iOS 设备遭定向攻击，苹果紧急修复两枚零日漏洞

苹果公司已发布iOS 18.4.1和iPadOS 18.4.1更新，修复两个被用于针对特定iPhone用户实施高度定向、复杂攻击的关键零日漏洞。这两个漏洞存在于CoreAudio和RPAC组件中，攻击

Windows 11高危漏洞：300毫秒即可提权至管理员

Windows 11 存在一个严重漏洞，攻击者可在短短 300 毫秒内从低权限用户提升至系统管理员权限。该漏洞编号为 CVE-2025-24076，通过精密的 DLL 劫持技术利用 Windows 1

FreeBuf热门电台精选集第一期

CVE停摆危机暂时解除，CISA火线拨款续约11个月

美国网络安全和基础设施安全局（CISA）已与MITRE公司续签合同，确保全球网络安全基石——通用漏洞披露（CVE）项目得以持续运行。CVE项目成立于1999年，由MITRE公司维护，是全球使用最广泛的

网络安全领域的AI战略准备：从概念到实践的7大关键步骤

网络安全领域的人工智能就绪度（AI readiness）不仅是拥有最新的工具与技术，更是一项刻不容缓的战略必需。许多企业若因目标不明确、数据准备不足或与业务重点脱节而未能有效利用AI技术，可能面临严重

美国国土安全部终止资助，CVE漏洞数据库面临停摆危机

美国非营利研发组织MITRE宣布，其与美国国土安全部（DHS）签订的"通用漏洞披露（CVE）"数据库维护合同将于2025年4月16日午夜到期。这个运行25年的项目作为网络安全防御体系的核心支柱，因DH

CVSS 10.0！Apache Roller 曝高危漏洞：密码修改后会话仍持续有效

Apache Roller 开源博客服务器软件近日曝出一个高危安全漏洞，攻击者可利用该漏洞在用户修改密码后仍保持未授权访问。这款基于 Java 的博客平台存在会话管理缺陷，被赋予最高危险等级的 CVS

微软提醒Windows 11用户勿删除神秘的"inetpub"文件夹

近期安全更新后在Windows系统上出现的一个看似空白的文件夹引发了用户担忧，微软证实这是有意为之的安全措施，不应被删除。该目录通常位于C:\inetpub，即使对于不运行Web服务器软件的用户，它也

如何利用图像验证技术识别钓鱼攻击？

当今数字互联的时代与过去截然不同，互联网已深度融入个人生活与职业场景。虽然这种变革为不同群体带来了便利，但同时也导致网络安全威胁的升级与演变。现代黑客常通过钓鱼攻击手段试图欺骗网民，他们利用伪装邮件和

玲珑安全：把饭喂学员嘴里，学员3个月收入40W！

四月的风揉碎枝头新绿，也吹响了网络安全人的进化号角。当漏洞挖掘成为数字世界的攻防利刃，市面速成教程却让多少求知者困在"纸上谈洞"的迷雾中。面对遍地"理论挖洞、实战抓瞎"的行业困境，玲珑安全锻造出直指核

警惕！黑客出租可完全控制 macOS 系统的恶意软件

网络安全领域出现了一种针对苹果用户的新型威胁。地下论坛上正在宣传一款名为"iNARi Loader"的macOS恶意软件即服务（MaaS）产品。01高级窃密软件威胁升级这款高价窃密软件代表了macOS

2025年CISO应对勒索软件威胁指南

勒索软件在2025年仍是网络安全领域的首要威胁，其攻击模式已从机会主义行为演变为具有商业运营效率的成熟犯罪产业。最新研究表明，勒索软件被列为今年最受关注的安全威胁，其中AI驱动的变种尤其引发安全专家担

OWASP发布生成式AI安全治理清单

随着OpenAI、Anthropic、Google和微软等公司的生成式AI及大语言模型(LLM)用户量呈指数级增长，企业IT安全决策者正努力跟上AI技术的快速发展步伐。非营利组织OWASP最新发布的《

Google AI 安全框架 SAIF详解：六大核心要素与风险地图一览

随着人工智能技术的快速发展与安全威胁的持续演变，大规模保护人工智能系统、应用及用户所面临的挑战，不仅要求开发者掌握已有的安全编码最佳实践，还需深入理解人工智能特有的隐私与安全风险。在此背景下，Goog

潜藏在AI工作流程中的数据泄露风险

随着人工智能技术深度融入日常业务流程，数据暴露风险正持续攀升。提示词泄露已非偶发事件，而是员工使用大语言模型（LLM）过程中的必然产物，首席信息安全官（CISO）必须将其视为核心安全问题。为降低风险，

微软 Defender 将隔离未受管端点以阻断攻击

微软正在测试 Defender for Endpoint（端点防护）的一项新功能，该功能将通过阻断与未受管端点之间的网络流量，阻止攻击者在网络中的横向移动。01自动隔离未受管设备微软透露，该功能通过隔

思科设备曝出七年旧漏洞 攻击者可远程执行代码

思科网络设备中存在一个长达七年的安全漏洞，至今仍对未打补丁的系统构成重大风险，攻击者可利用该漏洞远程执行代码。该漏洞编号为CVE-2018-0171，最初于2018年发现，针对思科的Smart Ins

俄罗斯APT组织利用设备码钓鱼技术绕过多因素认证

俄罗斯国家支持的APT组织Storm-2372近期发起了一场复杂的网络攻击活动，利用设备码钓鱼（Device Code Phishing）技术绕过多因素认证（MFA）安全措施。这种针对性攻击手段标志着

iOS设备遭受钓鱼攻击的频率是Android设备的两倍

根据Lookout公司的报告，2024年带来了无数新的网络安全挑战，其中移动威胁态势显著增长。从国家行为体到个人黑客，威胁行为者越来越多地将移动设备作为攻击起点，窃取凭证并通过"现代杀伤链"路径渗透企

一周网安优质PDF资源推荐 | FreeBuf知识大陆

FreeBuf周报 | AI驱动的垃圾邮件机器人攻击超8万家网站；利用ChatGPT-4o伪造护照

各位 Buffer 周末好，以下是本周「FreeBuf周报」，我们总结推荐了本周的热点资讯、一周好文，保证大家不错过本周的每一个重点！📫AI驱动的垃圾邮件机器人绕过验证码攻击超8万家网站🏢SideCo

「网安收藏助手」全新支持PPT格式，立即投喂PPT→

自上线以来，「网安收藏助手」已收获大量忠实用户，为大家提供包括Word、PDF、微信公众号、图片等资料的一键帮读服务，自动生成核心摘要，并将内容永久保存至收藏至「知识大陆App」。为了给用户提供更完美

SideCopy APT组织伪装政府人员部署开源XenoRAT工具

自2024年12月下旬以来，与巴基斯坦有关联的SideCopy高级持续威胁（APT）组织发起了一场针对印度政府关键部门的复杂攻击行动。该组织已将攻击范围从传统的国防和海事部门显著扩大，目前还涉及铁路、

Linux USB音频驱动漏洞正被恶意USB设备在野利用

Linux内核中的USB音频驱动存在一个可能导致内存越界读取的关键漏洞，该漏洞已由SUSE公司的Takashi Iwai通过最新补丁修复。攻击者若获得系统物理访问权限，可利用恶意USB设备实现权限提升

AI驱动的垃圾邮件机器人绕过验证码攻击超8万家网站

SentinelOne旗下SentinelLabs研究人员发现，这款名为AkiraBot的Python框架能绕过CAPTCHA（全自动区分计算机和人类的公开图灵测试），利用AI生成内容对中小企业网站实

甲骨文承认"淘汰服务器"遭入侵 坚称核心云平台未受影响

甲骨文公司持续淡化今年初遭遇的数据泄露事件，在本周发送给客户的邮件中坚称，此次黑客攻击未涉及其核心平台Oracle Cloud Infrastructure（OCI，甲骨文云基础设施）。通常情况下，此

CISA将Linux内核漏洞列入已知被利用漏洞目录

美国网络安全和基础设施安全局（CISA）近日将两个Linux内核漏洞（编号分别为CVE-2024-53197和CVE-2024-53150）列入其已知被利用漏洞（KEV）目录。01漏洞技术细节分析CV

WordPress插件身份验证漏洞披露数小时后即遭利用

在公开披露仅数小时后，黑客就开始利用WordPress的OttoKit（原SureTriggers）插件中一个可绕过身份验证的高危漏洞。安全专家强烈建议用户立即升级至本月初发布的OttoKit/Sur

管道魔法木马利用Windows零日漏洞部署勒索软件

微软披露，一个现已修复的影响Windows通用日志文件系统（CLFS）的安全漏洞曾被作为零日漏洞用于针对少数目标的勒索软件攻击中。01攻击目标与漏洞详情这家科技巨头表示："受害者包括美国信息技术（IT

网络安全大神30周养成计划，只要109元

你是否经历过：❌ 市面上课程大几K 起步，你打开自己的支付宝微信银行卡查看余额，默默退出课程报名网页❌ 自学过程没有正反馈，但坚信能自学成才，一鼓作气，再而衰，三而竭❌ 好不容易学完了，上手操作实战发