1、APT44长达数年针对能源与云设施的进行攻击

https://thehackernews.com/2025/12/amazon-exposes-years-long-gru-cyber.html

安全研究人员发现，由俄罗斯军事情报总局（GRU）附属组织APT44发起的一场长达数年的网络攻击活动，主要针对西方国家的能源关键基础设施及云托管网络。攻击者战术发生显著演变，从利用WatchGuard、Atlassian、Veeam等产品的已知漏洞，逐渐转向持续利用配置不当的网络边缘设备作为初始入侵点。通过入侵这些设备，攻击者能够进行流量嗅探、大规模窃取凭证，并重放这些凭证以试图横向移动至受害组织的在线服务与核心基础设施。

2、日本电商Askul公司遭勒索攻击导致74万客户数据泄露

https://www.bleepingcomputer.com/news/security/askul-confirms-theft-of-740k-customer-records-in-ransomhouse-attack/

日本电商Askul公司近日确认，其在10月遭受的勒索软件攻击导致约74万条客户及合作伙伴记录被窃。此次攻击由RansomHouse勒索团伙实施，攻击者利用了一个外包合作伙伴的管理员账户作为初始入侵点。进入网络后，攻击者进行横向移动、提升权限并禁用了终端检测与响应等安全软件，最终同时部署勒索软件加密系统并擦除备份文件，造成IT系统故障及发货中断。

3、Fortinet FortiGate设备遭漏洞利用攻击

https://thehackernews.com/2025/12/fortinet-fortigate-under-active-attack.html

安全研究人员发现，攻击者正在积极利用Fortinet FortiGate设备中两个新公开的身份验证绕过漏洞。这两个漏洞允许攻击者通过构造特制的SAML消息，绕过启用了FortiCloud单点登录功能的设备的身份验证。虽然该功能默认关闭，但在设备注册时可能被自动启用，增大了风险。监测显示，自12月12日起，攻击者已利用此漏洞以“admin”账户进行恶意SSO登录，并试图导出设备配置。

4、FreePBX高危漏洞可致身份验证绕过与远程代码执行

https://thehackernews.com/2025/12/freepbx-authentication-bypass-exposed.html

开源专用交换机平台FreePBX近日披露多个安全漏洞，包括一个CVSS评分9.3的身份验证绕过漏洞（CVE-2025-66039）以及SQL注入（CVE-2025-61675）和任意文件上传漏洞（CVE-2025-61678），其中身份验证绕过漏洞在特定配置下允许攻击者伪造授权标头登录管理员控制面板，结合其他漏洞可导致远程代码执行，但默认配置中此漏洞未被启用；相关漏洞已在FreePBX版本16.0.92、17.0.6和16.0.44、17.0.23中得到解决，项目方建议用户避免使用“webserver”身份验证类型，并采取临时缓解措施如将“授权类型”改为“usermanager”、设置“覆盖只读设置”为“否”并重启系统以防范潜在攻击。

5、SoundCloud遭遇攻击导致2800万账户数据泄露

https://www.bleepingcomputer.com/news/security/soundcloud-confirms-breach-after-member-data-stolen-vpn-access-disrupted/

SoundCloud于12月15日确认发生数据泄露事件，未经授权的威胁行为者访问了其一个附属服务面板，导致约2800万用户的电子邮件地址及公开个人资料信息被盗，但未涉及财务或密码等敏感数据；作为安全响应的一部分，平台调整配置导致用户通过VPN访问时出现“403禁止”错误，且恢复时间未定，同时有线索指向勒索团伙ShinyHunters可能为此事件的幕后黑手，该公司在事件后还遭受了短暂的拒绝服务攻击，目前已与第三方网络安全专家合作强化了监控、检测及访问控制措施。

6、谷歌将于2026年2月关闭暗网监控工具

https://www.freebuf.com/articles/database/462227.html

谷歌宣布将于2026年2月停止其暗网监控工具服务，该功能上线不到两年，旨在帮助用户监测个人信息是否出现在暗网中。具体时间节点为：2026年1月15日停止新的暗网数据泄露扫描，2026年2月16日正式终止该功能。

7、"精选"Chrome扩展(Urban V*PN)暗中窃取数百万用户AI聊天记录

https://www.freebuf.com/articles/database/462126.html

一款获得 Google Chrome "精选"徽章、拥有六百万用户的扩展程序被发现正在静默收集用户向各类 AI 聊天机器人输入的所有提示词，包括 OpenAI ChatGPT、Anthropic Claude、Microsoft Copilot、DeepSeek、Google Gemini、xAI Grok、Meta AI 和 Perplexity。

8、PCPcat利用React2Shell漏洞48小时内入侵超5.9万台服务器

https://www.freebuf.com/articles/web/462125.html

新型恶意软件PCPcat通过针对性利用Next.js和React框架中的关键漏洞，在48小时内成功入侵了超过5.9万台服务器。该恶意软件利用两个关键漏洞（CVE-2025-29927和CVE-2025-66478）攻击Next.js部署环境，这些漏洞允许未经身份验证的远程代码执行。

9、NVIDIA Merlin框架漏洞，可致AI管道遭RCE攻击

https://securityonline.info/nvidia-merlin-flaws-risk-ai-pipeline-rce-via-unsafe-deserialization-in-nvtabular-transformers4rec/

NVIDIA修复Merlin框架高危漏洞，涉及NVTabular和Transformers4Rec组件，CVSS评分8.8，攻击者可利用反序列化问题执行恶意代码或篡改数据。建议用户立即更新至指定版本以确保安全。

10、苹果0Day漏洞遭利用，针对特定iPhone用户发起复杂攻击

https://cybersecuritynews.com/apple-0-day-vulnerabilities-exploited-2/

苹果修复两个WebKit 0Day漏洞（CVE-2025-43529和CVE-2025-14174），影响iPhone 11及以上机型及部分iPad，攻击者可通过恶意网页执行任意代码。iOS 26.2和iPadOS 26.2已修复漏洞，建议用户立即更新。

声明

以上内容原文自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。