要闻速览
1、中央网信委印发《促进网信企业高质量发展行动计划（2026-2030年）》
2、7项网络安全国家标准公开征求意见
3、特朗普签署行政令，限制外国电力设备接入美国电网
4、Next.js 严重漏洞可致远程代码执行攻击
5、GDPR第二大罚单，Uber因自动化系统被罚款超8亿欧元
6、挪威政务基础设施遭遇DDoS攻击，多项身份认证公共服务发生中断
一周政策要闻
中央网信委印发《促进网信企业高质量发展行动计划（2026-2030年）》式实施
近日，中央网络安全和信息化委员会印发《促进网信企业高质量发展行动计划（20262030 年）》，旨在落实网络强国建设和“十五五”网信工作部署。
计划明确将网信企业视为培育新质生产力、提升国际竞争力的关键力量，并提出到2030年要实现企业综合实力、科技创新能力、产品服务竞争力及安全发展制度的全面增强，持续优化产业发展环境，进一步发挥对经济社会发展的赋能作用。为此，计划围绕企业培育、创新提升、产业赋能、海外拓展、安全发展、营商环境和要素保障七大方向部署了系统性举措，涵盖分类培育、核心技术攻关、数字化转型、规范市场秩序及金融、数据、人才保障等具体领域，后续将通过跨部门统筹协调、企业动态监测与诉求收集、政策评估及地方惠企政策落实等机制保障政策落地，为网络强国建设提供坚实支撑。
7项网络安全国家标准公开征求意见
全国网络安全标准化技术委员会归口的《网络安全技术 移动通信信号屏蔽器技术规范》等7项国家标准现已形成标准征求意见稿。根据《全国网络安全标准化技术委员会标准制修订工作程序》要求，现将该7项标准征求意见稿面向社会公开征求意见。标准相关材料已发布在网安标委网站(网址:https://www.tc260.org.cn/portal/suggestion)，如有意见或建议请于2026年10月25日24:00前反馈秘书处。
联系人：张老师 13051502670 zhangbr@cesi.cn
消息来源：全国网络安全标准化技术委员会 https://www.tc260.org.cn/portal/suggestion
业内新闻速览
特朗普签署行政令，限制外国电力设备接入美国电网
当地时间2026年8月26日，美国总统Donald Trump签署行政令，宣布国家进入能源紧急状态，针对美国大宗电力系统（bulkpower system）实施外国设备管控，防范网络安全带来的基础设施风险。
该行政令规定，被认定存在重大国家安全风险的外国产设备、软件及数字组件，将禁止在美国境内采购、进口、转让与安装；确有必要使用的，也需设置附加条件化解安全隐患。美方文件提出风险假设，称相关设备可能内置数字后门，可供境外主体远程访问，成为恶意网络活动的攻击载体。
按照新行政令要求，美国能源部（Department of Energy）需联合其他部门，在 120 天内制定配套实施细则。报道提及，中国在光伏供应链、电力变压器制造领域占据较高市场份额，也是本次政策指向的背景因素之一。
Next.js严重漏洞可致远程代码执行攻击
近期，Next.js 被发现存在两个严重安全漏洞，均可在未经身份认证的情况下被远程利用。第一个是路径遍历漏洞（CVE-2026-75604），影响使用 Pages Router 或未启用 Cache Components 的 App Router 的应用程序，且服务器必须运行在 Windows 文件系统上。该漏洞源于应用使用攻击者可控的输入构造文件路径且未充分限制特殊元素，导致攻击者可能访问预期目录之外的文件，造成敏感数据泄露、内容篡改或服务中断。受影响版本包括 Next.js 13.4 至 15.5.24（不含 15.5.24）及 16.0 至 16.3.3（不含 16.3.3）。
第二个漏洞与 AVIF 图片处理有关，影响启用了 AVIF 优化功能的 Image Optimization API，其根源在于 Sharp 包依赖的 libheif 库存在缺陷，攻击者可提交恶意 AVIF 图片触发远程代码执行，对机密性、完整性和可用性构成严重威胁。该漏洞影响 Next.js 10.0.0 至 15.5.24 之前的所有版本以及 16.3.3 之前的版本。上述两个问题已在 15.5.24 和 16.3.3 版本中修复，同时 Next.js 已临时禁用 AVIF 优化作为过渡措施。
消息来源：FREEBUF https://www.freebuf.com/articles/web/497382.html
GDPR第二大罚单，Uber因自动化系统被罚款超8亿欧元
2026年8月23日消息，荷兰数据保护局对Uber处以8.25亿欧元（约9.66亿美元）罚款，这是欧盟《通用数据保护条例》（GDPR）实施以来第二高额处罚。监管机构调查认定，Uber使用自动化流程停用司机账户，部分账号被永久封禁，过程缺少充分告知与必要人工监督，构成严重数据保护违规。监管方强调，计算机不应独立做出对个人产生重大生计影响的决策。该案件源于法国前司机Brahim Ben Ali联合170名司机发起投诉，Uber欧洲总部位于荷兰，因此由荷兰监管机构受理，数字权利非营利组织PersonalData.io为司机提供支持。Uber不认同该处罚结果，表示大部分封禁为短期限制，永久停用均经过人工复核，司机拥有申诉通道，公司将就此裁决提起上诉。
挪威政务基础设施遭遇DDoS攻击，多项身份认证公共服务发生中断
当地时间2026年8月24日凌晨3点38 分，挪威数字化管理局Digdir遭遇大规模DDoS攻击，造成该国多项核心政务数字服务出现业务扰动，这是短时期内该机构遭受的第三次同类攻击。本次攻击波及IDporten身份网关、Maskinporten机器对机器认证枢纽、MinID电子身份、Altinn门户、eSignering电子签名等一批关键公共组件。部分服务曾短暂完全不可用，多数时段处于部分可用状态，出现登录缓慢等故障。Digdir联合分包商Vivicta开展应急处置，截至通报发布，多数业务趋于稳定，IDporten仍存在局部访问异常。
Digdir负责人Frode Danielsen表示，该攻击目标为破坏服务可用性，并非入侵系统，暂无证据显示发生安全突破或个人数据泄露。
来源:本安全周报所推送内容由网络收集整理而来，仅用于分享，并不意味着赞同其观点或证实其内容的真实性，部分内容推送时未能与原作者取得联系，若涉及版权问题，烦请原作者联系我们，我们会尽快删除处理，谢谢！
