欧盟《网络弹性法案》：制造商须在 24 小时内报告在野利用漏洞

介绍漏洞披露政策（VDP）的定义与商业价值：欧盟 CRA 与 NIS2 已将其列为合规要求，VDP 决定漏洞是由研究员私下报告还是公开曝光。文章解析政策各章节的关键决策、政策与计划的区别，并提供可免费套用的模板。

Aikido Security 对欧盟《网络弹性法案》（CRA）首个报告期限落地后的第一手解读，介绍新上线的统一报告平台（SRP）、24 小时/72 小时/14 天的报告时间线，并澄清常见合规误区。

YesWeHack 专访其史上排名第一的漏洞赏金猎人 Issam Rabhi：他从童年逆向工程游戏和 INRIA 研究工程师的学术路径起步，早在 2009/2010 年就通过 Zataz 等渠道披露漏洞。他强调自己只自动化侦察环节而非整个挖洞流程，分享了方法论、偏好的漏洞类型与代表性发现，并建议新人保持健康的工作生活平衡。

在全球监管趋严、多地已将智能合约独立审计纳入牌照要求的背景下，CertiK 宣布加入 Linux 基金会旗下 LF Decentralized Trust，把形式化验证与企业级安全经验注入开源区块链基础设施，推动行业标准建设。

2026 年 8 月 18 日，SEC 发布拟议规则 Regulation Crypto Assets（Release No. 33-11434），为 covered investment contracts 量身定制监管路径：包括面向早期团队的 4 年期 Startup 豁免（Rule 200，12 个月内可募 500 万美元且无需审计财报）、仿照 Regulation A 的两级募资豁免（Tier 1 上限 2000 万、Tier 2 上限 7500 万美元），以及免于投资合同定性的有条件安全港。

CertiK 首席商务官 Jason Jiang 与巴西央行 Nagel Paulino、Veirano Advogados 合伙人 Marcos Rocha 炉边对谈：从 2013、2017 年两份警示函，到 2022 年第 14.478 号联邦法律确立虚拟资产法律框架、2023 年行政法令指定央行为监管者，再到 2025 年 11 月生效的第 519–521 号决议，巴西用两年多时间从「加密是否合法」走向细致的 VASP 运营规则，过程虽不顺利但市场与监管者目标一致。