安全热点周报 | 一周网络安全大事件盘点（2026/07/27-2026/07/31） - 新鲜讯息

PART 1

漏洞情报

Fastjson2 远程代码执行漏洞是2026年7月27日披露的高危安全漏洞，CVSS评分9.8分，影响Fastjson2版本≤2.0.62。攻击者可通过构造恶意JSON数据包，在默认配置下绕过类型校验，利用哈希碰撞技术触发远程代码执行，获取服务器完全控制权限。

Microsoft SharePoint反序列化漏洞(CVE-2026-50522)

Microsoft SharePoint反序列化漏洞（CVE-2026-50522）是一个高危RCE漏洞，CVSS评分9.8分，允许攻击者通过构造恶意请求在服务器上执行任意代码。该漏洞源于服务器对未经验证的SecurityContextToken Cookie的不当处理，利用BinaryFormatter反序列化机制触发。

PART 2

安全事件

可口可乐确认Fairlife勒索攻击导致数据被窃取

7月27日BleepingComputer消息，可口可乐公司确认旗下乳制品子公司Fairlife此前遭遇的勒索软件攻击已导致部分企业数据被攻击者窃取。此次事件发生于7月，Fairlife发现攻击者未经授权访问部分系统，包括生产相关系统，随后启动事件响应流程并暂停美国部分生产运营。攻击组织Anubis此前声称对该事件负责，并表示窃取约1TB企业数据，同时威胁公开泄露被盗文件。可口可乐表示，事件导致部分系统受到影响，但目前大部分美国生产设施已恢复运行，现有库存保障了产品供应，产品质量和安全未受到影响。

原文链接：

http://securityweek.com/openai-says-its-ai-models-broke-loose-and-hacked-hugging-face/

医疗账单服务商MCBS数据泄露事件影响126万名患者

7月28日BleepingComputer消息，美国医疗账单服务公司Medical Computer Business Services（MCBS）披露一起网络安全事件，约126万名患者的个人和健康信息受到影响。事件源于2025年9月发生的网络入侵，攻击者未经授权访问MCBS内部网络，并可能查看或窃取包含受保护健康信息（PHI）的文件。调查显示，泄露数据包括患者姓名、地址、出生日期、社会安全号码（SSN）、医疗记录、诊断信息、治疗信息、健康保险信息以及保险账号等敏感数据。MCBS表示，在发现异常访问后立即启动调查，并聘请第三方网络安全专家协助分析事件范围，相关数据审查工作于2026年5月完成。

原文链接：

https://www.bleepingcomputer.com/news/security/data-breach-at-medical-billing-firm-mcbs-affects-126-million-people/

美国明尼苏达州多地供水系统遭网络攻击

7月30日Industrial Cyber消息，美国明尼苏达州多家供水设施遭遇协调性网络攻击，攻击目标涉及供水系统的运营技术（OT）环境，导致部分自动化控制功能受到影响，并触发州级及联邦多机构网络安全响应。此次攻击影响了包括Plymouth、South St. Paul、Maple Plain和Braham等多个社区的水务系统，其中部分设施的水泵、控制系统和远程管理设备受到干扰。Braham市供水厂曾因攻击导致操作控制系统关闭，工作人员随后切换至人工处置流程，保障居民供水安全。

原文链接：

https://industrialcyber.co/utilities-energy-power-water-waste/cyberattacks-target-water-utilities-in-minnesota-disrupting-ot-operations-and-triggering-multi-agency-cyber-response/

PART 3

时事热点

国家网信办就《中华人民共和国反网络暴力法》公开征求意见

国家网信办发布的《中华人民共和国反网络暴力法》征求意见稿于2026年7月29日起向社会公开征求意见，意见反馈截止日期为2026年8月28日。该草案共七章六十条，重点明确了网络暴力的定义、治理原则、平台责任、政府监管和社会共治等内容。草案规定网络暴力是指通过网络集中或持续侵害他人名誉权、隐私权等合法权益的行为，并要求网络平台建立健全监测识别机制，对涉及未成年人等特殊群体的网络暴力需优先处理。此外，草案还强化了司法保护，允许受害人申请人格权侵害禁令，并规定了对网络暴力行为的行政处罚和刑事责任。

原文链接：

https://www.cac.gov.cn/2026-07/29/c_1787072711938509.htm

中国人民银行等九部门印发《关于加强科技金融领域数据开发利用的通知》

中国人民银行等九部门联合印发的《关于加强科技金融领域数据开发利用的通知》是2026年7月29日发布的国家级政策文件，旨在通过数据共享解决科创企业融资难题。该通知推出全国统一的《科技金融数据目录1.0》，包含8大类26项数据指标（如企业科创属性、研发投入等），并支持各地建立特色数据清单。核心措施包括：开展可信数据空间试点实现“数据可用不可见”、推动金融机构构建科创企业数字信用画像、鼓励征信机构建立科技型企业数据库。政策强调数据安全与合规，要求全流程管理防范风险，目标是通过数据要素提升科技金融服务精准度。

原文链接：

https://www.cac.gov.cn/2026-07/21/c_1786380789785396.htm

《网络安全标准实践指南——智能体交互安全要求（征求意见稿）》等2项网络安全标准实践指南公开征求意见

7月29日，全国网络安全标准化技术委员会秘书处发布《网络安全标准实践指南——智能体交互安全要求（征求意见稿）》和《网络安全标准实践指南——AI浏览器安全实践指南（征求意见稿）》，面向社会公开征求意见。这两项指南旨在应对智能体和AI浏览器快速发展带来的安全风险，为智能体服务提供者、工具提供者及第三方评估机构提供安全实践指引。意见反馈截止时间为2026年8月12日，可通过邮箱[email protected]或电话010-64102730提交建议。

原文链接：

https://www.tc260.org.cn/portal/article/2/d0a9e0e6b027443881b26aa971fa558c

关于我们

漳州中成信息科技有限公司是一家专注于网络安全实战防护的创新型服务提供商。我们深刻理解网络安全的核心在于攻防对抗的持续较量，并以此独特视角为基石，致力于为客户构建动态、主动、智能化的纵深防御体系。区别于传统的被动防御，我们坚信“未知攻，焉知防”。公司汇聚了顶尖的渗透测试专家（红队）、应急处置精英（蓝队）及经验丰富的安全服务工程师，形成了一支具备完整攻防对抗能力的专业团队。我们的渗透测试团队模拟真实攻击者的思维与手段，深入挖掘系统、应用及网络中的深层次漏洞与风险点；应急处置团队则能在安全事件发生时快速响应、精准定位、有效遏制损失并溯源根因；安服工程师团队则致力于将攻防对抗中获得的宝贵经验转化为常态化的安全策略、加固措施与运营流程。

点击名片

关注我们

扫描官网二维码

了解更多