1、攻击者劫持npm和Go包传播跨平台窃密程序

https://research.jfrog.com/post/hijacked-npm-vscode-tasks-blockchain/

安全研究人员披露，两个被劫持npm包和一组Go包被用于向Windows、Linux和macOS主机部署基于Python的信息窃取程序。已披露信息显示，相关npm包包括html-to-gutenberg和fetch-page-assets，二者曾于2026年5月25日上传至npm。攻击者将执行过程隐藏在VS Code任务中，配置为在VS Code或Cursor等IDE打开项目文件夹时自动运行。恶意载荷伪装成字体文件，并通过区块链交易数据获取加密JavaScript，再连接攻击者控制基础设施，启动socket.io后门并部署Python窃密程序。该恶意软件可收集浏览器凭据、加密货币钱包、开发者工具凭据、云存储元数据、操作系统凭据存储和文件系统数据。

2、俄罗斯背景攻击者利用虚假短信窃取凭证

https://thehackernews.com/2026/06/ukraine-says-russian-intelligence-used.html

乌克兰官方机构披露，其与美国执法部门联合破获一项长期网络行动，攻击者被指与俄罗斯情报机构有关，目标包括乌克兰、欧洲和美国的政府官员、军方人员、政界人士和活动人士的即时通讯账户。已披露信息显示，该行动旨在获取受害者在即时通讯应用中交换的敏感军事、政治和经济信息，并窃取个人数据。攻击者会发送伪装成即时通讯平台客服机器人的短信，诱导用户泄露账户凭证。乌克兰方面表示，攻击目标不仅包括组织、官员和公众人物，也包括乌克兰公民个人账户。公开信息未将该活动归因于具体黑客组织，但类似Signal和WhatsApp攻击曾与多个俄罗斯相关攻击活动集群有关。

3、Nissan遭Oracle零日漏洞攻击后数据泄露

https://oag.ca.gov/ecrime/databreach/reports/sb24-625558

Nissan披露，其在任和前任员工数据可能在Oracle PeopleSoft相关攻击中遭泄露，事件与ShinyHunters勒索组织有关。已披露信息显示，Nissan Americas使用Oracle PeopleSoft管理员工信息，包括工资、税务管理和其他人事记录。Oracle告知该公司，一起网络安全事件可能导致数百家公司员工档案被攻击者获取，Nissan随后确认自己是此次攻击的特定目标。Nissan表示，调查仍处于早期阶段，尚未确定完整影响范围，但攻击者可能获取员工联系信息、银行信息、社会保障号码、社会保险号码、国民身份证号码、财务和税务信息，以及受抚养人和受益人信息。受影响人员可能包括美国、加拿大、墨西哥和巴西的现任及前任员工。相关攻击被认为源于Oracle PeopleSoft PeopleTools漏洞CVE-2026-35273遭零日利用。

4、TP-Link多款路由器存在未认证命令注入漏洞

https://securityonline.info/tp-link-router-command-injection/

TP-Link发布CVE-2026-11834安全公告，披露多款路由器存在高危命令注入漏洞。已披露信息显示，该漏洞CVSS评分为8.7，影响Archer MR200 V7/V8、Archer MR402 V1、Archer VR2100 V1、Archer C20 V5/V6和TL-MR6400 V7等型号。问题源于DHCP选项处理过程中验证不当，路由器未能对外部提供的DHCP选项数据进行清理。相邻攻击者可向未配置的目标设备发送特制DHCP响应，在设备初始化过程中触发未经授权的命令执行。成功利用后，攻击者可在本地网络中以提升权限执行任意命令，并可能获得对受影响设备的管理控制。

5、Webmin修复可冒充任意用户的认证绕过漏洞

https://webmin.com/security/#webmin-prior-to-2641

Webmin发布2.641版本，修复三个安全漏洞，其中最严重的CVE-2026-56020允许未经身份验证攻击者冒充任意已配置用户。Webmin是运行在类Unix服务器上的网页管理面板，可管理用户、服务、DNS服务器和数据库等。已披露信息显示，CVE-2026-56020的CVSS评分为9.2，源于Webmin HTTP服务器miniserv.pl信任伪造HTTP标头，远程攻击者可伪造证书DN并绕过凭据完成身份验证。CVE-2026-56022涉及特制User-Agent标头使Webmin接受基本身份验证而无需会话Cookie，从而绕过额外多因素身份验证检查。CVE-2026-56021允许未经身份验证用户读取模块目录中以.conf结尾的配置文件。

6、Squidbleed漏洞可泄露其他用户HTTP请求内容

https://blog.calif.io/p/squidbleed-cve-2026-47729

安全研究人员披露，Squid代理服务器中的Squidbleed漏洞CVE-2026-47729可泄露其他用户HTTP请求内容，包括密码、会话令牌、授权标头、Cookie和API密钥等敏感信息。已披露信息显示，该漏洞位于Squid的FTP目录列表解析器中，相关代码可追溯至1997年。攻击者可让代理访问其控制的FTP服务器，随后返回在时间戳后立即结束的列表行，使解析逻辑读取字符串空字节之后的数据并越过缓冲区末尾。Squid随后会将陈旧堆数据复制到列表行中，被回收缓冲区中可能仍包含其他用户HTTP请求。该问题主要影响共享代理环境中的明文HTTP和TLS终止代理流量。公开技术细节和概念验证代码已发布。

7、GitHub安全公告数据库处理量创新高，数量远超审核能力

https://www.freebuf.com/news/488258.html

2026年5月，GitHub安全公告数据库创下历史新高，发布了1560份经过审核的安全公告，达到月均处理量的五倍以上。尽管取得这一里程碑式进展，该平台仍难以应对快速增长的漏洞报告数量，反映出全球漏洞披露生态系统的重大转变。

8、Bluekit钓鱼工具包利用浏览器中间人攻击规避检测

https://hackread.com/bluekit-phishing-uses-browser-in-the-middle-attacks/

Bluekit钓鱼平台采用"浏览器中间人"技术，在黑客电脑加载真实登录页面并实时传输用户操作，绕过安全检测。其分层规避架构能区分人类与扫描器，提供流畅体验，极大增加识别难度，威胁用户账户安全。

9、新型Windows后门程序Mistic实现内存代码执行与凭证窃取

https://www.freebuf.com/articles/endpoint/488217.html

自2026年4月起，一种名为Mistic的新型Windows后门程序在企业网络中悄然扩散。该恶意软件通过完全在内存中执行载荷的方式实现持久化访问，不向硬盘写入任何恶意文件，使得传统依赖磁盘文件扫描的安全检测工具大面积失效。目前已在保险、教育、信息技术和专业服务等多个行业发现其攻击活动，攻击者表现出明显的机会主义特征而非针对特定行业。

10、新型 Claude Code 攻击可让攻击者完全控制开发者系统

https://www.freebuf.com/articles/ai-security/488116.html

Mozilla 零日调查网络（0DIN）的研究人员展示了一种概念验证（PoC）攻击，表明看似完全无害的 GitHub 仓库可以欺骗 Claude Code 等 AI 编程 Agent，在开发者机器上悄无声息地开启反向 shell，而仓库中不会出现任何恶意代码行。这项发布于 2026 年 6 月 25 日的 PoC 攻击针对 Claude Code 等自主编程工具，利用了间接提示注入技术——该技术将恶意指令嵌入 AI Agent 处理的外部内容中，而非直接用户输入。

以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。