安全资讯 第58页
聚合当前分类下的最新内容，按时间顺序查看第 58 页精选文章。
CopyFail 之后，Linux 用户该少装点新东西
CopyFail 暴露的麻烦不只在本地提权漏洞本身，而在补丁流转和用户反应之间的空窗期。后续又出现 Copy Fail 2、Dirty Frag 等内核相关漏洞提醒，风险边界从“快打补丁”扩展到“少引入新软件和新依赖”。安全补丁要装，非必要新包要等，这才是漏洞密集期里更现实的防守姿势。
普列谢茨克被无人机盯上后，俄罗斯开始模糊发射时间表
俄方称普列谢茨克航天发射场近期遭遇无人机威胁，随后把 NOTAM 发射预警窗口拉长、重叠、混合，外界更难预测军用与通信卫星发射节奏。关键变化不在保密技巧，而在战场逻辑：卫星网络成了通信神经，发射场也会被拖进目标链条。对商业航天和军用太空基础设施观察者来说，接下来要看的不是口号，而是韧性、补网速度和公开情报下的暴露成本。
702条只续45天：美国监控改革又被国会拖后了
美国国会把《外国情报监视法》第702条只延长45天，众议院以261票对111票通过临时方案。最核心的搜查令要求没有写进法案，禁止美联储发行CBDC的条款却被夹带进去。对关注数字隐私和科技合规的人来说，真正的问题不是45天长短，而是监控权力又一次靠程序拖延维持默认状态。
LinkedIn 被指扫描 6278 个 Chrome 扩展，敏感点是绑定实名职业身份
404 Privacy 称，LinkedIn 在 Chrome 中探测用户是否安装特定扩展，作者统计的列表截至 2026 年约 6278 项，相关机制据称至少可追溯到 2017 年。真正的争议不是平台能不能做反欺诈，而是它是否在告知不足的情况下，把浏览器软件清单接到实名职业档案上。对记者、律师、研究者、人权工作者，以及企业安全和合规团队，这比普通设备指纹更难轻描淡写。
Rivian 允许关闭车辆联网：隐私能要，但车会变笨
Rivian 在支持页面说明，车主可以关闭车辆蜂窝连接，阻止数据离开车辆，但不是关闭车内所有数据产生。代价很直接：导航、车道保持辅助、OTA 更新等功能可能受限或失效。对智能汽车车主来说，这不是一个单纯的隐私按钮，而是一张功能账单。
cPanel/WHM 认证绕过漏洞遭利用：共享主机站长该立刻确认三件事
cPanel/WHM 存在 CVE-2026-41940 认证绕过漏洞，攻击者可远程绕过登录进入管理面板；cPanel 称所有受支持版本受影响，并已发布补丁。风险不是“所有网站已被攻陷”，而是共享主机行业大量依赖同一管理入口，一旦面板失守，网站、邮件、数据库配置都可能暴露。使用共享主机或托管服务的站长，现在应确认主机商是否已修补、是否限制过面板访问、是否回查异常登录和配置变更。
北京5月1日起管住无人机销售和存储：重点不是禁飞，是把监管前移
北京5月1日起实施全市无人机管控，范围包括销售、租赁、运输、存储及核心部件，不只是飞行限制。 这条规则的关键变化，是把监管从“飞起来以后”前移到“买、运、放”的环节。 北京本地需求有限，对大疆全球销量直接冲击不大；更该看的是，这套前端管控会不会被其他城市吸收。
Meta在新墨西哥输掉3.75亿美元后，真正危险的是法院要改产品
Meta与新墨西哥州的儿童安全争议，已经从“是否被迫退出当地”的平台威胁，推进到更硬的一步：法院可能要求它修改 Facebook、Instagram 和 WhatsApp 的产品规则。3.75亿美元赔偿不是终点，年龄验证、未成年人加密限制、使用时长上限和推荐系统整改，才是会打到平台商业机制的刀口。
CopyFail 跑进 rootless Podman：漏洞是真的，宿主机 root 没那么容易拿
CVE-2026-31431 CopyFail 已在 rootless Podman 场景中被复现：漏洞能污染页缓存，容器内可以拿到 root，但没有直接变成宿主机 root。这个结果补上了此前披露争议里最缺的一块：受影响的不只是内核版本和发行版补丁节奏，还有 CI runner、构建环境这类天天跑陌生代码的地方。
lightning 2.6.2/2.6.3 被投毒：AI 训练链路的信任账单来了
PyPI 上的 lightning 2.6.2、2.6.3 被植入恶意代码，安装后导入模块即可触发窃密和仓库投毒。风险边界不是所有 PyTorch，而是依赖到这两个版本并执行导入的环境。更刺眼的是，AI 团队把训练效率压在开源依赖树上，却常常没有同等强度的依赖治理。
Mark Klein 与 641A 房间：NSA 争议里真正吓人的，是骨干网接口
2006 年，退休 AT&T 技术员 Mark Klein 向 EFF 提供图纸、文件和声明，把 NSA 疑似接入旧金山 AT&T 骨干网节点的传闻推向法庭。材料能支持的不是“NSA 读完所有通信”，而是在骨干网层面复制或捕获流量的能力与架构。真正的风险在于：危机之后，国家安全权力把临时例外做成了基础设施接口。
OpenAI 给 ChatGPT 配上 YubiKey：账号更安全，也更像保险柜
OpenAI 为 ChatGPT 推出可选的 Advanced Account Security，并与 Yubico 合作支持联名硬件安全密钥。它补强的是账户登录这道门，尤其面向记者、研究人员、民选官员等高风险用户；代价也很硬：密钥丢失后，账户和历史对话可能很难找回。
牙科软件漏洞已修复，但病历不该靠“改编号”就能翻到
Practice by Numbers 修复了患者门户的越权访问漏洞：已登录用户曾可通过修改 URL 里的递增文档编号，查看其他患者文件。 公司称少于 10 名患者受影响，TechCrunch 4 月 13 日通知后，门户下线修复并于 4 月 17 日恢复。 我更在意的是两个基础问题：医疗软件有没有做足访问控制，患者和研究人员发现漏洞后，能不能找到一个正常上报入口。
Polymarket 的战争赔率：52% 胜率背后，是机密被定价
ACDC 分析 Polymarket 2021 年至 2026 年 3 月超 40 万个已结算市场发现，军事/防务类“长赔率”大额下注胜率约 52%，高于政治类约 25%和平台整体约 14%。这不能证明异常盈利都来自内幕交易，但足够说明一个结构性漏洞：少数人可决定的战争、抓捕、政变事件，一旦上链交易，机密就有了兑现窗口。对预测市场玩家、加密平台和监管者来说，真正要看的不是价格准不准，而是谁能开盘、谁要实名、谁为监控成本买单。
德国常规弹药产能超过美国？别只看标题，德国自己先变了
莱茵金属CEO Armin Papperger称，德国常规弹药产能已超过美国；但这不等于德国整体军事实力或全部军工产能超过美国。更关键的变化在德国内部：俄乌战争、安全战略转向、汽车供应链压力，正在把德国制造业的一部分推向军工。接下来最该看两件事：这些产能能否稳定交付，以及汽车供应商转向军工会走多深。
Ramp 表格 AI 漏洞已修复，但办公 AI 的权限账还没算完
PromptArmor 披露，Ramp 的 Sheets AI 曾可被外部表格中的间接提示注入诱导，自动写入会联网的 IMAGE 公式，把敏感财务数据拼进攻击者 URL。Ramp 安全团队称问题已在 2026 年 3 月 16 日修复，目前材料展示的是可利用攻击链和服务器日志演示，不等于已有真实客户数据被盗。真正该盯的不是某个公式，而是办公 AI 同时拥有读数据、改表格、外联能力时，审批和隔离是否足够硬。
Copy Fail 漏洞曝光：732 字节脚本刺中的，是共享内核的旧账
CVE-2026-31431“Copy Fail”源于 Linux 内核 crypto/AF_ALG 路径，本地非特权用户可借此改写页缓存，并进一步提权到 root。 它不是远程直接打穿服务器的漏洞，但一旦和 Web RCE、CI 恶意代码、容器执行链组合，风险会被放大。 最该优先处理的是多租户 Linux、Kubernetes、CI runner、自托管构建环境，以及运行用户代码的云服务。
FastCGI 30岁：HTTP 反代的老坑，不能只靠熟练工补
FastCGI 规范发布于 1996 年，30 周年节点上重新被讨论，焦点不是怀旧，而是反向代理到后端这段链路该不该继续默认用 HTTP。HTTP/1.1 的报文边界歧义和可信头混用，已经多次变成 desync / request smuggling 风险，近期 Discord media proxy 漏洞只是一个提醒。FastCGI 不适合替代公网 HTTP，也不是银弹；它更像一面镜子，照出内部协议选择里被低估的信任边界成本。
Claude Mythos 被关进小圈子：危险是真的，贵也是真的
Anthropic 没有把 Claude Mythos Preview 做成常规发布，而是通过 Project Glasswing 只开放给约 40 家受审机构，并承诺最高 1 亿美元 credits 给防御方先用。安全理由站得住：它被描述为具备发现并利用零日漏洞的能力；但新线索也把成本、算力和产品成熟度推到台前，说明“太危险所以不开放”不是完整答案。
CBP砸2.65亿美元买MQ-9B：边境无人机扩编，真正该盯住的是谁能调用
CBP计划动用超过2.65亿美元采购并维持更多MQ-9B高空长航时监视无人机，新增数量被涂黑。官方用途包括陆地和海上边境监视、非法活动侦测、灾害响应和搜救。真正敏感的地方不在机型参数，而在DHS其他未公开部门也可能借同一合同采购MQ-9，监督边界还没跟上能力扩散。
Great Ormond Street Hospital向Ferrari学交接：儿科ICU安全改进不该只靠“更小心”
Great Ormond Street Hospital团队借鉴Scuderia Ferrari的F1进站组织方式，重设计儿童术后从手术室转入ICU的交接流程。真正重要的不是“医疗向赛车学速度”，而是用人因工程把角色、顺序、清单和沟通固定下来，减少高风险交接中的错误叠加。