安全资讯 第15页
聚合当前分类下的最新内容，按时间顺序查看第 15 页精选文章。
FBI只扣了三个域名,就说瘫痪了中国黑客僵尸网络?
美国司法部扣押了南京鑫玖维网络科技运营的QTFY黑客基础设施相关的三个域名,称已让攻击NASA、参议院等机构的僵尸网络瘫痪。但QTFY其实是一套可供多个中国国家背景团伙共享租用的侦察-代理服务化流水线,扣三个硬编码域名能否伤到根本,存疑。
两人死亡牵出Taylor Farms：美国沙拉供应链的集中风险
食源性疾病事件造成两人死亡，供应链追查把Taylor Farms推到台前，但“出现在追溯链条中”不等于已经确证为全部感染源。更值得警惕的是，这家公司以自有品牌、商超贴牌和餐饮配供深入美国生鲜体系；规模本身不是罪，供应商不透明、采购过度集中和备用能力不足才会把一次事故放大成全国风险。
录音曝光:Flock CEO私下否认堕胎监控案,法庭记录当场打脸
美国最大车牌识别监控公司Flock的CEO Garrett Langley在与俄亥俄警方的私下电话中,反复否认404 Media关于德州警方用其系统追踪一名自行终止妊娠女性的报道,还教警方如何应对媒体。法庭记录、警方文件与阿克伦本地数据显示,他的三点辩解都对不上事实,这场公关操作背后是一整套尚未被真正约束的监控滥用问题。
佛州警方用假 Flock 摄像头和亚马逊包裹设诱饵，法律争议不在摄像头真假
一档播客披露，警方用仿制 Flock Safety 车牌摄像头和亚马逊包裹引诱嫌疑人下手，案件随后牵出重大盗窃等指控。真正值得追问的，不是诱饵像不像，而是检方能否把一个并不存在的真实财产损失，转换成足以支撑重罪的法律价值。
Ring新加密上线,警方拿不到视频了?先看清24小时那个缺口
Ring推出名为TAKE的新加密方案,称能让警方只拿到加密视频而非可读内容。但密钥在云端仍会短暂留存24小时,搜查令恰好在这个窗口送达会怎样,Ring没有回答,所有安全承诺目前也全靠自证。
Rockstar回应GTA 6泄露：视频属实，但还不能拿它给成品判分
Rockstar确认《GTA 6》游戏画面遭到泄露，并称团队对此“心碎”，同时表示开发已接近完成。官方回应确认了泄露事件，却没有证明网上流传的每段视频都可靠，也没有给出延期依据；现阶段最该区分的是开发素材与最终成品。
Omarchy安全风波:DHH说的是真话,但没说全
独立博主炮轰DHH的Linux发行版Omarchy漏洞成堆、宣传撒谎,但档案还原后发现:漏洞规模比原文暗示的更大,风险却比原文说的更小。
Python的str.lower()捅出CVE,但NVD说这锅它不背
CPython修复了一个由str.lower()引发的域名编码漏洞CVE-2026-17084:同一个切罗基字符串在不同Unicode版本下会编码出两个完全不同的域名。但NVD的官方定性和博客标题的说法并不一致,而这只是IDNA2003与IDNA2008长期不兼容问题的冰山一角。
作法自毙:X逼停Nitter,用的是自己埋的绳套
X向运行七年的开源工具Nitter及镶嵌其上的XCancel等实例发出律师函,限24小时内永久关停,理由是'未授权访问账户和会话令牌'——而这条规则恰是2024年X自己逼Nitter必须绑定真账号运行时埋下的。目前只是单方施压,GitHub仓库仍未下架,官司远没真正开打。
ICE要全国选民数据,但那笔1.25亿美元合同已经先黄了
ICE的HSI发布征询,想找承包商整理全美50州选民登记与投票历史数据,理由是欺诈检测,回应窗口只有三天。同期常被提起的1.25亿美元Thomson Reuters大合同其实已在两周前被撤回单一来源授标,两个项目并非同步推进的组合拳。
宾州两名未接种者死于麻疹：被遗忘的病，正在收回代价
宾夕法尼亚州官员确认，两名未接种疫苗者死于麻疹。病例细节仍有限，但事件已经说明：当公众不再熟悉麻疹的严重性，疫苗犹豫与局部接种缺口就可能被迅速放大；家长和高风险人群现在需要核对记录，而不是只看全州平均接种率。
初代Meta Quest被破解Root，但离"去Meta化"还很远
社区项目QuestStack靠GhostLock权限提升链和一个2021年老漏洞，给已停产的初代Quest做出持久化Root解锁，理论上能摆脱Meta账号体系。但这套方案只对Quest 1有效，换到Quest 3/3S上，Secure Boot架构让同样的思路只能玩临时Root，稍有不慎就要拆机救砖。
39.98美元的隐私摄像头:镜头会转头,安全记录不会
Wyze新出的39.98美元室内摄像头靠镜头物理旋转缩回机身来卖隐私感,但这个开关得靠App远程触发,而Wyze过去三年里发生过三次云端安全事故。镜头转不转向,和摄像头背后那套云系统安不安全,是两件事。
Uber青少年乘车直播:官方说"看完就删",服务器却留了14天
Uber宣布为青少年账户上线实时视频直播功能,家长可在行程中看到司机自拍镜头拍到的车内画面,官方强调行程结束后无人能再看到视频。但视频其实会以加密文件形式在服务器留存最长14天,且同车其他乘客毫无知情权和退出权,这套'安全工具'更像是一次精心措辞的责任转移。
10亿人开了passkey,WhatsApp却没讲清一件事
WhatsApp把两步验证PIN升级成含字母符号的密码,支持绑定多个passkey,并称已有10亿用户开启passkey认证。但对比Telegram明确要求的passkey加二次密码双因素,WhatsApp未说明新密码与passkey是否强制协同生效,而再强的passkey也挡不住诱导扫码、骗取设备关联码这类社工诈骗。
法国税务机构遭入侵：67.8万条记录与“200万”说法仍未对上
法国税务机构遭网络攻击，公开口径涉及约67.8万条记录，攻击者则声称掌握200万条数据，但两者都不能直接等同于受影响人数。事件真正的风险不只在泄露规模，还在于税务信息可能被用于制作更可信的钓鱼邮件和企业诈骗。
显示器不再哑:LG被曝装机推广告,三星已被实测追踪
LG显示器曾借Windows Update偷偷装机推送McAfee广告,被微软叫停;更值得留意的是,LG、三星把电视端验证过的ACR追踪基建原样搬进智能显示器,证据链却明显跑在披露前面。三星Odyssey已被独立测试实测追踪,LG显示器目前多是推断,这道落差才是真正该盯住的地方。
苹果收回一半迁移计划:Hide My Email差点被自己的新域名出卖
苹果在开发者页面悄悄改口:原计划把Sign in with Apple和Hide My Email的匿名邮箱统一迁到private.icloud.com,现在只迁前者,后者继续留在icloud.com。这不是文字游戏,而是苹果意识到独立域名会让匿名邮箱变成一张容易被拦截的标签。
耳机突然没声音,AliExpress的指纹脚本就这样露了馅
开发者发现打开AliExpress页面会打断蓝牙耳机的多点音频,顺藤摸瓜挖出两个混淆脚本,靠静音的Web Audio信号给浏览器打指纹。这项技术本身早已过时、且只是AliExpress十几种追踪手段里最不起眼的一个,真正的问题是阿里巴巴至今没解释这些数据存不存、用来干什么。
通用eBoost制动系统调查升级：110万辆车，745起记录里的技术矛盾
NHTSA将通用eBoost线控制动系统调查升级至110万辆规模，745起故障记录包含22起碰撞、5起事故6人受伤，暂无死亡。核心矛盾是通用宣称的安全冗余与车主实际描述的制动骤失不一致。风险覆盖电动车、燃油皮卡和本田讴歌代工车型，目前仍是调查阶段，尚未构成缺陷认定或召回。
Cody Wilson宣布“破解”纽约禁枪法，但那部法律里没有“哈希”这个词
Cody Wilson宣布开发出名为“Hochulization”的工具，可绕过纽约3D打印枪检测软件，但核查法律文本发现，那部法律从未提及哈希算法，具体检测标准要交给工作组研究，打印机层面的强制条款最早要到2029年才可能生效。他真正该担心的，或许是8月25日刚生效的另一条限制“数字枪支制造代码”分发的刑法条款。