets-attackers.html
2. Apple修复了在iOS和macOS上启用同源策略绕过的WebKit漏洞原文：Apple Fixes WebKit Vulnerability Enabling Same-Origin Policy Bypass on iOS and macOS
苹果公司周二发布了第一轮后台安全改进，以解决影响iOS、iPadOS和macOS的WebKit中的安全漏洞。该漏洞被跟踪为CVE-2026-20643 （ CVSS分数：不适用） ，在WebKit的导航API中被描述为跨源问题，可能…
📰 漏洞与威胁⏰ Wed, 18 Ma
🔗 原文链接：https://thehackernews.com/2026/03/apple-fixes-webkit-vulnerability.html
3. 严重的未修补Telnetd漏洞(CVE-2026-32746)通过端口23启用未经身份验证的根RCE原文：Critical Unpatched Telnetd Flaw (CVE-2026-32746) Enables Unauthenticated Root RCE via Port 23
网络安全研究人员披露了一个影响GNU InetUtils telnet守护程序(telnetd)的严重安全漏洞，未经身份验证的远程攻击者可以利用该漏洞以更高的权限执行任意代码。该漏洞被跟踪为CVE-2026-32746 ，带有CVSS SCOR…
📰 漏洞与威胁⏰ Wed, 18 Ma
🔗 原文链接：https://thehackernews.com/2026/03/critical-telnetd-flaw-cve-2026-32746.html
4. Amazon Bedrock、LangSmith和SGLang中的AI漏洞可实现数据泄露和RCE原文：AI Flaws in Amazon Bedrock, LangSmith, and SGLang Enable Data Exfiltration and RCE
网络安全研究人员披露了使用域名系统(DNS)查询从人工智能(AI)代码执行环境中泄露敏感数据的新方法的详细信息。在周一发布的一份报告中， BeyondTrust透露，亚马逊基岩AgentCore代码解释器’…
📰 漏洞与威胁⏰ Tue, 17 Ma
🔗 原文链接：https://thehackernews.com/2026/03/ai-flaws-in-amazon-bedrock-langsmith.html
5. LeakNet勒索软件通过黑客网站使用ClickFix ，部署Deno内存加载器原文：LeakNet Ransomware Uses ClickFix via Hacked Sites, Deploys Deno In-Memory Loader
被称为LeakNet的勒索软件操作采用了通过受感染网站提供的ClickFix社交工程策略作为初始访问方法。使用ClickFix ，用户被欺骗手动运行恶意命令来解决不存在的错误，这是一种背离…
📰 漏洞与威胁⏰ Tue, 17 Ma
🔗 原文链接：https://thehackernews.com/2026/03/leaknet-ransomware-uses-clickfix-via.html
6. Apple推出首个后台安全改进更新以修复WebKit缺陷原文：Apple pushes first Background Security Improvements update to fix WebKit flaw
Apple发布了第一个后台安全改进更新，以修复在iPhone、iPad和Mac上被追踪为CVE-2026-20643的WebKit漏洞，而无需进行完整的操作系统升级。[…]
📰 漏洞与威胁⏰ Tue, 17 Ma
🔗 原文链接：https://www.bleepingcomputer.com/news/security/apple-pushes-first-background-security-improvements-update-to-fix-webkit-flaw/
7. GlassWorm恶意软件在GitHub、npm、VSCode、OpenVSX上攻击了400多个代码库原文：GlassWorm malware hits 400+ code repos on GitHub, npm, VSCode, OpenVSX
GlassWorm供应链活动已经卷土重来，针对GitHub、npm和VSCode/OpenVSX扩展上的数百个软件包、存储库和扩展进行了新的协调攻击。[…]
📰 漏洞与威胁⏰ Tue, 17 Ma
🔗 原文链接：https://www.bleepingcomputer.com/news/security/glassworm-malware-hits-400-plus-code-repos-on-github-npm-vscode-openvsx/
8. 欧洲制裁中国和伊朗公司的网络攻击原文：Europe sanctions Chinese and Iranian firms for cyberattacks
欧盟理事会已宣布对参与针对该地区关键基础设施的网络攻击的三个实体和两名个人实施制裁。[…]
📰 漏洞与威胁⏰ Tue, 17 Ma
🔗 原文链接：https://www.bleepingcomputer.com/news/security/europe-sanctions-chinese-and-iranian-firms-for-cyberattacks/
📚技术研究(8条)
1. 面向Fabric的全新Microsoft Purview创新，可安全地加速您的人工智能转型原文：New Microsoft Purview innovations for Fabric to safely accelerate your AI transformation
随着组织采用人工智能，安全和治理仍然是安全人工智能转型和加速的核心原语。Microsoft安全博客上首次发布了面向Fabric的新Microsoft Purview创新，以安全地加速您的AI转型。
📰 技术研究⏰ Mon, 16 Ma
🔗 原文链接：https://techcommunity.microsoft.com/blog/microsoft-security-blog/new-microsoft-purview-innovations-for-fabric-to-safely-accelerate-your-ai-transf/4502156
2. 在线帮助： Microsoft Teams支持呼叫如何导致妥协原文：Help on the line: How a Microsoft Teams support call led to compromise
对Microsoft Teams语音网络钓鱼攻击的DART调查显示了欺骗和可信工具如何实现以身份为导向的入侵以及如何阻止它们。在线帮助： Microsoft Teams支持呼叫如何导致妥协这篇文章首先出现在Microsoft安全博客上。
📰 技术研究⏰ Mon, 16 Ma
🔗 原文链接：https://www.microsoft.com/en-us/security/blog/2026/03/16/help-on-the-line-how-a-microsoft-teams-support-call-led-to-compromise/
3. AI agent的系统调试：介绍AgentRx框架原文：Systematic debugging for AI agents: Introducing the AgentRx framework
随着人工智能代理从简单的聊天机器人过渡到能够管理云事件、导航复杂Web界面和执行多步骤API工作流程的自主系统，出现了一个新的挑战：透明度。当人类犯错时，我们通常可以追溯逻辑。但是当一个A……
📰 技术研究⏰ Thu, 12 Ma
🔗 原文链接：https://www.microsoft.com/en-us/research/blog/systematic-debugging-for-ai-agents-introducing-the-agentrx-framework/
4. PlugMem ：将原始代理交互转化为可重用的知识原文：PlugMem: Transforming raw agent interactions into reusable knowledge
这似乎是违反直觉的：给人工智能代理更多的内存可能会降低它们的效率。随着交互日志的积累，它们变得越来越大，充满了不相关的内容，并且变得越来越难以使用。更多的内存意味着客服代表必须搜索大量过去的互动，以…
📰 技术研究⏰ Tue, 10 Ma
🔗 原文链接：https://www.microsoft.com/en-us/research/blog/from-raw-interaction-to-reusable-knowledge-rethinking-memory-for-ai-agents/
5. Phi-4推理-视觉和训练多模态推理模型的经验教训原文：Phi-4-reasoning-vision and the lessons of training a multimodal reasoning model
我们很高兴地宣布Phi-4-reasoning-vision-15B ，这是一种150亿参数的开放权重多模态推理模型，可通过Microsoft Foundry （在新选项卡中打开）、HuggingFace （在新选项卡中打开）和GitHub （在新选项卡中打开）获得。Phi-4-reasoning-vision-15B是一种功能广泛的模型，可以…
📰 技术研究⏰ Wed, 04 Ma
🔗 原文链接：https://www.microsoft.com/en-us/research/blog/phi-4-reasoning-vision-and-the-lessons-of-training-a-multimodal-reasoning-model/
6. 预告片： The Shape of Things to Come原文：Trailer: The Shape of Things to Come
微软研究负责人Doug Burger介绍了他的新播客系列“The Shape of Things to Come” ，该系列探索了有关人工智能的基本真理以及该技术将如何重塑未来。文章预告片： The Shape of Things to Come首先出现在Microsoft Research上。
📰 技术研究⏰ Tue, 03 Ma
🔗 原文链接：https://www.microsoft.com/en-us/research/podcast/trailer-the-shape-of-things-to-come/
7. CORPGEN推进人工智能代理的实际工作原文：CORPGEN advances AI agents for real work
到上午中午，典型的知识工作者已经开始处理客户报告、预算电子表格、幻灯片和电子邮件待办事项，所有这些都相互依赖，并且都需要同时关注。为了使人工智能代理在那种环境中真正有用，它们需要以相同的方式运行，但是……
📰 技术研究⏰ Thu, 26 Fe
🔗 原文链接：https://www.microsoft.com/en-us/research/blog/corpgen-advances-ai-agents-for-real-work/
8. PACT 2026 ：为Rapid7合作伙伴提供更强大、更简单、更有利可图的途径原文：PACT 2026: A Stronger, Simpler, More Profitable Path for Rapid7 Partners
网络安全渠道正在快速发展。购买行为正在发生变化，客户正在重新思考他们如何评估解决方案。合作伙伴正在重新思考如何大规模交付价值。在这种环境下，供应商合作伙伴计划不能保持静态。大多数合作伙伴计划都是围绕…
📰 技术研究⏰ Tue, 17 Ma
🔗 原文链接：https://www.rapid7.com/blog/post/c-pact-2026-stronger-simpler-profitable-path-for-rapid7-partners
🔍威胁情报(8条)
1. 走进由2万多家假冒商店组成的网络原文：Inside a network of 20,000+ fake shops
一个庞大的假商店网络，所有这些都是为了一个目的而建立的：窃取您的付款详细信息和个人数据。
📰 威胁情报⏰ Wed, 18 Ma
🔗 原文链接：https://www.malwarebytes.com/blog/scams/2026/03/inside-a-network-of-20000-fake-shops
2. Emsisoft在2026年1月实现100%检测AVLab Advanced In-The-Wild恶意软件测试原文：Emsisoft Achieves 100% Detection in January 2026 AVLab Advanced In-The-Wild Malware Test
在AVLab新收紧的测试标准下， Emsisoft Enterprise Security + EDR对395个真实世界的恶意软件威胁实现了100%的检测和业界领先的补救速度。POST Emsisoft在2026年1月实现了100%检测AVLab Advanced In-The-Wild恶意软件测试出现在…
📰 威胁情报⏰ Mon, 16 Ma
🔗 原文链接：https://www.emsisoft.com/en/blog/47474/emsisoft-achieves-100-detection-in-january-2026-avlab-advanced-in-the-wild-malware-test/
3. 泄露前：为您的组织应对网络事件做好准备原文：Before the Breach: Preparing Your Organization for Cyber Incidents
本文介绍了组织如何加强防御、保护凭据并制定事件响应计划，以便在网络入侵发生之前将损害降至最低。《入侵前：为您的组织应对网络事件做好准备》一文首次出现在Emsisoft |网络安全博客上。
📰 威胁情报⏰ Mon, 16 Ma
🔗 原文链接：https://www.emsisoft.com/en/blog/47511/before-the-breach-preparing-your-organization-for-cyber-incidents/
4. Emsisoft被AVLab评为2026年度产品，荣获最佳补救时间荣誉原文：Emsisoft Named Product of the Year 2026 by AVLab, Earns Top Remediation Time Honor
AVLab的2026年度产品已经公布。Emsisoft Enterprise Security + EDR凭借2025年全系列测试的持续性能赢得了这一殊荣。帖子Emsisoft被AVLab评为2026年度产品，荣获Top Remediation Time Honor首次出现在Emsisoft |…
📰 威胁情报⏰ Thu, 12 Ma
🔗 原文链接：https://www.emsisoft.com/en/blog/47482/emsisoft-named-product-of-the-year-2026-by-avlab-earns-top-remediation-time-honor/
5. 2026.1中的新功能：维护版本原文：New in 2026.1: Maintenance release
本月的版本包括维护更新。帖子New in 2026.1 ：维护版本首次出现在Emsisoft |网络安全博客上。
📰 威胁情报⏰ Fri, 20 Fe
🔗 原文链接：https://www.emsisoft.com/en/blog/47336/new-in-2026-1-maintenance-release/
6. 网络安全范式是否已被打破？原文：Is the Cybersecurity Paradigm Broken?
随着网络犯罪的升级和民族国家越来越模糊犯罪和国家支持的攻击之间的界限，推动进攻性网络威慑可能是可以理解的，但它带来的风险可能超过其吸引力。文章《Is the Cybersecurity Paradigm Broken?》首次出现在…
📰 威胁情报⏰ Mon, 16 Fe
🔗 原文链接：https://www.emsisoft.com/en/blog/47294/is-the-cybersecurity-paradigm-broken/
7. Critical-service.cc删除：停止弹出窗口和重定向原文：Critical-service.cc removal: stop the pop-ups and redirects
Critical-service.cc是一个基于浏览器的诈骗页面，可推送虚假警报、弹出窗口和重定向循环。它通常不是完整的系统感染，但它可能会将您拖入网络钓鱼页面、阴暗下载和反复出现的通知垃圾邮件。Critical-service.cc遵循与Hosting-con相同的攻略…
📰 威胁情报⏰ Wed, 18 Fe
🔗 原文链接：https://gridinsoft.com/blogs/critical-service-cc-removal/
8. 假冒商店瞄准Milano Cortina 2026粉丝寻找Tina和Milo毛绒玩具原文：Fake shops target Milano Cortina 2026 fans hunting for Tina and Milo plushies
诈骗商店正在迅速发展，以利用Milano Cortina 2026吉祥物。在一项民意调查中，从1600多名学生设计中挑选出来的白鼬兄弟姐妹Tina和Milo已成为必备纪念品，这种需求现在正被类似的店面武器化。吉祥物诞生了……
📰 威胁情报⏰ Tue, 17 Fe
🔗 原文链接：https://gridinsoft.com/blogs/fake-olympic-shops-tina-milo-2026/
🤖AI 安全与大模型(8条)
1. 隆重推出LangSmith沙盒：安全的代理代码执行原文：Introducing LangSmith Sandboxes: Secure Code Execution for Agents
使用LangSmith SDK在一行代码中启动沙盒。现在在私密预览中。
📰 AI 安全与大模型⏰ Tue, 17 Ma
🔗 原文链接：https://blog.langchain.com/introducing-langsmith-sandboxes-secure-code-execution-for-agents/
2. Open SWE ：内部编码代理的开源框架原文：Open SWE: An Open-Source Framework for Internal Coding Agents
Open SWE基于Deep Agents和LangGraph构建，为内部编码代理提供核心架构组件。
📰 AI 安全与大模型⏰ Tue, 17 Ma
🔗 原文链接：https://blog.langchain.com/open-swe-an-open-source-framework-for-internal-coding-agents/
3. LangChain宣布推出采用NVIDIA打造的企业智能AI平台原文：LangChain Announces Enterprise Agentic AI Platform Built with NVIDIA
综合代理工程平台与NVIDIA AI相结合，使企业能够大规模构建、部署和监控生产级AI代理Press ReleaseSAN FRANCISCO ， 2026年3月16日/美通社/— LangSmith和开源框架背后的代理工程公司LangChain…
📰 AI 安全与大模型⏰ Mon, 16 Ma
🔗 原文链接：https://blog.langchain.com/nvidia-enterprise/
4. 全新推出DEPLOY CLI原文：Introducing deploy cli
我们很高兴推出部署cli ，这是langgraph-cli包中的一组新命令，可以直接从命令行轻松部署和管理代理。此新集合中的第一个命令langgraph deploy允许您将代理部署到
📰 AI 安全与大模型⏰ Mon, 16 Ma
🔗 原文链接：https://blog.langchain.com/introducing-deploy-cli/
5. 如何提示Seedream 5.0原文：How to prompt Seedream 5.0
Seedream 5.0为图像生成带来了多步推理、基于示例的编辑和深厚的领域知识。以下是您需要了解的信息。
📰 AI 安全与大模型⏰ Tue, 24 Fe
🔗 原文链接：https://replicate.com/blog/how-to-prompt-seedream-5
6. Recraft V4 ：具有设计品味的图像生成原文：Recraft V4: image generation with design taste
Recraft V4生成以艺术为导向的图像和实际可编辑的SVG ，具有强大的构图、精确的文本渲染以及Recraft团队所谓的“设计品味”。”现在在Replicate上有四种型号可供选择。
📰 AI 安全与大模型⏰ Wed, 18 Fe
🔗 原文链接：https://replicate.com/blog/recraft-v4
7. 在Replicate上运行Isaac 0.1原文：Run Isaac 0.1 on Replicate
Isaac 0.1是一个轻量级、接地的视觉语言模型，专为真实世界感知而构建。
📰 AI 安全与大模型⏰ Wed, 26 No
🔗 原文链接：https://replicate.com/blog/isaac-01
8. 在Replicate上运行FLUX.2原文：Run FLUX.2 on Replicate
FLUX.2带来了前所未有的细节、多引用支持和企业效率的专业级图像生成和编辑。
📰 AI 安全与大模型⏰ Tue, 25 No
🔗 原文链接：https://replicate.com/blog/run-flux-2-on-replicate
☁️云安全(8条)
1. AWS与德国的参与者保险公司一起完成第二次GDV社区审计原文：AWS completes the second GDV community audit with participant insurers in Germany
我们很高兴地宣布，亚马逊网络服务（ AWS ）已完成第二次GDV （德国保险协会）社区审核，来自德国保险业的36名成员参加了审核，在保险费方面覆盖了德国市场63%以上。社区…
📰 云安全⏰ Tue, 17 Ma
🔗 原文链接：https://aws.amazon.com/blogs/security/aws-completes-the-second-gdv-community-audit-with-participant-insurers-in-germany/
2. Amazon Connect将代理语音到语音语音体验扩展到伦敦（欧洲）地区，并添加了三种新的语音原文：Amazon Connect expands agentic speech-to-speech voice experiences to the London (Europe) region and …
Amazon Connect现在在另一个AWS区域（欧洲（伦敦） ）提供代理语音到语音语音体验。Amazon Connect还在美国西班牙语和英国英语中增加了三个新的语音转语音语音： Pedro （ es-US ）、Amy （ en-GB ）和Brian （ en-GB ）。Amazon Connect的代理商…
📰 云安全⏰ Wed, 18 Ma
🔗 原文链接：https://aws.amazon.com/about-aws/whats-new/2026/03/amazon-connect-london-europe-region/
3. Amazon Connect语音AI代理现在支持13种新语言原文：Amazon Connect voice AI agents now supports 13 new languages
Amazon Connect现在支持13种新的语音人工智能代理语言，使语言区域总数达到40种。新语言包括阿拉伯语（沙特阿拉伯）、捷克语、丹麦语、荷兰语（比利时）、英语（爱尔兰）、英语（新西兰）、英语（威尔士）、德语（瑞士）、冰岛语、罗马尼亚语…
📰 云安全⏰ Tue, 17 Ma
🔗 原文链接：https://aws.amazon.com/about-aws/whats-new/2026/03/amazon-connect-voice-ai-agents-13-languages/
4. Amazon SageMaker Unified Studio支持数据沿袭的聚合视图原文：Amazon SageMaker Unified Studio supports aggregated view of data lineage
Amazon SageMaker Unified Studio现在提供数据沿袭的聚合视图，显示对您的数据集有贡献的所有作业。聚合视图为您提供了整个谱系图中数据转换和依赖关系的完整画面，帮助您快速识别所有上游…
📰 云安全⏰ Tue, 17 Ma
🔗 原文链接：https://aws.amazon.com/about-aws/whats-new/2026/03/amazon-sageMaker-unified-studio-aggregated-view -data-lineage/
5. SageMaker培训计划现在可以在不重新配置工作负载的情况下扩展现有产能承诺原文：SageMaker Training Plans now enables extending of existing capacity commitments without workload rec…
SageMaker培训计划允许您在指定时间范围内在集群大小最多64个实例中保留GPU容量。今天， Amazon SageMaker AI宣布，当您的AI工作负载比预期更长时，现在可以延长培训计划，确保不间断地访问电容…
📰 云安全⏰ Tue, 17 Ma
🔗 原文链接：https://aws.amazon.com/about-aws/whats-new/2026/03/amazon-sagemaker-training-plan-extension/
6. AWS BLU Insights现在是适用于大型机重构的AWS Transform原文：AWS Blu Insights is now AWS Transform for mainframe refactor
AWS BLU Insights功能现已作为AWS Transform的一部分提供，使客户能够从AWS Transform控制台启动大型机重构项目。此次发布在AWS Transform for mai中统一了所有三种大型机现代化模式—重构、重平台和重构…
📰 云安全⏰ Tue, 17 Ma
🔗 原文链接：https://aws.amazon.com/about-aws/whats-new/2026/03/aws-transform-mainframe-refactor/
7. 推出精确数据控制的自定义区域原文：Introducing Custom Regions for precision data control
我们正在扩大区域服务，增加新的预定义区域，并推出定制区域。客户现在可以为数据处理定义精确的地理边界，以满足其合规性和性能需求。
📰 云安全⏰ Wed, 18 Ma
🔗 原文链接：https://blog.cloudflare.com/custom-regions/
8. 为开放的互联网挺身而出：为什么我们对意大利的“盗版盾牌”罚款提出上诉原文：Standing up for the open Internet: why we appealed Italy’s “Piracy Shield” fine
Cloudflare正在就“盗版盾牌” （ Piracy Shield ）系统向意大利监管机构提出1400万欧元的罚款，该系统迫使提供商在没有监督的情况下阻止内容。我们正在挑战这一框架，以保护互联网免受不成比例的过度封锁和缺乏正当程序的影响。
📰 云安全⏰ Mon, 16 Ma
🔗 原文链接：https://blog.cloudflare.com/standing-up-for-the-open-internet/
🏆漏洞平台(5条)
1. CVE-2017-20187
🔗 阅读原文 — # # # 2. CVE-2017-7252 **来源 **: 漏洞平台 **时间 **: 2.1.0之前的Botan中的bcrypt密码哈希无法正确处理长度在57到72个字符之间的密码，这使得攻击者更容易确定明文密码。
📰 漏洞平台⏰ ** UNSUPPPORTED WHEN ASSIGNED ** ** UNSUPPORTED WHEN ASSIGNED ** A vulnerability was found in Magnesium-PHP up to 0.3.0. It has been classified as problematic. Affected is the function formatEmailString of the file src/Magnesium/Message/Base.php. The manipulation of the argument email/name leads …
🔗 原文链接：https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-7252
2. CVE-2018-25092
🔗 阅读原文 — # # # 4. CVE-2018-25093 **来源 **: 漏洞平台 **时间 **: 在2.10.2之前的Vaerys-Dawn DiscordSailv2中发现了一个漏洞。 它已被评为严重。 受此问题影响的是组件标记处理程序的一些未知功能。 这种操作会导致访问控制不当。 升级到版本2.10.3能够解决此问题。…
📰 漏洞平台⏰ A vulnerability was found in Vaerys-Dawn DiscordSailv2 up to 2.10.2. It has been declared as critical. Affected by this vulnerability is an unknown functionality of the component Command Mention Handler. The manipulation leads to improper access controls. Upgrading to version 2.10.3 is able to ad…
🔗 原文链接：https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2018-25093
3. CVE-2020-28407
🔗 阅读原文 — ### 6. [GHSA-wc64-r4v7-rjwr] Malware in transform-modules-systemjs **来源**: 漏洞平台 **时间**: 2026-03-18 Any computer that has this package installed or running should be co…
📰 漏洞平台⏰ In swtpm before 0.4.2 and 0.5.x before 0.5.1, a local attacker may be able to overwrite arbitrary files via a symlink attack against a temporary file such as TMP2-00.permall.
🔗 原文链接：tag:github.com,2008:GHSA-wc64-r4v7-rjwr
4. [GHSA-9xfj-83q4-hxj6] Malware in transform-dynamic-import
Any computer that has this package installed or running should be considered fully compromised. All secrets and keys stored on that computer should be rotated immediately from a different computer. The package should be removed, but as full control o…
📰 漏洞平台⏰ 2026-03-18
🔗 原文链接：tag:github.com,2008:GHSA-9xfj-83q4-hxj6
5. [GHSA-m6hv-9gh4-4c85] Malware in transform-json-strings
Any computer that has this package installed or running should be considered fully compromised. All secrets and keys stored on that computer should be rotated immediately from a different computer. The package should be removed, but as full control o…
📰 漏洞平台⏰ 2026-03-18
🔗 原文链接：tag:github.com,2008:GHSA-m6hv-9gh4-4c85
📌社区与社交媒体(8条)
1. 使用ACME续订信息(ARI)简化数百万个域的证书续订原文：Simplifying Certificate Renewals for Millions of Domains with ACME Renewal Information (ARI)
评论
📰 社区与社交媒体⏰ Tue, 17 Ma
🔗 原文链接：https://letsencrypt.org/2026/03/17/acme-renewal-information-ari.html
2. 我们不需要通过入侵您的AI Agent来入侵您的AI Agent原文：We don’t need to hack your AI Agent to hack your AI Agent
评论
📰 社区与社交媒体⏰ Tue, 17 Ma
🔗 原文链接：https://srlabs.de/blog/hacking-ai-agent
3. 从第一原则构建软件保护系统原文：building a software protection system from first principles
评论
📰 社区与社交媒体⏰ Mon, 16 Ma
🔗 原文链接：https://seg6.space/posts/software-protection-system/
4. CVE-2026-2673的纯安全OpenSSL tarball版本原文：Security-only OpenSSL tarball releases for CVE-2026-2673
评论
📰 社区与社交媒体⏰ Mon, 16 Ma
🔗 原文链接：https://blog.surgut.co.uk/2026/03/security-only-openssl-tarball-releases.html
5. 入侵Xbox One原文：Hacking the Xbox One
评论
📰 社区与社交媒体⏰ Mon, 16 Ma
🔗 原文链接：https://www.youtube.com/watch?v=FTFn4UZsA5U
6. 如何在Lightning Network SDK (CVSS 9.8)中找到关键身份验证绕过原文：How I Found a Critical Authentication Bypass in a Lightning Network SDK (CVSS 9.8)
通过Rust加密、webhook验证和真实世界漏洞利用的漏洞赏金之旅免责声明：此漏洞是通过官方漏洞赏金计划负责任地披露的。根据负责任的披露道德，程序名称和公司已被故意省略。所有测试…
📰 社区与社交媒体⏰ Wed, 18 Ma
🔗 原文链接：https://infosecwriteups.com/how-i-found-a-critical-authentication-bypass-in-a-lightning-network-sdk-cvss-9-8-79f76eda1d84?source=rss—-7b722bfd1b8d—4
7. 我是如何在主要的加密货币交易所发现完整的CSRF保护绕过以及发生了什么……原文：How I Discovered a Complete CSRF Protection Bypass on a Major Crypto Exchange And What Happened…
我如何在主要的加密货币交易所发现了一个完整的CSRF保护绕过以及接下来发生的事情一个关于持久性， Django内部的错误赏金故事，以及一个关于计划范围的艰难教训简介每个错误赏金猎人都有一个故事—这个发现感觉像是一个突破，只有…
📰 社区与社交媒体⏰ Wed, 18 Ma
🔗 原文链接：https://infosecwriteups.com/how-i-discovered-a-complete-csrf-protection-bypass-on-a-major-crypto-exchange-and-what-happened-10c7fc794324?source=rss—-7b722bfd1b8d—4
8. 暗网： Google之外的真实存在原文：The Dark Web: What Really Exists Beyond Google
在隐藏的互联网中，大多数人永远不会看到继续阅读信息安全写作»
📰 社区与社交媒体⏰ Wed, 18 Ma
🔗 原文链接：https://infosecwriteups.com/the-dark-web-what-really-exists-beyond-google-00d2315134be?source=rss—-7b722bfd1b8d—4
🇨🇳中国安全媒体(7条)
1. 360龙虾卫士上线：九大能力专治OpenClaw“裸奔”
OpenClaw的爆火，让2026年成为智能体全面落地的转折之年。AI正从“会聊天”的参谋，变成“会办事”的员工——随着OpenClaw开始进入办公、开发和内容创作等实际场景，恶意技能投毒、隐私泄露、API密钥被盗等安全事件频发。安全，成为这场变革中最关键的一环。 近日，360首次将“安全”作为智能体产品的核心基因，推出行业首创的“安全龙虾”系列产品，其中专攻OpenClaw风险的“360龙虾卫士”正式亮相。该产品采用“最小权限原则”和“人在回路”的核心防护策略，在不影响OpenCla…
📰 中国安全媒体⏰ Wed, 18 Ma
🔗 原文链接：https://www.4hou.com/posts/OG1E
2. AI时代中国网络安全产业的五年变局|| 网络安全投融资的残酷分流
网络安全行业投融资正迎来结构性分化，并非市场资金总量收缩，而是投资逻辑发生根本性转变。这个转变的根子，在前三篇已经埋好。商业篇讲过，客户不再为合规过检买单，要的是可量化的实战效果。技术篇说过，AI让攻防进入机器速度对抗，传统规则库形同虚设。人才篇则指出，行业正在淘汰人肉报警器，争抢能指挥AI Agent的复合型人才。这三条线拧在一起，直接改写了资本评估安全企业的坐标系，以前看政企覆盖、等保资质、项目规模，现在只看一件事：你的AI能不能真的挡住攻击，能不能把安全从成本中心变成能赚钱的业务。2025…
📰 中国安全媒体⏰ Wed, 18 Ma
🔗 原文链接：https://www.4hou.com/posts/MXY1
3. 嘶吼安全动态｜360回应“安全龙虾”私钥泄露：已吊销证书，系发布失误微博 Delta工业通信系统曝高危漏洞
嘶吼安全动态【国内新闻】360回应“安全龙虾”私钥泄露：已吊销证书，系发布失误微博摘要：360安全龙虾被曝安装包含明文SSL私钥，公司称系发布失误，已吊销证书并启动内部排查，用户不受影响。原文链接：https://m.weibo.cn/detail/5277399274750553钉钉CEO：OpenClaw 15%技能可窃取密钥或部署木马摘要：OpenClaw默认配置脆弱，全球超27万实例暴露公网，其技能市场遭供应链污染，15%技能含恶意指令。原文链接：http://m.toutiao.com…
📰 中国安全媒体⏰ Wed, 18 Ma
🔗 原文链接：https://www.4hou.com/posts/NGZ8
4. 企业邮箱防钓鱼攻击：邮件安全网关的3大核心技术
企业邮件钓鱼攻击正呈爆发式增长，风险不容忽视。Coremail CACTER邮件安全发布的《2025年第四季度企业邮箱安全性研究报告》显示：钓鱼邮件数量激增至4.25亿封，环比上涨148.65%。当员工误点击钓鱼邮件链接时，可能导致邮箱账号被盗、企业数据泄露、财务诈骗（BEC攻击）等严重安全事件。因此很多企业开始部署邮件安全网关来防御邮件攻击。但一个常见问题是：邮件安全网关能拦住所有钓鱼攻击吗？答案是：邮件安全网关可以拦截绝大多数钓鱼邮件，但无法100%拦截所有定制化攻击，企业需要“技术防护+员…
📰 中国安全媒体⏰ Tue, 17 Ma
🔗 原文链接：https://www.4hou.com/posts/LGXv
5. 新窃密技术预警：现代光学鼠标窃密
Mic-E-Mouse attack，即“麦克风-鼠标攻击”，是一种侧信道技术，在这种技术下，攻击者无需麦克风即可通过高DPI光学鼠标传感器实现窃听。原理如下：你的电脑鼠标，特别是高分辨率光学鼠标（例如，配备高DPI传感器的现代游戏鼠标、或精密鼠标）——可以捕捉到你说话时产生的微小振动，并将这些振动重构为语音。事实上，会谈时的声音会使桌面振动，桌面表面会发生微小的移动。光学传感器会捕捉到这些移动，然后通过信号处理和机器学习，就可以完成余下的音频复原工作。重要启示：该攻击再次挑战了人们对隐私和硬件…
📰 中国安全媒体⏰ Tue, 17 Ma
🔗 原文链接：https://www.4hou.com/posts/Aryj
6. 吾爱破解论坛精华集2025
[md] #导语 今年的《吾爱破解精华集》论坛收到了来自135位同学发布的共计**217**篇 优秀、精华帖（**精华帖111篇**）。同学们的每一篇优秀文章都是宝贵的财富，请允许我以吾爱破解论坛站务组的名誉对向你们表示真诚的感谢！ 本年度电子书在部分代码的优化和文章整 …
📰 中国安全媒体⏰ Tue, 17 Ma
🔗 原文链接：https://www.52pojie.cn/forum.php?mod=viewthread&tid=2097399
7. 《吾爱破解精华集 2025》电子书自解压文件InnoSetup安装脚本
[md] 《吾爱破解精华集 2025》电子书自解压文件InnoSetup安装脚本 ========================================================= # 【基本信息】 源码名称：《吾爱破解精华集 2025》电子书自解压文件InnoSetup安装 …
📰 中国安全媒体⏰ Tue, 17 Ma
🔗 原文链接：https://www.52pojie.cn/forum.php?mod=viewthread&tid=2097395
📌区块链与 Web3 安全(8条)
1. OFAC が北朝鮮 IT 労働者の暗号資産ネットワークを制裁指定、WMD 資金調達スキームの全容
※この記事は自動翻訳されています。正確な内容につきましては原文をご参照ください。 要約 OFAC は、2024 年に約 8 億ドルを生み出し北朝鮮の兵器開発に資金を供給した北朝鮮 IT 労働者スキームを仲介した 6 人の個人と 2 つの団体を指定しました。 主要な仲介者は、2023 年半ばから 2025 年半ばにかけて、北朝鮮 IT 労働者のために約 250… The post OFAC が北朝鮮 IT 労働者の暗号資産ネットワークを制裁指定、WMD 資金調達スキームの全容 appe…
📰 区块链与 Web3 安全⏰ Tue, 17 Ma
🔗 原文链接：https://www.chainalysis.com/blog/ofac-targets-north-korean-it-workers-crypto-march-2026-japanese/
2. FATF 報告書が示すステーブルコイン規制の転換点：流通市場モニタリングの時代へ
※この記事は自動翻訳されています。正確な内容につきましては原文をご参照ください。 要約 84% という現実： ステーブルコインは今や、不正な暗号資産トランザクションの 84% を占めています。普及の拡大に伴い、ステーブルコインに特化したコンプライアンスが喫緊の規制課題となっています。 「流通市場」の時代： 規制の焦点は、入出金の監視にとどまりません。FATF は、個人ウォレットを介した P2P トランザクションを含むステーブルコインのライフサイクル全体の監視を求めており、発行者にはオンチェーンデ…
📰 区块链与 Web3 安全⏰ Mon, 16 Ma
🔗 原文链接：https://www.chainalysis.com/blog/fatf-targeted-report-secondary-market-monitoring-stablecoins-march-2026-japanese/
3. OFAC Targets North Korean IT Worker Networks Using Cryptocurrency to Fund WMD Programs
TL;DR OFAC designated six individuals and two entities for facilitating North Korean IT worker schemes that generated nearly $800 million… The post OFAC Targets North Korean IT Worker Networks Using Cryptocurrency to Fund WMD Programs appeared …
📰 区块链与 Web3 安全⏰ Thu, 12 Ma
🔗 原文链接：https://www.chainalysis.com/blog/ofac-targets-north-korean-it-workers-crypto-march-2026/
4. Assessing the FATF Targeted Report: The Shift Toward Secondary Market Monitoring for Stablecoins
TL;DR The 84% reality: Stablecoins now account for the vast majority of illicit crypto transaction volume. This shift — aligned… The post Assessing the FATF Targeted Report: The Shift Toward Secondary Market Monitoring for Stablecoins appeared …
📰 区块链与 Web3 安全⏰ Wed, 11 Ma
🔗 原文链接：https://www.chainalysis.com/blog/fatf-targeted-report-secondary-market-monitoring-stablecoins-march-2026/
5. Crypto Crime in 2025 Was Primarily Driven by 694% Surge in State-Driven Sanctions Evasion Volume
TL;DR The value received by sanctioned entities surged 694% in 2025, driving total illicit transaction volume to a record $154… The post Crypto Crime in 2025 Was Primarily Driven by 694% Surge in State-Driven Sanctions Evasion Volume appeared f…
📰 区块链与 Web3 安全⏰ Thu, 05 Ma
🔗 原文链接：https://www.chainalysis.com/blog/crypto-sanctions-2026/
6. The Promise of Ethereum: Introducing the EF Mandate
Dearest Friends, Today we are publishing the EF Mandate, a document that serves as part constitution, part manifesto, and part guide for the Ethereum Foundation. It is written primarily for the EF itself: to be clear about what we are here to do, the…
📰 区块链与 Web3 安全⏰ Fri, 13 Ma
🔗 原文链接：https://blog.ethereum.org/en/2026/03/13/ef-mandate
7. This Is Fine (Until the Grant Runs Out)
The commons called. It wants a runway. Every so often, in the blockchain world’s usual cycle of funding scares, a team maintaining a widely used open source public good declares mayday. Libp2p is a core infrastructure stack that powers multiple Ether…
📰 区块链与 Web3 安全⏰ Fri, 27 Fe
🔗 原文链接：https://blog.ethereum.org/en/2026/02/27/project-odin
8. Treasury Staking Initiative
The Ethereum Foundation has begun staking a portion of its treasury, in line with its Treasury Policy announced last year. Approximately 70,000 ETH is being staked with rewards directed back to the EF treasury….
📰 区块链与 Web3 安全⏰ Tue, 24 Fe
🔗 原文链接：https://blog.ethereum.org/en/2026/02/24/staking
📌移动安全(8条)
1. Get inspired and take your apps to desktop
Posted by Ivy Knight, Senior Design Advocate, AndroidWe’re thrilled to announce major updates to our design resources, giving you the comprehensive guidance you need to create polished, adaptive Android apps across all form factors! We now have …
📰 移动安全⏰ Mon, 16 Ma
🔗 原文链接：https://android-developers.googleblog.com/2026/03/Get-inspired-and-take-your-apps-to-desktop.html
2. Room 3.0 – Modernizing the Room
Posted by Daniel Santiago Rivera, Software EngineerThe first alpha of Room 3.0 has been released! Room 3.0 is a major breaking version of the library that focuses on Kotlin Multiplatform (KMP) and adds support for JavaScript and WebAssembly (WASM) on…
📰 移动安全⏰ Fri, 13 Ma
🔗 原文链接：https://android-developers.googleblog.com/2026/03/room-30-modernizing-room.html
3. TikTok reduces code size by 58% and improves app performance for new features with Jetpack Compose
Posted by Ajesh R Pai, Developer Relations Engineer & Ben Trengrove, Developer Relations EngineerTikTok is a global short-video platform known for its massive user base and innovative features. The team is constantly releasing updates, experiment…
📰 移动安全⏰ Fri, 13 Ma
🔗 原文链接：https://android-developers.googleblog.com/2026/03/tiktok-reduces-code-size-by-58.html
4. Level Up: Test Sidekick and prepare for upcoming program milestones
Posted by Maru Ahues Bouza, PM Director, Games on Google PlayLast September, we shared our vision for the future of Google Play Games grounded in a core belief: the best way to drive your game’s success is to deliver a world-class player experience. …
📰 移动安全⏰ Wed, 11 Ma
🔗 原文链接：https://android-developers.googleblog.com/2026/03/level-up-your-game.html
5. Expanding our stage for PC and paid titles
Posted by Aurash Mahbod, VP and GM, Games on Google PlayGoogle Play is proud to be the home of over 200,000 games—many of which defined the mobile-first era. But as cross-platform becomes the standard for players, we are evolving our ecosystem …
📰 移动安全⏰ Wed, 11 Ma
🔗 原文链接：https://android-developers.googleblog.com/2026/03/building-a-bigger-stage.html
6. PhantomRaven NPM Supply-Chain Attack: How Remote Dependencies Hide Malware
The PhantomRaven campaign shows how attackers can hide malware outside the npm registry using RDD, allowing malicious code to execute during installation while bypassing many traditional security scanners. This blog addresses why it is a particularly…
📰 移动安全⏰ Fri, 13 Ma
🔗 原文链接：https://www.nowsecure.com/blog/2026/03/13/phantomraven-npm-supply-chain-attack-how-remote-dependencies-hide-malware/
7. Closing the Mobile Security Gap: What Mobile App Risk Intelligence Means for Mobile EDR
What is Mobile App Risk Intelligence? Mobile App Risk Intelligence analyzes mobile applications to identify security, privacy and behavioral risks that could expose enterprise data. It evaluates issues such as insecure data storage, dangerous permiss…
📰 移动安全⏰ Tue, 10 Ma
🔗 原文链接：https://www.nowsecure.com/blog/2026/03/10/closing-the-mobile-security-gap-what-mobile-app-risk-intelligence-means-for-mobile-edr/
8. Authenticated Mobile App Security Testing Finds 78% More Sensitive Data Risk
It doesn’t take a particle physicist to figure out that authenticated mobile app security testing will give you better results. But I never really had data to back it up. Recently, NowSecure CTO David Weinstein analyzed about 105,000 mobile app asses…
📰 移动安全⏰ Wed, 25 Fe
🔗 原文链接：https://www.nowsecure.com/blog/2026/02/25/authenticated-mobile-app-security-testing-finds-78-more-sensitive-data-risk/
📌数据隐私与合规(5条)
1. CUI vs. Classified vs. Other Sensitive Data: Understanding the Differences
Understand the key differences between CUI, classified, and sensitive data types—and how to secure each to meet compliance and reduce risk. The post CUI vs. Classified vs. Other Sensitive Data: Understanding the Differences appeared first on archTIS.
📰 数据隐私与合规⏰ Tue, 28 Oc
🔗 原文链接：https://www.spirion.com/blog/cui-vs-classified-vs-other-sensitive-data
2. Not All DSPM Solutions Are Created Equal
Evaluate DSPM solutions with confidence. Ask the right questions to avoid blind spots in structured and unstructured data protection. The post Not All DSPM Solutions Are Created Equal appeared first on archTIS.
📰 数据隐私与合规⏰ Thu, 09 Oc
🔗 原文链接：https://www.spirion.com/blog/not-all-dspm-are-created-equal
3. CMMC Final Rule Published: What It Means for DoD Contractors and How Spirion Can Help
CMMC Final Rule is here. Learn what it means for DoD contractors and how Spirion accelerates compliance with NIST 800-171 and CUI protection. The post CMMC Final Rule Published: What It Means for DoD Contractors and How Spirion Can Help appeared firs…
📰 数据隐私与合规⏰ Thu, 18 Se
🔗 原文链接：https://www.spirion.com/blog/cmmc-final-rule-published
4. Spirion Sensitive Data Platform v13.5: Unlocking the Next Generation of Data Security
Discover Spirion SDP v13.5 for faster scans, zero-trust controls & Gmail support. The next evolution in DSPM is here. The post Spirion Sensitive Data Platform v13.5: Unlocking the Next Generation of Data Security appeared first on archTIS.
📰 数据隐私与合规⏰ Fri, 29 Au
🔗 原文链接：https://www.spirion.com/blog/sdp-13-5-next-gen-data-security
5. archTIS and Spirion — Securing the Data Layer Together
archTIS is acquiring Spirion’s technology, team, and customers to deliver a stronger, more comprehensive suite of data security solutions. The post archTIS and Spirion — Securing the Data Layer Together appeared first on archTIS.
📰 数据隐私与合规⏰ Thu, 28 Au
🔗 原文链接：https://www.spirion.com/blog/spirion-archtis-joining-forces
📝 关于本报
-
🤖 本日报由 AI 自动抓取整理，每日上午 9:00 更新
-
📬 涵盖：漏洞预警、技术研究、威胁情报、云安全、AI 安全等 12 个分类
生成时间：2026-03-18 18:24:50
🍐 枇杷熟了
专注网络安全技术分享
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：枇杷熟了 枇杷哥
枇杷哥《枇杷熟了-全球网络安全日报2026-03-18》