近日，苹果和谷歌联手推动并采用新的行业标准，旨在阻止通过支持蓝牙的位置跟踪设备进行跟踪。两家科技巨头公布的新规范草案建议，制造可能启用不必要的跟踪设备的供应商应在发生跟踪情况时，及时提醒目标个人。目前，三星、Tile、Chipolo、eufy Security和Pebblebee 已表示支持该规范草案。

2日，Google发布了Chrome 113安全更新，总计修复15个漏洞。其中，较为严重的是提示中的执行不当漏洞（CVE-2023-2459）、扩展中的对不信任的输入验证不足（CVE-2023-2460）、操作系统输入中的释放后使用漏洞（CVE-2023-2461）和CORS中的执行不当（CVE-2023-2465）等。此外，与往常在大多数用户更新修复程序之前一样，Google没有透露关于这些漏洞的更多细节。

4月30日，国资委负责人在第六届数字中国建设峰会云生态大会上表示，要全面推动国资央企上云，构建国资央企上云体系。推动国资央企上云是国企央企数字化转型的重要环节，也是为在数字经济环境下有效管控国企数据，保障数据安全。国务院国资委副主任赵世堂表示，国资央企云体系取得积极进展，全面启动云上国资央企建设工作，组织中国电信建设央企云资源池，中央企业上云覆盖率达到了86%。专家指出，我国国资云市场未来四年会保持快速增长趋势，预计2025年规模将达146.48亿。

26日消息，LayerX发布关于2023年浏览器安全的调查分析报告。报告指出，过去12个月中，87%的all-SaaS和79%混合环境中的CISO都经历过安全事件。帐户接管是最令人担忧的问题，48%的人将凭据网络钓鱼列为风险最高的浏览器威胁，其次是恶意浏览器扩展（37%）、恶意软件下载（9%）和浏览器漏洞（6%）。此外，大多数组织采用至少两种安全措施来抵御钓鱼攻击，79%使用网络安全工具，例如防火墙和SWG。

据外媒27日报道，与伊朗有联系的APT组织Charming Kitten（又名 APT35、Phosphorus、Newscaster和Ajax安全团队）使用一种名为BellaCiao的新型恶意软件攻击美国、欧洲、中东和印度的受害者。据悉，Bitdefender识别了BellaCiao恶意软件的多个样本，每个样本都是针对特定受害者定制的，并包括硬编码信息，如公司名称、特制的子域或相关的公共IP地址。目前，相关研究人员尚未确定最初的感染媒介，但他们认为攻击者使用了Microsoft Exchange漏洞利用链（如 ProxyShell、ProxyNotShell、OWASSRF）或类似的软件漏洞。

26日消息，研究人员发现近期在Telegram上出现一种名为Atomic macOS Stealer （AMOS）的新型信息窃取恶意软件。该恶意软件专门针对macOS而设计，当前还在不断添加新功能以使其更有效。25日Telegram上显示了该恶意软件的最新功能，可以从受害者的机器上窃取各种类型的信息，包括钥匙串密码、完整的系统信息、桌面和文档文件夹中的文件，甚至是macOS密码。目前，研究人员正对该恶意软件进行详细技术分析。

据外媒26日报道，开源电子商务平台PrestaShop发布了一个新版本，该版本解决了一个允许任何后台用户写入、更新或删除 SQL 数据库，且无论其权限如何的严重漏洞。后台用户包括所有者、管理员、销售代表、客户支持代理、订单处理人员、数据输入人员等。该漏洞编号为CVE-2023-30839，可能对受影响的企业造成重大损害或服务中断，并影响所有8.0.3及更早版本，该公司建议用户及时更新至新版本。

26日，网络安全企业奇安信集团发布2022年年报显示，2022年实现归母净利润扭亏为盈。具体来看，该公司实现归母净利润5701.12万元，同比扭亏为盈；营业总收入62.23亿元，同比增长7.12%；毛利达40.04亿元，同比增长14.85%。财报显示，奇安信2022年数据安全产品收入同比增速超55%。

据韩联社报道，韩国总统尹锡悦和美国总统拜登于26日举行韩美首脑会谈，双方签署旨在将同盟合作范围拓展至网络领域的《战略性网络安全合作框架》协议。两国领导人在协议中表示，双方将增进在信息共享等网络安全技术、政策、战略层面的合作，开发并运用多种手段切断和遏制网络空间恶意行为，向在网络空间参与破坏和非法行为的国家追究责任。同时还将开展网络训练、核心基础设施保护研究及开发、人才培养，实时共享网络威胁信息，构建民官学合作网络等。

27日，中央网信办、国家发展改革委、工业和信息化部联合印发《深入推进IPv6规模部署和应用2023年工作安排》，旨在加快突破瓶颈短板，持续完善产业生态，不断强化安全防护，扎实推动IPv6规模部署和应用向纵深发展。《工作安排》部署了十一个方面重点任务，包括强化网络承载能力、优化应用设施性能以及强化安全保障等。

近日，据Aqua Nautilus称，其检测到数千个配置错误的注册表和存储库，其中包含超过2.5亿个工件和超过6.5万个容器镜像。据悉，在某些情况下，攻击者可获取敏感信息，例如机密、密钥和密码，这可能导致软件供应链攻击和软件开发生命周期（SDLC）中毒。此外，研究人员发现了57个注册表存在严重漏洞，例如默认的管理员密码，其中15个注册表允许使用默认密码进行管理员访问。还有超过2100个具有上传权限的工件注册表，可被攻击者用来通过恶意代码使注册表中毒。

26日，有关研究团队披露APT37（也称APT37和ScarCruft）近期通过LNK文件分发恶意软件RokRAT的活动。据悉，APT37将LNK文件伪装成PDF图标，包含恶意的PowerShell命令，以及普通的PDF文件的数据和恶意脚本代码。最终，用户会被动下载恶意软件RokRAT，该恶意软件能够收集用户凭证并自动下载额外的恶意软件，收集的信息被发送到攻击者的云服务器中。

近日，各网络安全行业知名企业高管就当前安全领域部分关键问题，在2023 RSAC发表主题演讲。Palo Alto Networks首席执行官Lee Klarich表示，近年来，机器实现规模操作、有效利用云中的无限计算和无限带宽、改变安全交付方式等，完全弥补人工能力的不足，人工智能在数据驱动下是最强大的。如果能收集广泛全面的数据来驱动人工智能，那么人工智能就可为网络安全带来新变革。

27日消息，The record 网站披露，网络安全研究人员将在本周展示如何夺取欧洲航天局（ESA）卫星控制权，此次演示也被称为世界上第一次卫星网络攻击演习。据悉，本次演示性网络攻击卫星的活动专门为CYSAT会议定制，其目的是展示网络攻击可能对太空中民用卫星产生巨大危害。法国国防巨头泰雷兹（Thales）的网络安全专家宣布将与ESA团队成员一起，在巴黎举行的CYSAT会议上对攻击场景进行深入解读。

据外媒27日报道，谷歌于本周三表示，其获得美国临时法院命令，要求终止基于Windows的信息窃取恶意软件CryptBot的分发。据估计，CryptBot在2022年已感染超过67万台计算机，其目标是窃取Google Chrome用户的敏感数据，例如身份验证凭据、社交媒体帐户登录和加密货币钱包等。谷歌相关负责人表示，不仅要追究恶意软件的运营商的责任，还要追究从中获利的人的责任。

日前，SANS研究院安全专家在今年RSAC上发表了其最新研究成果，对2023年度最值得关注的5种新兴网络攻击技术及其特点进行了介绍。具体包括对抗性AI攻击、利用ChatGPT的社会工程攻击、SEO优化攻击、恶意广告利用攻击以及软件供应链攻击。

据外媒26日报道，加拿大天然气管道遭遇网络攻击事件，俄黑客组织Zarya声称，此次袭击可能导致爆炸。加拿大最高网络官员表示，俄黑客活动组织该项行动，旨在打击关键加拿大基础设施领域。《纽约时报》报道称，泄露的美国情报文件披露了这起网络安全事件。据悉，加拿大总理贾斯汀·特鲁多证实针对天然气管道的网络攻击，但指出加拿大能源基础设施没有受到任何物理破坏。

26日，据北京市委网信办官方消息，首都互联网协会、中国科学院信息工程研究所等机构研究编制《北京市互联网信息服务算法推荐合规指引（2023年版）》。《指引》提出互联网信息服务算法安全通用要求、特定要求，着力引导算法推荐服务提供者准确把握责任义务、明确工作规范、健全管理制度、完善运行规则、强化技术手段。编制发布《指引》，是北京市推进属地算法安全治理、帮助企业更好理解管理规定、有效促进平台企业合规发展的有益探索。

26日，思科披露该公司Prime Collaboration Deployment（PCD）软件中的一个零日漏洞，该漏洞可使未经身份验证的攻击者远程发起跨站点脚本攻击，但需要用户交互。该漏洞被跟踪为CVE-2023-20060，由北约网络安全中心（NCSC）的Pierre Vivegnis在思科PCD 14及更早版本的基于Web的管理界面中发现。思科表示，将在下个月发布安全更新，以解决上述问题。

据外媒25日报道，Mirai恶意软件僵尸网络正在积极利用跟踪为CVE-2023-1389的TP-Link Archer A21 （AX1800）WiFi路由器漏洞将设备整合到DDoS中。该问题是TP-Link Archer AX21路由器Web管理界面的区域设置API中的高危未经身份验证的命令注入漏洞。据悉，TP-Link已在新固件更新中发布了修复程序，现正在全球范围内检测其恶意活动。