波兰简讯

1. WidzialniCMS 软件漏洞披露

CERT Polska 协调披露了波兰 WidzialniCMS 软件中的 4 个漏洞（CVE-2026-110468、CVE-2026-110469、CVE-2026-112204 和 CVE-2026-112205），影响 2.5 之前的所有版本。其中两个为不受限制的文件上传（CWE-434）：分别位于 /panel/controllers/save_photo.php 和 /panel/upload.php 端点，由于权限检查参数可被客户端控制且路径参数验证不足，未认证攻击者可向服务器任意位置上传文件，导致远程代码执行（RCE）。第三个为 /index.php 端点的反射型 XSS（CWE-79），攻击者可构造恶意 URL 在受害者浏览器中执行任意 JavaScript，如窃取会话 Cookie。第四个为登录暴力破解防护绕过漏洞（CWE-307），基于 Cookie 的锁定机制可通过省略 login_count 和 login_timeout Cookie 绕过，允许无限次登录尝试。所有漏洞已在 2.5 版本中修复。相关报告者包括 Kamil Szczurowski、Robert Kruczek 及 CERT.PL 的 Mikołaj Matuszewski。

2. Telegram 安卓版存在严重漏洞，可完全接管受害者手机

NebuSec 安全研究人员发现 Telegram 安卓版存在一个漏洞，该漏洞与另外两个漏洞（信息泄露与获取 root 权限的漏洞）组合后，攻击者只需让受害者接听一通语音电话，即可完全控制其手机，包括访问消息、麦克风和摄像头。该漏洞源于通话中 MediaState 参数处理代码对缺失字段处理不当，导致越界内存访问，可逃逸出应用沙箱。受影响版本为 8.6.2 至 12.10.3，Telegram 已在 12.10.4 版本中修复，且漏洞仅影响基于 ARM64 设备的语音通话。NebuSec 于 9 月 26 日报告该漏洞，但 Telegram 未将其认定为远程代码执行，未分配 CVE 编号，也未发放漏洞赏金。研究人员发布了演示视频，显示受害者接听电话约半分钟后手机屏幕出现 HACKED BY NEBUSEC 字样。此外，Zero Day Initiative 此前披露了 Telegram 用于动画贴纸的 rlottie 库漏洞（CVE-2026-111105，CVSS 7.0），Telegram 已逐步用 Rust 编写的 tlottie 库替代 rlottie。建议用户将所有 Telegram 应用更新至最新版本，并限制接听陌生人的语音来电，以降低攻击风险。

罗马尼亚简讯

2. 资产管理公司VanEck携ETF和加密·HuòBì产品进入罗马尼亚

全球资产管理公司VanEck（管理资产约2440亿美元）于11月9日宣布正式进入罗马尼亚市场。该公司已注册41只UCITS ETF（交易所交易基金）供分销，并提供15只加密·HuòBìETN（交易所交易票据），使罗马尼亚的专业和私人投资者能够接触其涵盖各行业、资产类别、投资主题及数字资产的产品系列。VanEck的ETF和ETN此前已在波兰、克罗地亚、匈牙利和捷克等其他中东欧市场注册。公司欧洲区罗马尼亚销售与业务发展副总监Koen Bendermacher表示，未来几个月将与当地合作伙伴携手，让罗马尼亚投资者通过现有券商和银行接触从半导体、国··防到数字资产等各类产品。VanEck在全球提供超过100只ETF，总部位于纽约，在法兰克福、伦敦、苏黎世、悉尼、上海等多地设有分支机构；在欧洲市场目前可提供41只ETF和15只ETN。此次进入罗马尼亚标志着该公司进一步扩展其在中东欧地区的业务布局。

塞尔维亚简讯

1. Yettel发布2025年可持续经营报告

Yettel公司发布2025年可持续发展报告，涵盖环境保护、社会责任和公司治理方面的成果。网络质量方面，公司在umlaut独立测评中第九次获评塞尔维亚最佳移动网络，并连续第二次获得最佳家庭互联网奖，同时在主要城市和旅游中心推进5G网络建设。环保方面，Yettel自2022年起以可再生能源为移动网络供电，2024年起公司所有场所也改用可再生能源；自2021年启动的手机回收计划已累计回收超过200万台旧设备，目标是到2027年底达到270万台，该计划荣获“年度绿色跨越”奖。Eco Bonus服务已收集超过2035吨塑料垃圾和960吨纸张纸板；超过140万用户（占用户基数80%以上）使用电子账单，减少了纸张消耗。数字安全方面，Yettel继续与UNICEF等伙伴合作，在30所学校开展数字素养和安全上网项目，超过4.9万名家长通过“家长数字指南”网络研讨会获得指导，Yettel基金会支持的Startup Kidz Challenge活动让50名9至14岁儿童构思安全使用数字工具的创意。ESG经理Milica Begenišić强调，可持续发展是公司经营决策的一部分，未来将继续投资于人、环境和更安全的数字环境。完整报告可在Yettel官网查阅。

2. Huá·Wéi·Watch D3登陆塞尔维亚市场，带来先进血压监测功能

Huá·Wéi·Watch D3智能手表将于11月9日在塞尔维亚市场正式开售，建议零售价为54,999第纳尔，消费者可通过授权零售商及各大运营商购买。手表采用更纤薄轻便的设计，机身厚度仅11.3毫米，重量约40克，比上一代明显更轻薄，提供黑色、白色和摩卡金三种配色，搭配25.5毫米宽的极窄气囊表带，佩戴更加舒适。在血压监测方面，Watch D3采用创新微型气囊设计，配合高精度传感器和自适应算法，实现精准测量，并支持24小时血压监测（ABPM），包括睡眠期间的监测。手表还提供运动前后血压测量功能以及静息血压（Resting BP）测量。此外，通过Health Glance功能，用户约60秒内即可获得涵盖心率、血压、血氧（SpO₂）等11项关键健康指标的详细报告；Health Community功能则可集中查看家人的健康数据。购买者还可享受Huawei MultiPass权益，包括三个月Huawei Health+会员及多达90天的fitness与wellbeing应用免费高级访问（如komoot、Headspace、Naviki、FIIT等），以及Worry-Free Care两年保障（屏幕、电池、后盖和液体防护）和两年气囊更换服务。

西班牙简讯

1. 攻击欧洲超市冷藏设备的网络攻击震惊全球，法国刚刚指认了幕后黑手

2026年10月11日至12日夜间，攻击者远程入侵法国约700家商业场所（主要是超市，还包括肉店和食品加工中心）的商用制冷系统，激活异常延长的除霜循环并关闭安全警报，导致大量食品变质报废，并引发至少15起设备火灾，行业损失估计可达数千万欧元。11月9日，法国Zhèng·Fǔ正式将此次攻击归因于伊朗革命卫队的Shahid Kaveh部队，依据是攻击基础设施与其他已知行动的关联、入侵手法相似性、波斯语痕迹及来自伊朗的IP地址，并锁定三名嫌疑人。此外，ENISA确认11月1日至2日出现新一波攻击，超过100家欧洲场所受影响；美国也在调查军事补给点类似的疑似网络攻击。法国已召见伊朗大使，推动欧盟制裁，检察院已申请国际逮捕令。事件凸显了物联网工业设备的安全漏洞不仅造成数字风险，更直接威胁物理安全。

2. 微软总裁呼吁加强对AI的监管："一盒牛奶"受到的安全规范都比它多

微软总裁兼董事会副Zhǔ·Xí布拉德·史密斯在接受BBC采访时表示，人工智能需要全球性规则来保持可控，并指出一台洗衣机和一盒牛奶所受的安全规范都比许多AI系统更严格。他认为AI既可以是工具也可以是武器，负责任的企业应设置可在失控时启动的紧急制动机制，企业还应有法律义务报告事故，部分创新产品应在上市前接受独立评估。微软CEO萨蒂亚·纳德拉也强调应"将智能的提供与对其的权限分开"，即模型不应自行决定其拥有的权限。Anthropic联合创始人达里奥·阿莫代在其文章中警告AI能力的发展快于制度响应，OpenAI CEO Sam Altman也表示必要时可能暂停模型训练。美国目前选择行业自律路线，老川Zhèng·Fǔ宣布了包含自愿控制、外部审计与董事会审查的协议，并成立由Jay Clayton领导的Super Intelligence Force。史密斯认为自愿承诺必要但不够，关键在于如何建立有效边界，而不是让AI公司自己决定其模型能走多远。

意大利简讯

1. 《数字公平法案》：针对社交媒体与AI聊天机器人的禁令

欧盟委员会拟于周三提交《数字公平法案》(Digital Fairness Act)立法提案，旨在更新《不公平合同条款指令》《消费者权利指令》和《不公平商业行为指令》三项消费者保护法规，并将取代其中一项。该法案适用于网站、应用、游戏、社交媒体和AI聊天机器人。草案明确列出十类被禁止的dark pattern（暗黑模式），包括：取消订阅流程比注册复杂、隐瞒价格或自动续费条款、误导用户以为没有替代方案、虚假陈述产品热度或库存、结账时反复提示库存紧张、预选附加商品、把拒绝优惠说成错误选择、持续施压改变已作决定、使用令人困惑的双重否定、显示虚假的“有人联系你”通知。涉及未成年人的规定包括：禁止游戏中的loot box（战利品箱）和pay-to-win机制，虚拟货币支付默认关闭；平台须允许关闭无限滚动、自动播放和推送通知等成瘾性功能。法案还要求提供清晰的取消订阅按钮，禁止免费试用期结束后自动扣费。针对模拟个人关系的AI聊天机器人以及AI购物代理有专门规定。违者最高可被处以全球年营业额6%的罚款。Meta和TikTok已因类似问题在《数字服务法》框架下受到调查。

2. 收到Nexi的短信？小心，可能是诈骗

意大利邮政Police（Polizia Postale）发出警告，一种冒充意大利知名支付服务商Nexi的短信诈骗正在流传。诈骗短信通常以“已请求付款授权”等字样开头，并显示高达数千欧元的金额，以制造紧迫感和恐慌，诱使收件人拨打短信中的电话号码或点击链接。这些号码并非Nexi客服，而是诈骗分子的联系方式，一旦联系，对方便会设法套取网上银行登录凭证、密码、PIN码、OTP验证码或银行卡信息，进而在受害者不知情的情况下转走资金、甚至清空账户。邮政Police提醒民众遵守以下防范规则：不要拨打短信中提供的号码；切勿透露密码、PIN、OTP验证码或银行卡信息；不要点击短信中的任何链接；应通过官方App或个人账户专区核实是否存在异常交易；如有疑问，仅通过官方网站上获取的联系方式联系Nexi。由于此类诈骗层出不穷，建议对任何看似来自权威机构的可疑通讯保持警惕，必要时拨打银行网点电话或通过官方网站、App发起协助请求，以防范欺诈风险。

奥地利简讯

1. 「蒸汽机时代人们也不知道它会催生铁路」：维也纳企业AI成熟度现实检验

尽管有人已预言AI泡沫破裂，维也纳经济界实际上连一半旅程都尚未走完。Trending Topics播客圆桌邀请维也纳经济商会、FH Wien der WKW及民意与数据分析研究所的专家，对AI进行现实检验。数据显示，64%的奥地利人如今每天使用AI（2024年为31%），维也纳四分之三的企业已在应用AI，但成熟度评分仅为41分（满分100）。维也纳经济商会通过AI访谈调研了1000多名企业主，发现已系统化将AI用于流程与商业模式的企业效率和竞争力明显更强。专家建议小企业从一项耗时的具体任务入手测试，而非先买工具；测试阶段严禁使用机密数据；边做边学与有针对性的培训是最关键杠杆，应用能力比机器学习理论更重要。并非每家企业都需要AI专家，与合作伙伴分工是关键。风险方面存在明显盲区：仅26%的企业考虑了AI场景下的IT安全，17%制定了使用规则，69%尚未研究欧盟AI法案（EU AI Act）。专家强调AI必须作为老板亲自抓的事项，最终决策仍应由人做出。正如蒸汽机时代无人预见它会催生铁路，AI将催生哪些新商业模式同样不可预知，但企业必须现在就上路。

2. 实验室培育皮肤与牙科AI：为什么生命科学初创公司选择落户奥地利

两家外国生命科学初创公司近期分别落户奥地利格拉茨和维也纳。法国公司Ingenskin研发用于慢性伤口和烧伤的自体色素皮肤替代品，从患者小面积皮肤活检中在实验室培育角质细胞、成纤维细胞和黑色素细胞，结合胶原蛋白基质生成含真皮与表皮的新皮肤，目前处于临床前阶段，目标在奥地利开展首次临床试验。该公司已在格拉茨设立子公司，并与格拉茨医科大学（MedUni Graz）的烧伤医学专家Lars-Peter Kamolz合作，创始人Manu强调当地能同时提供临床开发和GMP认证科研实验室，且奥地利商业促进局（ABA）高效牵线搭桥。斯洛伐克的AI Dental开发牙科AI软件，其EDU AI:D学习平台已应用于全球16所大学，产品ClinicalAID刚获CE医疗器械认证，可与维也纳医科大学合作，并入驻维也纳AI Factory Austria（AI:AT）。CEO Shebanova表示选择维也纳的原因是团队已在当地、斯洛伐克政治局势影响融资、以及奥地利研发支持体系稳定。数据显示奥地利生命科学行业拥有1174家企业、73437名员工、400亿欧元营收（占GDP的8.3%）。维也纳Neu Marx区正建设耗资约1.7亿欧元、面积14000平方米的生命科学中心（Life Science Center Vienna），首个主要租户为获勃林格殷格翰基金会1.5亿欧元资助的奥地利科学院AITHYRA研究所。

捷克简讯

1. 捷克成立人工智能Zhèng·Fǔ委员会，成员包括佩胡切克等人

捷克Zhèng·Fǔ批准设立人工智能Zhèng·Fǔ委员会（Rada vlády pro umělou inteligenci），旨在协调国家在人工智能领域的进展，并促进与研究机构和企业界的合作。委员会成员阵容强大，包括布拉格捷克理工大学（ČVUT）校长米哈尔·佩胡切克（Michal Pěchouček）、Aisle创始人翁德雷·夫尔切克（Ondřej Vlček）、OpenEuroLLM项目负责人Jan Hajič、哈佛大学副校长Klára Jelínková、CIIRC创始人Vladimír Mařík以及ResistantAI创始人Martin Rehák等学术界与商界人士。委员会将由总理亲自领导，其建议可直接提交给Zhèng·FǔAI专员Lukáš Kačena、相关部长或总理本人，无需中间环节。Kačena表示，这将帮助Zhèng·Fǔ更好地了解捷克AI领域的实际需求和国际AI发展动态，类似由总理牵头的委员会已在许多发达国家运作。委员会将负责协调落实《国家人工智能战略》，为Zhèng·Fǔ重大决策提供提案，重点关注AI在公共管理、企业和初创企业中的应用，其运作由工业贸易部（MPO）在预算范围内保障，成员不领取报酬。此外，Zhèng·Fǔ还批准了一项与欧盟《人工智能法案》（AI Act）相关的法律草案，指定捷克电信管理局（ČTÚ）为主要监管机构和统一联络点，捷克国家银行和个人数据保护办公室将在特定领域行使监管职能。该法案还将设立“监管沙盒”（regulační sandbox），供企业在受控环境中测试新技术，法案后续将提交众议院审议。

2. 国··防部长在可疑情况下免职了捷克军队面对俄·罗·斯的关键网络部门指挥官

捷克军队信息与网络部队（VeKySIO）司令拉代克·哈拉泰克（Radek Haratek）被国··防部长免职，他自2023年年中起担任该职务。VeKySIO是捷克军队日益重要的部门，主要负责在网络空间和信息环境等新作战领域开展行动，并保障先进的通信与信息系统，包括分析信息环境、战略通信、网络防护以及侦察与干扰等，是抵御俄·罗·斯在网络与信息领域活动的重要力量。根据决定，自2026年12月1日起，哈拉泰克将转任捷克军队总参谋长顾问，隶属于布拉格总参谋部。新任VeKySIO负责人将由伊万·马尔（Ivan Mahr）上校接任。此次免职过程受到质疑：军事Police和监察部门均未发现哈拉泰克有任何问题，国··防部仅笼统提到“若干未具体说明的失误”，部长本人则保持沉默。前VeKySIO负责人米罗斯拉夫·费克斯（Miroslav Feix）批评这一决定，认为在缺乏解释的情况下，此举看似出于政治目的，军队并不需要这样。哈拉泰克本人不认可部长的处理方式，已就此提出申诉。