1、美国CISA将微软和Adobe漏洞纳入已知可利用漏洞目录

https://securityaffairs.com/192508/security/u-s-cisa-adds-microsoft-and-adobe-flaws-to-its-known-exploited-vulnerabilities-catalog.html

CISA将多个高危漏洞纳入已知可利用漏洞目录，包括Windows Shell、ConnectWise ScreenConnect及Adobe漏洞，要求联邦机构2026年6月3日前修复。私营机构也应尽快修补这些可导致远程代码执行、权限提升和拒绝服务的漏洞。

2、"Mini Shai-Hulud"攻击迫使npm重置绕过双因素认证的发布令牌

https://cybersecuritynews.com/mini-shai-hulud-attack-forces-npm/

npm因"Mini Shai-Hulud"供应链攻击紧急重置绕过2FA的发布令牌，影响323个软件包。攻击者窃取凭证发布恶意版本，波及@antv和TanStack等热门库。npm推出分阶段发布功能防御，建议维护者启用MFA并轮换所有凭证。

3、PuTTY 0.84发布：修复 SSH 密钥交换崩溃与Telnet提示欺骗漏洞

https://www.freebuf.com/articles/endpoint/482746.html

PuTTY 0.84 版本已发布，修复了多个低危安全漏洞，包括可能触发 SSH 密钥交换崩溃的问题以及 Telnet 提示欺骗缺陷。虽然这些漏洞严重性较低，但它们表明即使加密处理和会话逻辑中的微小缺陷，也可能被恶意服务器或中间人（MITM）攻击者在特定攻击场景中利用。

4、Kali365钓鱼工具包针对Microsoft 365用户实施攻击

https://cyberscoop.com/fbi-phishing-kali365-microsoft365-access-tokens/

FBI发布公开预警，一款名为Kali365的钓鱼即服务（PaaS）平台正在快速扩散，专门针对Microsoft 365用户实施攻击。该工具滥用微软合法设备授权页面，通过设备代码钓鱼技术绕过多因素认证（MFA），为攻击者应用授予持久访问权限。Kali365集成AI生成钓鱼诱饵、自动化攻击模板、实时追踪面板及OAuth令牌捕获能力，大幅降低攻击门槛。服务按月收费250美元、年费2000美元，捕获的访问令牌可共享复用，使攻击者无需密码即可长期访问邮箱、文档、云盘等数据，极易引发数据窃取、勒索、欺诈等后续攻击。

5、iOS 16设备遭遇WhatsApp账户零点击盗取攻击

https://securityaffairs.com/192627/security/zero-click-whatsapp-account-takeover-hits-iphone-users-running-ios-16-no-linked-devices-no-warning.html

安全研究人员曝光针对iOS 16系统用户的WhatsApp高危零点击劫持漏洞，该攻击无需用户点击、授权、确认任何操作，即可在无感知状态下接管用户社交账号，风险覆盖面极广。此次攻击链依托CVE-2025-43300内存越界缺陷与CVE-2025-55177链接解析漏洞组合利用，攻击者可远程窃取设备本地WhatsApp会话密钥，实现后台静默登录。该攻击具备极强隐蔽性，受害者设备关联设备列表无异常记录，系统无任何弹窗警告，仅后台日志留存会话同步痕迹。攻击者接管账号后，主要发送虚假转账求助、亲友借款等诈骗信息，收割资金收益。目前意大利已出现多起真实受害案例。

6、Trump Mobile发生数据泄露暴露用户隐私信息

https://techcrunch.com/2026/05/22/trump-mobile-confirms-it-exposed-customers-personal-data-including-phone-numbers-and-home-addresses/

美国电信运营商Trump Mobile官方确认发生大规模用户数据泄露事件，大量用户核心隐私数据对外公开暴露。经官方核查，本次事件并非核心系统被入侵，而是合作第三方服务平台出现严重配置漏洞，导致存储的用户明文数据无防护公网曝光。泄露数据范围覆盖全面，包含用户真实姓名、注册邮箱、家庭住址、手机号码、消费订单编号等高度敏感个人信息。这批数据可直接被黑产用于精准钓鱼、电信诈骗、身份冒用、精准营销等恶意活动，对用户个人隐私与财产安全造成长期威胁。

7、荷兰警方捣毁长期活跃的大型防弹托管平台

https://hackread.com/netherlands-busts-bulletproof-hosting-disinfo-cybercrime/

荷兰财政情报调查局（FIOD）联合多国跨境执法机构开展专项打击行动，成功捣毁一个长期活跃的大型“防弹托管”服务平台，抓捕两名核心运营嫌疑人。该平台是黑产圈知名匿名基础设施服务商，长期无视网络安全法规与滥用投诉，专门为勒索软件团伙、网络诈骗组织、虚假信息传播团队、跨境黑灰产机构提供隐匿服务器、匿名域名与隐蔽网络托管服务，服务器节点遍布全球多个国家，可有效规避溯源追踪与司法制裁。此次执法行动成功查封全部涉案服务器、关停关联域名与IP资源，彻底切断大量黑产组织的核心隐匿运维渠道，大幅削弱跨境网络犯罪团伙的攻击存续能力，是近期国际联合打击黑产基础设施的标志性行动，有效净化全球网络空间环境。

8、GitHub为npm引入分阶段发布机制，抵御自动化供应链攻击

https://www.freebuf.com/articles/development/482605.html

GitHub宣布为npm生态系统推出重大安全升级，正式上线分阶段发布功能与全新安装时控制机制，旨在减少针对开源软件包的自动化供应链攻击。这项新发布的分阶段功能彻底改变了npm软件包的发布与分发方式。

9、越南两个部委系统发生严重数据泄露，数百万用户受影响

https://www.secrss.com/articles/90698

越南国家网络安全中心主管称，两个存有数百万用户数据的部级机构系统遭受了严重网络攻击；据悉，两个机构均已部署SOC平台，但未能发现此攻击；该主管称，这暴露了越南大型政企机构的普遍问题，即花了大价钱投资安全系统，但缺乏足够的合规安全人才去操作使用，管理层对安全风险的认知也非常薄弱。

10、欧盟GDPR对数据违规“一案多查”，Meta又被罚4.3亿欧元

https://www.secrss.com/articles/90682

“一案双查”是一个非常经典的行业术语，一般是说办一个案子时得查另一方面的问题。比如，在侦办网络违法犯罪案件的同时，对涉案网络服务提供者法定网络安全义务履行情况进行监督检查。

声明

以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。