不安全

六月底离职后，作者计划利用暑假调整身体作息、处理事务并准备面试。近期因久坐少锻炼感到不适，选择医院体检并开始跑步锻炼。回顾过去三次职业空档期的经历，包括在家锻炼、阅读和学习新技能等。同时尝试自己做饭节省开支，并重新使用旧Kindle阅读。

Citrix于6月发布三个安全漏洞（CVE编号： CVE-2025–6888, CVE–...），影响NetScaler ADC和Gateway多个版本。其中两个漏洞引发关注： CVE–... 被认为是内存泄露问题（类似CitrixBleed），而另一个可能导致控制流问题或拒绝服务。研究人员开发了针对前者exploit，并发现可泄露会话令牌和凭据。建议检查日志和审计会话以应对潜在威胁。

CitrixBleed 2（CVE-2025-5777）是Citrix NetScaler ADC和Gateway中的严重漏洞，允许未认证攻击者通过构造特定HTTP请求窃取内存数据，包括认证令牌和敏感信息。该漏洞可能导致MFA绕过、会话劫持及系统入侵。尽管Citrix已于6月初发布补丁，但因部分组织延迟修复且PoC公开传播，风险显著增加。CERT-AGID监测到针对意大利主机的扫描活动，并发现多个公共部门及金融机构可能受影响。建议立即安装补丁并终止所有会话以缓解风险。

文章描述了NordDragonScan恶意软件通过伪装文件传播，窃取文档、浏览器数据和截图，并将其发送至C2服务器。该软件利用LNK快捷方式和HTA脚本进行攻击，并创建持久化机制以维持长期存在。

文章探讨了攻击面管理在网络安全中的重要性，并介绍了如何通过整合Tenable的攻击面管理和漏洞扫描工具来提升暴露管理能力。作者分享了实践经验，强调了全面了解攻击面和自动化风险识别的重要性，并展望了未来通过自动化和整合工具进一步优化流程的方向。

Cloudflare推出新功能支持基于主机名、域名、内容类别和应用程序设置出站策略。该功能通过DNS解析与网络流量关联实现，并解决IP地址动态变化问题。未来计划扩展更多应用场景。

Trustwave获得FedRAMP授权，成为首个纯MDR提供商。其Government Fusion平台提供安全服务，助力政府供应商提升可信度、合规性及市场准入。

文章探讨了在不确定经济环境下如何通过风险管理提升网络安全策略的有效性。强调将技术威胁转化为业务风险语言的重要性，并介绍了FAIR等框架帮助量化风险、优化投资决策。

梨子分享离谱图片：Windows重装大师收费98元合法？对比经典诈骗图；宝上类似服务合法但商业模式引人不适；联想远程重装涨价；推荐正版Windows购买渠道。

Let's Encrypt首次为IP地址颁发证书，既方便了无域名网站的安全访问，也带来了潜在风险。虽然该功能支持远程设备管理等合法需求，但也可能被网络犯罪分子滥用进行钓鱼攻击。用户需警惕包含IP地址的链接，并采取多因素认证等安全措施保护账户安全。

台湾国安局警告称，TikTok、微信等中国开发的应用程序存在过度收集用户数据并传输至中国的安全风险。这些应用涉嫌滥用权限、侵犯隐私，并可能因中国法律要求企业向政府提供数据而威胁用户隐私和企业机密。

TikTok聘请了英国数据保护机构ICO的高级官员Stephen Bonner担任欧洲数据保护部门负责人。Bonner曾参与对TikTok滥用儿童数据的调查并开出1270万英镑的罚单。此举引发利益冲突和监管捕获的担忧。

研究人员发现160亿条登录记录暴露，涉及GitHub、Telegram等平台账户。尽管部分数据为新鲜泄露，但大量为旧数据被重复利用。专家警告称，这些凭证可被用于账户接管和网络钓鱼等攻击。尽管数据年龄存疑，但其规模和结构仍构成严重威胁。建议用户加强密码管理并采用多因素认证等安全措施以应对风险。

文章介绍了运营技术（OT）网络安全的基础知识，包括OT系统的组成、与工业控制系统（ICS）和网络物理系统（CPS）的关系以及物联网（IoT）的部分归属。强调了OT安全的核心目标是保障物理过程的安全性和可用性，并通过实际案例展示了其重要性。

文章探讨了网络安全威胁的多样性和复杂性，包括朝鲜IT员工利用虚假身份窃取数据、中国黑客利用Ivanti漏洞攻击法国机构、Google Chrome零日漏洞被利用、俄罗斯加密货币托管服务提供商被制裁等事件。同时，文章还涉及恶意软件、漏洞利用和网络攻击技术的最新动态。

研究发现17篇学术论文中藏有针对大型语言模型（LLMs）的隐藏指令，涉及计算机科学领域。这些一至三句的指令要求AI仅给出正面评价或推荐论文，并通过白色文字或极小字体隐藏。

《使命召唤：二战》PC版因存在远程代码执行漏洞被下线，玩家可借此控制他人电脑并进行恶意操作。该漏洞影响Game Pass版本，建议停用直至修复。

文章描述了一个针对匈牙利CERT和其他机构的网络钓鱼活动，攻击者利用亚马逊S3托管钓鱼页面，并集成Cloudflare Turnstile以增强可信度。钓鱼链接预填受害者邮箱地址，并使用Logokit套件实时获取目标品牌标志和favicon。攻击者通过mettcoint.com收集凭证，并持续针对全球银行、物流等机构展开攻击。

当前环境异常，请完成验证以继续访问。

文章探讨了默认密码在物联网安全中的严重威胁，指出其易被攻击者利用以构建僵尸网络、部署勒索软件或破坏供应链安全。制造商和IT团队需采取措施消除默认密码风险，如采用唯一凭证、零信任机制等安全设计原则。