调查显示91%员工因IT安全风险感到压力
91%员工因IT安全风险感到压力，比例较去年上升。75%受访者认为现有恢复工具操作复杂，且仅24%的人觉得组织设备足以应对威胁。这种焦虑导致78%的人绩效下降，39%考虑辞职。
网络安全
漏洞、数据泄露、隐私与安全攻防
NymVPN调整订阅价格，月费低至4美元
NymVPN调整订阅价格，月费低至4美元。新版优化WireGuard连接稳定性并简化设置，采用五节点多层加密提升抗追踪能力。目前12个月计划折合每月4美元，支持匿名支付及7天免费试用。
超1700家美国水务机构凭证遭窃
SpyCloud发现超1700家美国水务机构凭证遭窃。近两成受检者密码泄露，250家远程接入系统暴露，单一供应链漏洞更波及百余家组织，关键基础设施面临严峻威胁。
noyb批评欧盟AI数据保护改革方案
noyb批评欧盟AI数据保护改革方案。该组织指出，拟议条款允许企业在“合法利益”名义下，几乎不受限制地使用用户历史个人数据训练AI，无需征得同意。Schrems称此举将利润凌驾于隐私权之上，并暗示可能诉诸法院挑战新规。
Meta Muse智能体导出完整运行环境及SSH密钥
用户指令Meta Muse导出2.7GB运行环境，含SSH密钥及内部文档。该数据涵盖Linux根文件系统镜像，暴露“Hatch”架构细节。相关发现已提交漏洞赏金计划，敏感材料未公开，隔离环境安全性受关注。
微软联合执法机构瓦解AI钓鱼服务EvilTokens
微软联合执法机构瓦解AI钓鱼服务EvilTokens。该工具曾入侵全球超万家组织，利用AI分析邮件以绕过双重验证。行动查封50余网站并逮捕两人，系首次打击端到端AI犯罪服务。
俄汉堡王320万用户数据泄露，涉及六年信息
俄汉堡王320万用户数据泄露。入侵发生于2024年8月，涉及姓名、电话等六年信息。官方证实支付及护照数据未受波及，但泄露记录超560万行，含菜品偏好与订单历史。
LastPass遭仿冒攻击：恶意软件可禁用145款杀毒
LastPass用户遭仿冒应用攻击，恶意软件可禁用145款杀毒。该样本通过DLL侧载技术潜伏，能窃取浏览器密码、加密钱包及各类会话令牌，且具备内核级持久化能力，目前官方金库未受影响。
Meta AI助手Muse曝零日漏洞，可劫持令牌泄露数据
安全研究员曝Meta AI助手Muse存零日漏洞。攻击者需先获取本地权限，利用语音指令劫持认证令牌，进而访问WhatsApp等关联应用数据。目前Meta尚未发布补丁。
BigCommerce遭供应链攻击，Ribon应用致数据泄露
BigCommerce遭供应链攻击，数据泄露。第三方应用Ribon凭证被盗，致商户客户姓名、邮箱等PII信息外泄。虽称仅影响少数店面，但受害零售商指出该应用装机量达数百家，潜在风险不容忽视。
Meta修复Muse macOS零日漏洞，防AI代理被劫持
Meta修复Muse macOS零日漏洞，攻击者可通过本地代码劫持AI代理。该缺陷源于云端转录设计及未公开设置选项被滥用，虽需本地访问权限，但足以导致用户账户非法接管。
诺丁汉医院误覆盖11年产妇数据，审计日志难复原
诺丁汉医院误覆盖11年产妇数据。因维护时未改指令配置，致2011至2022年记录被覆。虽临床信息已恢复，但审计日志难复原，无法追溯谁曾查看过这些产妇档案。
Google发布量子后加密路线图，2028年推默克尔树证书
Google发布量子后加密路线图，计划2028年推出默克尔树证书。该方案旨在解决抗量子签名体积过大导致的连接膨胀问题，在保持X.509标准兼容性的同时，通过公开日志验证强化透明度，确保互联网安全连接的快速稳定。
CISA将三个Linux内核漏洞列入KEV目录
CISA将三个Linux内核漏洞列入KEV目录。红帽证实这些漏洞正遭积极利用，最高严重性评分达9.8分。因风险极高，CISA罕见设定仅三天的修补截止日期，要求于2026年9月21日前完成修复。
港大团队展示InjectEave技术：无线电载波可致耳机音频泄露
港大团队展示InjectEave技术，无线电载波可致耳机音频泄露。该攻击针对解码后的模拟信号，数字加密无效。常规有效距离1至6米，30米需昂贵放大器，且需预知设备型号。
黑客利用公共区块链存储恶意软件指令
黑客将恶意软件指令藏进公共区块链，使其在控制服务器消失后仍能通信。受AI工具降低技术门槛影响，此类活动激增440%，且因难以阻断而不波及合法服务，防御面临巨大挑战。
VulnCheck：Anthropic相关漏洞在野利用不足0.5%
VulnCheck数据显示，Anthropic相关漏洞在野利用不足0.5%。其追踪的225个CVE中仅一例被利用，且AI修复漏洞成功率低，实际威胁远小于公众预期。
Meta Muse应用曝本地零日漏洞，可致权限滥用
Meta Muse macOS应用曝出本地零日漏洞，攻击者可重定向语音流量滥用权限。研究员警告AI应用因高权限配置正削弱系统防护，或成安全单一故障点。
微软谷歌借GSE取缔6600万美元犯罪市场
微软谷歌借GSE取缔6600万美元犯罪市场RedVDS。该平台提供低成本虚拟机，曾致19万邮箱被黑、13万机构遭攻击。此次跨国协作有效打击了网络欺诈基础设施。
黑客拆除Flock摄像头提取160万张图像及视频
黑客物理拆除Flock摄像头，提取160万张图像及2.7万段视频。此举揭露其存储安全缺陷，与官方声明相悖，致公司启动自愿离职计划。