深度探索
来自我们记者的行业洞察
包括Anthropic、AWS、IBM和微软在内的多家科技公司宣布联合行动，旨在发现、披露并修复开源软件中的安全漏洞。该联盟名为Akrites，将建立共享安全事件响应团队及协调漏洞披露流程。此举主要源于前沿AI模型的出现，极大加速了漏洞发现速度，而现有开源生态难以快速响应。
特朗普政府宣布启动名为Gold Eagle的漏洞管理中枢，旨在协调安全社区使用前沿AI模型快速识别和修复漏洞。该项目由白宫主导，与卡内基梅隆大学软件工程研究所合作运营VINCE平台，重点聚焦开源软件，以应对AI驱动的漏洞数量激增给安全社区带来的压力。
VulnCheck的研究人员警告称，两个关键的Microsoft SharePoint漏洞——一个认证绕过漏洞（CVE-2026-55040）和一个输入验证缺陷（CVE-2026-63520）——可被串联利用，使未认证的攻击者能够在易受攻击的服务器上执行代码。虽然仅认证绕过的影响有限，但将其与第二个缺陷串联利用可实现完全严重性。Rapid7于8月11日披露了一个概念验证；几天后确认了利用活动。微软已在其7月和8月的安全更新中发布了补丁。Defused研究人员报告称，蜜罐中观察到使用该漏洞链的探测活动。
CISA将Zimbra漏洞（CVE-2026-73570）列入已知被利用漏洞目录，要求联邦机构在三天内完成修补。该漏洞自8月中旬起遭黑客利用，全球数千组织仍在使用易受攻击版本。
英国政府官员证实，一处小型电力设施因疑似与伊朗有关联的黑客攻击于7月被迫关闭四天。官员称事件仅影响单一设施，未对全国电网造成更广泛影响。
多名资深众议院民主党人致函政府问责局（GAO），要求其研究网络安全与基础设施安全局（CISA）在经历大规模裁员和使命调整后的恢复情况，评估其对关键基础设施保护和网络威胁应对能力的影响。
微软披露了Entra ID中的一个严重远程代码执行漏洞，编号CVE-2026-69836，严重性评分为10分（满分10分）。该漏洞与不可信数据的反序列化有关，由微软自身安全研究人员发现。微软表示漏洞已完全缓解，无需客户采取额外行动，并强调披露旨在提高透明度。
DEF CON Franklin项目自2024年底启动以来，已向21家水务设施派遣27名志愿者，提供从基础密码管理到应急响应规划等多样化支持。项目不仅提升了参与设施的防护能力，还通过调研揭示了免费安全服务“附带条件”、小型设施人手不足等现实问题。尽管规模有限，项目经验正通过口碑在同行间扩散。
安全研究人员自2026年初持续追踪针对思科SD-WAN漏洞的攻击活动，这些攻击已影响关键政府网站和基础设施提供商。专家指出，边缘基础设施是企业安全中价值最高的目标，思科产品因广泛部署于政府和企业网络而频繁成为攻击对象。
特朗普政府3月宣布启动一项试点计划，帮助各州为关键基础设施提供网络安全防御资金。然而，三个月后，至少26个州和哥伦比亚特区未参与该计划，部分州甚至不知情。白宫对计划细节鲜有披露，引发外界对其承诺的质疑。