▸梆梆安全报告：超八成APP存隐私违规，数据境外外发风险需高度警惕

▸公安部通报37款违规应用，电商类占比超七成，小程序成违规重灾区

▸PolyShell高危漏洞影响Magento系统，可致未授权远程代码执行

▸Solon框架模板漏洞被披露，攻击者可利用渲染器映射机制实现远程代码执行

▸盛邦安全董事长：构建全面完善的安全防护体系迫在眉睫

📋

监管动态

1条

公安部通报37款违规应用，电商类占比超七成，小程序不再是“法外之地” 政策

公安部通报37款违规移动应用，其中电商类占比超七成，涉及微信小程序、支付宝小程序等多平台。主要违规行为包括：隐私政策与告知义务缺失（未公开规则、未逐一列明）、违规收集个人信息等。被通报应用包括《聚优商城》（微信小程序）、《创维官方商城》（支付宝小程序）、《周大福官方商城旗舰店》（支付宝小程序）等。此次通报标志着监管部门将小程序纳入常态化监管范围。

📎 嘶吼 · 2026-05-18

🚨

安全事件

3条

梆梆安全发布《2026年Q1移动应用安全风险报告》：超八成APP存隐私违规，数据境外外发风险需高度警惕 高

梆梆安全发布2026年Q1移动应用安全风险报告，数据显示超八成APP存在隐私违规问题，数据境外外发风险需高度警惕。报告指出，盗版APP通过篡改正版APP并植入恶意代码后重新发布，可导致用户信息泄露、手机中毒等安全风险。未经安全加固的APP在黑客和黑灰产眼中无异于“裸奔”，极易被逆向分析和篡改。

📎 嘶吼 · 2026-05-18

360亮相全球数字经济大会，智能体涌现推动安全运营跃升 中

360在2026全球数字经济大会上展示智能体技术在安全运营领域的应用成果。随着大模型技术的飞速发展，企业通过大模型增强安全产品和工具能力，实现安全能力提升和运营效率突破。但人工智能的全新特性也带来前所未有的安全挑战，大模型在落地应用过程中面临模型环境泄露等风险。

📎 安全客 · 2026-05-18

纵横网络靶场社区正式发布，以虚实融合技术构建工业信息安全实战生态 中

纵横网络靶场社区正式发布，采用虚实融合仿真技术，覆盖多行业工控场景。该平台旨在解决工业互联网深度融合发展背景下，实战型工业信息安全人才短缺、训练场景稀缺、理论与实践脱节等核心痛点。从“竞赛工具”向“生态平台”迭代，聚焦产学研用，从高校合作到企业赋能构建完整生态。

📎 嘶吼 · 2026-05-18

🔓

漏洞预警

4条

PolyShell高危漏洞可致电商Magento系统遭遇未授权远程代码执行 紧急

名为“PolyShell”的高危新型漏洞被公开披露，影响所有Magento开源版与Adobe Commerce 2系列稳定版本。该漏洞核心特征为攻击者上传多格式兼容恶意文件，该文件可伪装成常规图片绕过安全检测，同时解析执行后台恶意脚本后门，实现未授权远程代码执行，对电商平台构成严重威胁。

📎 嘶吼 · 2026-05-18

Solon框架模板漏洞深度剖析：渲染器映射机制成关键突破口 高

Solon轻量级Java应用开发框架被曝模板处理漏洞。Solon支持Beetl、FreeMarker、Velocity等多种模板引擎，其灵活的渲染器映射机制成为漏洞关键原因。攻击者可利用该机制绕过安全限制实现远程代码执行。该漏洞影响范围广泛，使用Solon框架的项目需立即排查并修复。

📎 安全脉搏 · 2026-05-18

Apache Calcite Avatica远程代码执行漏洞（CVE-2022-36364）分析 高

Apache Calcite Avatica JDBC驱动程序存在远程代码执行漏洞（CVE-2022-36364）。攻击者可通过httpclient_impl连接属性提供恶意类名，驱动根据该类名创建HTTP客户端，从而实现远程代码执行。该漏洞影响范围广泛，使用相关组件的系统需及时升级修复。

📎 安全脉搏 · 2026-05-18

pgAdmin后台命令执行漏洞（CVE-2023-5002）分析：权限校验绕过 高

pgAdmin被曝后台命令执行漏洞（CVE-2023-5002），漏洞位于web/pgadmin/misc/__init__.py的validate_binary_path函数。虽然官方已添加@login_required权限校验，但Flask-Login扩展的装饰器实现存在绕过风险，攻击者可在未授权情况下触发命令执行，威胁数据库管理安全。

📎 安全脉搏 · 2026-05-18

⚠️

风险提示

1条

警惕被替换的安装包：自解压文件暗藏恶意Dropper 紧急

奇安信威胁情报发现，被替换的安装包为自解压文件，解包后包含正常的安装包(Release)和一个恶意的Dropper(Update)。攻击者通过替换合法软件安装包，诱导用户下载执行，Dropper会在后台静默植入恶意程序，窃取用户敏感信息或建立持久化控制。建议用户从官方渠道下载软件，并校验文件签名。

📎 奇安信威胁情报 · 2026-05-18

✅

安全建议

5条

1

紧急：立即排查Magento/Adobe Commerce系统是否受PolyShell漏洞影响，在官方补丁发布前，建议对上传文件进行严格的多层格式校验，并部署WAF规则拦截可疑的多格式文件上传请求。

2

紧急：针对Solon框架模板漏洞，立即检查项目中使用的Solon版本，若存在渲染器映射机制，需限制模板引擎的加载路径，并升级至修复版本。

3

重要：根据梆梆安全报告和公安部通报，立即对内部移动应用（含小程序）进行隐私合规自查，重点检查隐私政策告知、数据跨境传输等环节，确保符合《个人信息保护法》要求。

4

重要：针对被替换安装包的风险，建议企业建立软件分发白名单机制，在内部系统部署文件完整性校验工具，并加强员工安全意识培训，避免从非官方渠道下载安装包。

5

建议：关注pgAdmin和Apache Calcite Avatica的漏洞修复进展，对使用这些组件的系统进行版本排查，及时应用安全补丁，并加强后台管理接口的访问控制。