2024年国家网络安全宣传周已于9月8日在广州盛大开幕，活动将于9月9日至15日在全国统一举行。本届安全周已“网络安全为人民，网络安全靠人民”为主题，旨在提升全面网络安全意识和防护技能。开幕式上，中共中央政治局委员、广东省委书记黄坤明等领导出席并致辞，强调了网络安全在国家战略中的重要性，并提出了加强网络安全建设的目标。活动期间，将举办网络安全技术高峰论坛、网络安全博览会、网络安全人才招聘专场活动、网络安全创新创业投资专场活动等一系列重要活动。     原文链接

9月6日，在2024Inclusion·外滩大会上，WDTA世界数字技术院正式发布国际标准《大模型供应链安全要求》。该标准给出了大语言模型的供应链安全保护框架，从数据准备、大模型开发到部署运维各个环节涉及的供应链相关安全风险和供应活动管理给出了要求，并给出了常见的供应链安全风险、典型安全案例等相关信息。通过这一标准，可有效识别和评估大模型系统生命周期中面临的供应链潜在安全风险，确保供应链的完整性、可用性、保密性，从而提升大模型系统的安全性。

近日，Patchstack 的 Rafie Muhammad 在 LiteSpeed Cache 插件中发现了一个严重漏洞，该插件主要用于加快超 600 万个 WordPress 网站的用户浏览速度。该漏洞被追踪为 CVE-2024-44000，并被归类为未经身份验证的帐户接管问题 。下载LiteSpeed Cache的用户已超过37.5万，因此易受这些攻击影响的网站数量可能超过560万。

近日，工信部、中央网信办等多部门联合印发《关于推动新型信息基础设施协调发展有关事项的通知》。其中指出，增强全方位安全保障能力，强调发展与安全协调，从网络安全、数据安全、稳定安全运行等方面提升信息基础设施安全能力，增强跨行业安全服务赋能能力。要提升网络和数据安全保障能力，强化新技术风险评估和安全管理，加强网络和数据安全监测预警和应急处置手段建设，增强跨行业安全服务赋能。要保证信息基础设施稳定安全运行，坚决遏制重特大安全事故发生。

近日，FortiGuard Labs揭露了一种新型勒索软件变种Underground，它与黑客组织RomCom紧密相关。这款恶意软件自2023年7月起肆虐，重点攻击建筑、制药、银行及制造业等多个关键行业，通过加密受害者Windows系统上的文件来勒索赎金。该组织运营了一个数据泄露网站，公开拒绝支付赎金的受害者信息。网站已列出16个国家的受害者名单，涵盖美、法、德、西、韩、台、新及加等地。此外，该组织还利用Telegram和Mega云存储服务扩大其影响力，传播窃取的数据。

近日，Zyxel 发布安全更新，以解决影响其多款商用路由器的关键漏洞。该漏洞被追踪为CVE-2024-7261，CVSS得分 9.8，是一个输入验证故障，由用户提供的数据处理不当引起。Zyxel 警告称，某些AP和安全路由器版本的 CGI 程序对参数 “host ”中特殊元素的中和不当，可能允许未经认证的攻击者通过向有漏洞的设备发送伪造的 cookie 来执行操作系统命令。

Google发布了针对Android操作系统的关键零日漏洞CVE-2024-32896的修补程序。该漏洞属于高严重性权限提升（EoP）缺陷，主要影响 Pixel 设备。在修补程序发布之前，CVE-2024-32896已被有限、针对性地利用，漏洞的存在使攻击者能够在没有PIN码的情况下解锁Android设备，并访问存储的数据，对用户隐私和安全构成重大风险。

9月，德国SchenkYou公司遭遇数据泄露事件，黑客声称已获取该公司全部客户数据库，并在暗网上出售。泄露的数据包括237,370个独特的电子邮件地址和总计600万条记录，涉及多类敏感信息。黑客要求以1500美元的比特币或门罗币出售数据库，并提出以5万美元的价格将数据库卖回给SchenkYou公司。

据中国证券网，9月5日早盘，计算机板块开盘拉升，截至9时30分，包括格尔软件在内的多个股涨停。安全419了解到，近日，浙江格尔国信科技有限公司成立，由两家格尔软件全资子公司共同持股，经营范围包含网络信息安全和AI基础软件的开发等。格尔软件成立新公司或拉动其股价提升。另外据其2024年半年度报告，公司营收、净利同比实现双增长，营收涨幅18.5%达到1.93亿元，销售、管理费用同比下降31.48%、24.50%，其深挖数据安全领域夯实业绩，布局抗量子密码或将进入收获期。

近日，安全研究人员发现，有境外间谍情报机关瞄准青年学生群体，以高薪 “兼职” 为诱饵，通过投其所好、巧妙包装、虚情假意、操纵诱导等手段，拉拢、利诱、胁迫青年学生为其从事间谍活动及其他违法行为。警醒我们在网络环境中要保持高度警惕，不能轻易被高薪 “兼职” 等诱惑所吸引。

9 月 3 日，世界互联网大会国际组织在北京召开推动构建网络空间命运共同体迈向新阶段理论研讨会。会议指出构建网络空间命运共同体理念的重要意义，并提出各方应以该理念为指引，推动构建网络空间命运共同体迈向新阶段。

近日，俄罗斯最大社交网站 VK 疑似发生超 3.9 亿用户个人信息泄露事件。黑客泄露的相关数据超27GB，包含城市、国家、姓名、用户个人资料图像 URL 链接和电子邮件地址等，但不包括电话号码和密码。黑客称数据并非直接来自 VK，而是通过第三方泄露事件获得。目前 VK暂未回复。

近日，安全研究人员在航空运输安全系统中发现严重漏洞，攻击者可利用 FlyCASS 系统的登录系统存在的 SQL 注入漏洞，以航空公司管理员身份登录并篡改员工数据，将任何人添加为授权用户，从而绕过安检进入飞机驾驶舱。

据外媒消息，近日荷兰数据保护局（DPA）对美国人脸识别初创公司 Clearview AI 处以 3050 万欧元的罚款，原因是该公司违反了《通用数据保护条例》（GDPR），非法收集面部数据，创建了包含数十亿张人脸照片的非法数据库，且未正确告知人们数据使用情况。

近日，研究人员发现攻击者通过GitHub平台大肆传播Lumma Stealer信息窃取恶意软件。调查发现，数千条类似评论被发布到GitHub上的各种项目中，这些评论均以提供虚假修复方案为幌子。据透露，在短短3天内，已有超过2.9万条推送此恶意软件的评论被发布。

据外媒消息，智能手机地理定位追踪服务Tracelo在9月1日遭遇重大数据泄露事件，黑客“Satanic”声称攻破了其系统，并在网络黑市上公开了超过140万人的个人信息，引发广泛关注。此次泄露的数据包括用户全名、电话号码、物理地址、电子邮件等敏感信息，以及大量客户的Google ID号，后者可能进一步暴露用户的日常活动轨迹。

近日的一项研究揭示了航空运输安全登录系统中存在SQL注入漏洞，该漏洞允许未经授权的人员绕过机场安检。通过漏洞能够获得Air Transport International的管理员访问权限，从而在该航空公司的KCM和CASS列表中添加或管理飞行员和空乘人员，而无需进一步认证。KCM和CASS是两个允许飞行员、空乘人员及其他航空公司员工绕过传统安检并进入机舱座位的系统。

近日，安天CERT通过网络安全监测发现利用“黑神话悟空修改器”传播恶意代码的活动，攻击者将自身的恶意代码程序与《黑神话：悟空》第三方修改器“风灵月影”捆绑在一起，再通过在社媒发布视频等方式引流，诱导玩家下载。玩家一旦下载了带有恶意代码的修改器版本，在运行修改器的同时，也将在后台自动运行恶意代码，导致计算机被控制，产生隐私泄露、经济损失等风险。

ERP网络安全供应商Onapsis的最新信息图表揭示了当今勒索软件攻击的现实情况：83% 的组织在去年至少遭受过一次勒索软件攻击，遭受四次及以上的占比46% ， 遭受过10次及以上的占比14%；61% 的组织在遭遇勒索软件攻击后停机至少 24 小时；83% 的组织与勒索软件代理合作应对攻击者；55% 的组织在部分或全部攻击中支付了赎金。最令人震惊的是，在 81% 的攻击中，勒索软件的成功执行涉及人为错误。

一场新型恶意软件活动正在向全球的组织传播一个以前未记录的后门程序，名为“Voldemort”。它伪装成来自美国、欧洲和亚洲的税务机构。根据Proofpoint的报告，这场活动始于2024年8月5日，已经向70多个目标组织传播了超过20,000封电子邮件，在活动最高峰的一天内达到了6,000封。目标组织中的一半以上属于保险、航空航天、运输和教育行业，但背后的攻击者尚不清楚。