1、Apple 与 Google 发布紧急补丁修复遭利用的零日漏洞

https://www.securityweek.com/apple-patches-two-zero-days-tied-to-mysterious-exploited-chrome-flaw/

Apple 发布了 iOS 和 macOS 更新，以修复两个 WebKit 零日漏洞（包括 CVE-2025-14174），这些漏洞被用于“极其复杂”的攻击中。Google 也紧急修复了 Chrome 中相同的漏洞。此次攻击据信由复杂的商业监控软件供应商或国家级黑客组织发起，波及广泛的移动和桌面用户。

2、700Credit 发生大规模数据泄露，波及 580 万人

https://www.securityweek.com/700credit-data-breach-impacts-5-8-million-individuals/

美国主要信用报告和身份验证服务提供商 700Credit 披露了一起重大数据泄露事件。黑客窃取了约 580 万人的敏感信息，包括姓名、地址、出生日期和社会安全号码（SSN）。该入侵发生在 2025 年 5 月至 10 月之间，目前已有集体诉讼在酝酿中。

3、CISA 发布企业设备 UEFI 安全启动管理指南

https://cybersecuritynews.com/cisa-guidance-uefi-secure-boot/

美国 CISA 与 NSA 联合发布新指南，敦促企业验证和管理 UEFI 安全启动配置，以对抗 Bootkit 威胁。指南针对 BlackLotus 和 PKFail 等能绕过启动保护的漏洞，建议管理员定期审计 UEFI 数据库（DBX）并移除不信任的测试证书。

4、FBI 查获并向HIBP分享 6.3 亿个被盗密码

https://www.forbes.com/sites/daveywinder/2025/12/15/fbi-confirms-630-million-stolen-passwords---how-to-check-yours-now/?streamIndex=0

Troy Hunt（Have I Been Pwned 创始人）证实，FBI 向该数据库提供了从查获的黑客设备中提取的 6.3 亿个被盗密码。这些凭据主要来自信息窃取恶意软件（Infostealers）和暗网市场。此次行动有助于用户检查自身账户是否已在不知情的情况下遭到入侵。

5、Atlassian 修复Tika关键漏洞，波及Jira和Confluence

https://www.securityweek.com/atlassian-patches-critical-apache-tika-flaw/

Atlassian 发布安全更新，修复了其多款产品（包括 Jira、Confluence、Bitbucket）中使用的第三方组件 Apache Tika 的关键漏洞。攻击者可利用该漏洞造成服务拒绝或潜在的代码执行，敦促企业管理员尽快应用补丁。

6、MITRE 发布 2025 年最危险软件漏洞Top25

https://www.securityweek.com/mitre-releases-2025-list-of-top-25-most-dangerous-software-vulnerabilities/

MITRE 发布了 2025 年“最危险软件弱点”榜单。跨站脚本（XSS）依然占据榜首，其次是 SQL 注入和跨站请求伪造（CSRF）。该榜单基于全球漏洞数据统计，旨在帮助开发人员和安全团队确定修复优先级。

7、哈马斯相关黑客组织“Wirte”对中东外交官发起间谍活动

https://www.darkreading.com/cyberattacks-data-breaches/hamas-hackers-middle-eastern-diplomats

研究人员发现，隶属于哈马斯的网络间谍组织“Wirte”（也被追踪为 Ashen Lepus）正在对中东地区的政府机构和外交实体进行长期监控。该组织利用定制恶意软件和钓鱼手段收集敏感情报，活动可追溯至 2018 年，且近期活动显著加剧。

8、微软12月补丁日修复57个漏洞，包括3个零日

https://www.bleepingcomputer.com/news/microsoft/microsoft-december-2025-patch-tuesday-fixes-3-zero-days-57-flaws/

微软12月Patch Tuesday修复57个漏洞，其中包括一个活跃利用的权限提升零日（CVE-2025-62221）和两个公开披露的零日。

9、新型Gentlemen勒索软件在全球范围进行攻击

https://cybersecuritynews.com/new-gentlemen-ransomware-breaching-corporate-networks/

安全研究人员发现一种名为“Gentlemen”的新型勒索软件正对企业网络构成严重威胁。该勒索软件采用Go语言编写，自2025年8月首次出现后已迅速活跃，其攻击模式为双重勒索：即在加密文件前先窃取敏感数据，以此胁迫受害者支付赎金。攻击者利用组策略对象和自带易受攻击驱动程序等高级技术来渗透系统、横向移动并禁用安全防御。该勒索软件采用X25519和XChaCha20等加密算法，并具备独特的反分析特性，例如需要特定命令行密码才能运行。据观察，其攻击已波及至少17个国家的医疗、制造等多个行业，成为2025年最活跃的新兴勒索软件团伙之一。

10、Plesk高危漏洞允许用户获取服务器Root权限

https://cybersecuritynews.com/plesk-vulnerability/

网络安全研究人员发现服务器管理面板Plesk for Linux中的一个严重本地权限提升漏洞（CVE-2025-66430）。该漏洞存在于Plesk的“密码保护目录”功能中，由于对用户输入的处理不当，任何拥有该功能访问权限的Plesk用户均可通过注入恶意数据操纵Apache配置文件，从而以root权限执行任意命令。成功利用此漏洞的攻击者将能完全控制受影响的服务器，进行数据窃取、安装恶意软件或在网络内横向移动。受影响的版本包括Plesk 18.0.70至18.0.74及Plesk Onyx。开发商已发布针对18.0.73.5和18.0.74.2版本的微更新，建议系统管理员安装补丁，并审查相关功能的访问权限，同时监控日志中是否存在可疑的配置更改行为。

声明

以上内容原文自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。