▸越南两个部委系统发生严重数据泄露，数百万用户受影响

▸主流JavaScript软件包管理平台npm遭供应链投毒攻击

▸NGINX ngx_http_rewrite_module堆缓冲区溢出漏洞(CVE-2026-9256)风险通告

▸欧盟GDPR对数据违规“一案多查”，Meta又被罚4.3亿欧元

▸Anthropic“玻璃之翼”项目揭示AI网络安全新挑战，发现上万个高危和严重漏洞

📋

监管动态

2条

AI智能体的数据安全风险与合规监管研究 政策

随着开源项目OpenClaw在全球爆火，AI智能体（AI Agent）引发了全社会的普遍关注。同济大学法学院与公安部第三研究所联合发布研究报告，指出AI智能体具备“感知—决策—执行”的完整闭环能力，其数据安全风险呈现隐蔽性、动态性和跨域性等特点。研究建议监管机构应建立针对AI智能体的分级分类数据安全管理制度，并推动行业形成统一的合规技术标准。

📎 安全内参 · 2026-05-27

商用密码应用安全性监管平台建设实践 政策

安恒信息发布商用密码应用安全性监管平台，该平台将资产档案、密评管理、态势感知等密码管理单位的日常业务流程化和工具化，打造可管理、可感知、可预警、可处置的一体化密码监管平台。该平台已在实战中取得全国第一的监管态势感知案例成绩，有效促进了密码监管单位与执法部门的精细化协作。

📎 安恒信息 · 2026-05-27

🚨

安全事件

4条

越南两个部委系统发生严重数据泄露，数百万用户受影响 紧急

据陈忠孝介绍，黑客已渗透进入存有数百万用户记录的越南部委系统。主管部门正在调查恶意活动是否通过伪装成普通用户行为混入系统。VNCERT表示将在近期公布调查结论。该事件暴露出越南各组织和企业面临的合格网络安全人才严重短缺问题，部长级机构使用的大型系统在安全防护上存在明显短板。

📎 安全内参 · 2026-05-27

主流JavaScript软件包管理平台npm遭供应链投毒攻击 紧急

npm平台遭遇大规模供应链投毒攻击，攻击者通过上传恶意包感染开发者环境。安全团队建议立即采取以下措施：隔离风险设备，暂停项目运行并断开可疑设备网络连接；排查依赖文件，检查package.json、package-lock.json等文件，核实是否存在异常依赖项。该攻击可能影响大量使用npm进行项目管理的Web应用开发者。

📎 安全内参 · 2026-05-27

欧盟GDPR对数据违规“一案多查”，Meta又被罚4.3亿欧元 高

欧盟监管机构再次对Meta开出4.3亿欧元罚单，此次处罚基于GDPR的“一案多查”原则。当用户投诉A事项时，DPA可以查出企业遵守GDPR的其他问题并一并处罚。这种拔出萝卜带出泥的执法逻辑，要求企业必须建立全面、持续的数据合规体系，而非仅针对单一投诉点进行整改。

📎 安全内参 · 2026-05-27

AI定向注入攻击：加密货币窃取供应链攻击新邪招 高

安全团队发现一种高度协调的AI定向注入攻击，该攻击利用各生态系统特有的执行机制（npm postinstall钩子、Python导入时执行、Rust build.rs构建脚本）实现恶意代码的隐蔽触发。攻击目标明确锁定Crypto/DeFi开发者、Solana/Sui/Move生态，呈现出典型的低安装量、高目标价值的高级供应链威胁特征。

📎 安全内参 · 2026-05-27

🔓

漏洞预警

4条

NGINX ngx_http_rewrite_module堆缓冲区溢出漏洞(CVE-2026-9256)风险通告 紧急

NGINX被曝存在堆缓冲区溢出漏洞（CVE-2026-9256），未经身份认证的攻击者可通过发送构造的HTTP请求触发漏洞，造成Worker进程崩溃。在ASLR被禁用或被绕过的情况下，攻击者可能进一步实现任意代码执行。该漏洞影响范围广泛，建议所有NGINX用户立即排查并安装补丁。

📎 安全内参 · 2026-05-27

Anthropic“玻璃之翼”项目揭示AI网络安全新挑战 高

Anthropic公司通过“玻璃之翼”项目发现上万个高危和严重漏洞。公司强调，与修复漏洞的难度相比，发现漏洞相对容易，这给网络安全带来巨大挑战。面对Mythos类模型将很快得到更广泛应用的趋势，软件行业需加大力度应对大量分析结果。目前漏洞发现、补丁创建到最终用户部署之间存在较长的时间滞后，为攻击者利用提供了窗口期。

📎 安全内参 · 2026-05-27

PolyShell高危漏洞可致电商Magento系统遭遇未授权远程代码执行 紧急

名为“PolyShell”的高危新型漏洞被公开披露，该漏洞影响所有Magento开源版与Adobe Commerce 2系列稳定版本。核心特征为攻击者可上传多格式兼容恶意文件，该文件可伪装成常规图片绕过安全检测，同时解析执行后台恶意脚本后门，实现未授权远程代码执行。建议所有Magento用户立即升级至最新安全版本。

📎 嘶吼 · 2026-05-27

警惕Underminr新型网络规避技术：CDN共享边缘的隐形漏洞 中

ADAMnetworks安全团队发现一种名为Underminr的新型攻击手段，该技术能够绕过绝大多数基于防护性DNS的安全控制，让恶意流量伪装成通往可信域名的正常通信。这种比域前置更隐蔽的规避技术，利用CDN共享边缘的隐形漏洞，为网络攻击打开了一扇新的后门，对现有网络安全架构构成严重威胁。

📎 安全内参 · 2026-05-27

⚠️

风险提示

1条

以CaaS 2.0重构数字信任，领航后量子时代——亚数TrustAsia 2026春季战略发布会 高

亚数TrustAsia在2026春季战略发布会上指出，后量子时代（PQC）的威胁、TLS/SSL证书、代码签名证书有效期的持续缩短、以及机器身份规模化管理的挑战已迫在眉睫。企业CIO们需要面对数字身份呈指数级爆炸的时代，构建以CaaS 2.0为核心的数字信任体系，以应对即将到来的量子计算对现有加密体系的冲击。

📎 嘶吼 · 2026-05-27

✅

安全建议

4条

1

紧急：针对NGINX堆缓冲区溢出漏洞(CVE-2026-9256)和PolyShell远程代码执行漏洞，建议立即排查所有NGINX服务器和Magento电商系统版本，在确认无兼容性问题后尽快安装官方安全补丁，并在补丁部署前启用Web应用防火墙(WAF)进行临时防护。

2

紧急：针对npm供应链投毒攻击和AI定向注入攻击，建议立即对开发环境进行全面排查，检查package.json等依赖文件是否存在异常，隔离可疑设备并暂停受影响项目运行，同时加强第三方依赖的完整性校验机制。

3

重要：鉴于越南部委系统数据泄露事件和欧盟对Meta的4.3亿欧元处罚，建议企业立即开展数据安全合规自检，重点关注权限精细化管控、员工权限回收机制以及GDPR“一案多查”原则下的全面合规体系建设。

4

建议：针对后量子时代威胁和AI安全新挑战，建议企业提前规划密码学迁移路线图，关注PQC标准进展，并建立AI系统安全评估机制，将AI引入的安全风险纳入常规漏洞管理流程。