安全资讯与动态
汇聚鸿煌科技最新企业动态、行业趋势、政策法规与高危漏洞预警
【四部门联合令】《网络暴力信息治理规定》施行：压实网络信息内容管理责任与技术防范要求
国家网信办、公安部、文旅部、广电总局四部门联合公布《网络暴力信息治理规定》，自2024年8月1日起施行。规定要求网络信息服务提供者强化事前预警防范机制，健全网暴信息识别模型与侵权证据即时固定功能，保障公民合法权益。
【供应链重大事件】XZ Utils 基础压缩组件恶意后门投毒事件（CVE-2024-3094）深度排查与阻断
开源底层数据压缩工具 XZ Utils 的 upstream 仓库被证实遭受精心策划的长期供应链投毒攻击（CVE-2024-3094，CVSS 10.0 满分）。攻击者通过隐蔽后门劫持 OpenSSH 的认证流程实现任意未授权 root 登录。鸿煌科技指导企业全网排查。
工控安全现状调研：七成工厂 OT 网络存在高危暴露面
鸿煌安全研究团队对 200 家国内制造企业进行调研，发现 72% 的企业 OT 网络存在高危暴露面，工控漏洞修复周期平均超过 18 个月。
【高危预警】GitLab 核心代码托管平台未授权密码重置账户接管漏洞（CVE-2024-0204）通报
GitLab 官方通报其社区版与企业版在密码重置流程中存在逻辑缺陷（CVE-2024-0204，CVSS 10.0 / CVE-2024-7006）。攻击者可利用特定机制使密码重置链接发送至未经认证的第三方邮箱，实现任意账号无感接管。鸿煌科技建议紧急排查代码资产。
【高危预警】Fastjson / Jackson 核心反序列化组件远程代码执行缺陷实网防御加固指南
主流开源 Java JSON 序列化组件 Fastjson 与 Jackson 多次被曝出由于 AutoType 绕过与多态反序列化导致的高危远程代码执行缺陷。鸿煌科技针对国内企事业单位核心业务系统梳理长效排查加固建议。
【全球首部AI法规】《生成式人工智能服务管理暂行办法》落地实践：算法备案与安全评估全流程
国家网信办等七部门联合公布《生成式人工智能服务管理暂行办法》，自2023年8月15日起施行。本文全面解读该办法对大模型训练数据合法性、算法备案程序、违法内容即刻处置及用户真实身份认证的法定履责要求。
【安全左移】DevSecOps 在研发敏捷团队的落地实践：代码审计与流水线自动化安全嵌入
“安全左移（Shift Left）”已成为软件研发全生命周期的必然趋势。在开发编码与编译构建阶段消除一个漏洞的成本，仅为生产运行期修复成本的数十分之一。本文分享 DevSecOps 工具链的自动化无缝集成路径。
【极危预警】Apache ActiveMQ 核心消息中间件远程代码执行漏洞（CVE-2023-46604）实战核查指南
Apache 官方通告 ActiveMQ 核心消息中间件存在未经身份认证的远程代码执行高危漏洞（CVE-2023-46604，CVSS 9.8）。攻击者通过默认开放的 61616 端口发送恶意序列化类即可在宿主机中植入勒索木马。鸿煌科技提供资产盘点与处置方案。
【极危预警】Citrix ADC / Gateway 敏感信息泄露与会话劫持高危漏洞（CitrixBleed / CVE-2023-4966）预警
安全机构公开披露 Citrix ADC 与 Gateway 中存在极危未授权内存越界读取漏洞（代号 CitrixBleed / CVE-2023-4966，CVSS 9.4）。攻击者可直接抓取合法用户会话 Cookie，绕过全套 MFA 多因素认证长驱直入。鸿煌科技给出应急加固步骤。
【高危预警】泛微 e-Office 办公系统核心接口未授权访问与任意文件上传高危漏洞通报
国家信息安全漏洞共享平台（CNVD）通报泛微 e-Office 协同管理系统在特定接口存在未授权访问与任意文件上传漏洞。攻击者无需登录即可上传恶意动态脚本控制服务器。鸿煌科技发布闭环处置指南。
