安全资讯与动态
汇聚鸿煌科技最新企业动态、行业趋势、政策法规与高危漏洞预警
【极危预警】用友 NC Cloud 大型企业财务系统未授权远程代码执行高危漏洞防范
用友官方发布重要安全公告，其企业级大型数字化中台 NC Cloud 在特定服务接口中存在未授权远程代码执行缺陷。攻击者通过构造特定反序列化或 JNDI 数据流可直接接管服务器。鸿煌科技协助企业排查修复。
【企业荣誉】鸿煌科技荣获中国最高“AAA级信用企业”认定及全套12项诚信资信权威认证
2025年4月2日，经国家专业企业信用评级机构多维度严格综合评审，辽宁鸿煌科技有限公司凭借规范稳健的经营管理、卓越的技术履约能力、100%的合同履约率以及优良的行业信誉，正式获评国家最高信用等级——“AAA 级信用企业”金色授牌，并囊括“诚信供应商”、“重合同守信用”、“网络安全行业诚信单位”及“诚信企业家”等全套12项资信荣誉认证。
【AI国家标准】《人工智能安全治理框架》：大模型训练数据安全、模型鲁棒性与对齐合规指南
全国网络安全标准化技术委员会发布《人工智能安全治理框架》，对生成式大模型在语料采集、训练过程、模型推理、应用交互全链路的安全风险与防范要求作出权威指导。本文梳理企业应用大模型技术的核心合规动作。
【工业互联】工业互联网标识解析与 5G+ 智能制造工厂内网安全纵深防御体系构建
随着“5G+工业互联网”在汽车制造、钢铁、石化等大型厂区的大规模商用落地，IT与OT深度融合带来了前所未有的网络暴露风险。本文结合作业现场实践，梳理工厂内网微隔离、安全专网切片与工业协议深度解析的核心方案。
【高危预警】Check Point Quantum 安全网关核心身份验证绕过高危漏洞（CVE-2024-24919）通报
Check Point 官方发布高危漏洞通告，其 Quantum 安全网关在开启远程访问 VPN 或移动访问刀片时，存在未授权任意文件读取与敏感凭据失窃缺陷（CVE-2024-24919，CVSS 8.6）。攻击者无需凭据即可读取网关底层密码哈希。鸿煌科技建议立即热修补丁。
【攻防视角】企业外部暴露面管理（EASM）：从黑客视角审视并动态收敛数字资产阴影
影子资产、遗忘的测试子域名、未下线的临时云主机与第三方协作系统，是黑客突破企业边界的最佳途径。外部暴露面管理（EASM）采用纯黑客外部视角，自动化发现并持续监控全网数字暴露面。鸿煌科技解析 EASM 实战落地。
【高危预警】Jenkins 核心持续集成服务器任意文件读取与凭据泄露漏洞（CVE-2024-23897）通报
开源持续集成工具 Jenkins 官方披露了 CLI 命令行接口解析器中的高危任意文件读取漏洞（CVE-2024-23897，CVSS 9.8）。攻击者可利用该漏洞读取服务器密钥并解密企业全部代码库与云服务访问秘钥。鸿煌科技给出加固建议。
【国家战略防御】《关键信息基础设施安全保护条例》：重点行业认定标准与常态化防御指南
关键信息基础设施是经济社会运行的神经中枢，是网络安全保卫的重中之重。《关键信息基础设施安全保护条例》对能源、金融、交通、水利、公共服务、电子政务等重点领域的运营者提出了专门安全管理机构设置、年度检测评估及实战攻防演练等极高要求。
【极危预警】Fortinet FortiClient EMS 核心终端管理系统远程代码执行漏洞（CVE-2024-23113）通报
Fortinet 官方紧急发布公告，其终端集中管理系统 FortiClient EMS 中存在格式化字符串内存破坏高危漏洞（CVE-2024-23113，CVSS 9.8）。未认证远程攻击者可通过特制请求在 EMS 服务器上执行任意代码。鸿煌科技建议紧急排查。
【深度报告】全球及国内 API 安全现状与治理报告：影子 API 成为企业数据泄露首要隐形杀手
随着移动 App、微服务与微信小程序的爆炸式增长，API 已承载全网超过 80% 的动态数据流量。然而缺乏生命周期纳管的“僵尸 API”与“影子 API”正成为黑客批量拉取敏感用户数据的超级通道。本文给出企业 API 全生命周期安全治理方案。
