1、恶意LiteLLM版本或影响超2100家机构

https://www.cloudsek.com/blog/ai-supply-chain-breach-2500-companies-434000-cicd-pipelines

安全研究人员披露，TeamPCP此前通过入侵Trivy CI/CD供应链，向PyPI发布恶意LiteLLM 1.82.7和1.82.8版本。恶意代码可窃取SSH密钥、云凭据、Kubernetes令牌、数据库密码及环境变量等敏感信息，并将数据加密后发送至攻击者服务器。其中1.82.8利用.pth文件在Python启动时自动执行，无需主动导入LiteLLM。CloudSEK分析约43.4万份被窃文件后认为，泄露数据可能涉及超过2100家机构，但该数字并不等同于已确认受害者数量。此次事件与此前Trivy供应链入侵活动存在关联。

2、Cisco ASA与FTD漏洞遭在野利用

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-asaftd-vpn-dos-dzv4mQFF

Cisco披露，Secure Firewall ASA和FTD存在高危漏洞CVE-2026-20349，CVSS评分8.6，目前已遭攻击者实际利用。该漏洞源于HTTP请求处理过程中的错误检查不足，未经身份认证的远程攻击者可向启用Remote Access SSL VPN等功能的设备发送特制HTTP请求，导致设备重新加载并造成拒绝服务。漏洞还影响部分启用IKEv2远程访问VPN及ZTNA功能的设备。目前暂无可用缓解措施，Cisco已发布修复版本。CISA已将该漏洞列入KEV目录，要求美国联邦机构在8月14日前完成修复。

3、ShieldBreak绕过Defender补丁获SYSTEM权限

https://blog.projectnightcrawler.dev/posts/2026-08-11-shieldbreak-august-2026-disclosure/

安全研究人员Chaotic Eclipse公开名为ShieldBreak的微软Defender零日漏洞概念验证代码，声称可完全绕过此前针对CVE-2026-50656（RoguePlanet）的修复。该技术利用Windows Cloud Filter API，在Defender云扫描期间通过用户态回调动态修改文件内容，从而再次实现SYSTEM级权限提升。研究人员称，该PoC已在Windows 11 25H2及Windows Server 2025上测试，成功率达100%，Windows 10同样存在风险。微软目前已确认收到相关报告，正在调查漏洞声明的有效性及影响范围，尚未发布进一步修复措施。

4、VMware vCenter高危漏洞遭在野利用

https://thehackernews.com/2026/08/attackers-exploit-vmware-vcenter.html

安全公司QUIRSO披露，攻击者正利用VMware vCenter高危目录遍历漏洞CVE-2026-59310实施入侵，该漏洞CVSS评分9.8，具备网络访问权限的攻击者可借此执行任意代码。攻击者成功入侵后植入恶意Cron任务，并利用开源reverse_ssh工具建立反向SSH连接，实现持久化远程访问并绕过入站流量限制。研究人员发现，相关受害IP已达361个，分布于47个国家，主要集中在德国、美国、土耳其、伊朗和法国。目前攻击者身份尚未确认，但研究人员怀疑该活动可能与APT组织有关。

5、WindRelay将安卓手机变为NFC支付中继

https://www.group-ib.com/blog/windrelay-nfc-spynote-rat-combo-fraud/

Group-IB披露新型Android恶意软件WindRelay，其与SpyNote远控木马结合实施非接触式支付欺诈。攻击者通过钓鱼短信、电话等方式诱导受害者安装定制恶意APK，随后利用SpyNote远程控制能力静默部署WindRelay，并以身份验证或银行卡安全检查为由诱骗受害者将实体银行卡贴近手机。WindRelay可实时读取NFC卡片数据，并通过WebSocket将EMV APDU通信转发至攻击者设备，使其模拟受害者银行卡完成线下支付或取现。研究人员已发现23个相关样本，主要仿冒捷克、斯洛伐克和斯洛文尼亚金融机构。

6、737款Chrome V*PN扩展劫持流量

https://socket.dev/blog/chrome-vpn-extension-impersonation

Socket披露，Chrome Web Store中发现737款可疑免费VPN及代理扩展，累计安装量达75486次，主要针对寻求访问受限服务的俄语用户。其中274款仿冒66个知名VPN及隐私品牌，大量扩展通过chrome.proxy.settings将用户全部浏览器流量转发至同一SOCKS5代理基础设施，使运营者处于对抗者中间人位置，可观察访问目标、源IP、TLS SNI及明文HTTP数据。研究还发现其存在规避商店审核、虚假高级服务及获批后远程修改配置等行为。目前已有221款扩展被下架，其余516款当时仍处于活跃状态。

7、Jewelbug利用XG-Web开展间谍与加密欺诈

https://www.security.com/threat-intelligence/jewelbug-crypto-fraud-espionage

Broadcom披露，雇佣黑客组织Jewelbug利用XG-Web平台同时开展政府网络间谍和加密货币欺诈活动。该组织针对中东、东南亚及南亚政府和军事机构实施攻击，通过恶意“PDF Viewer”浏览器扩展窃取Cookie、凭据、邮件及浏览数据，并利用Antino、ClientKing等后门进一步控制Windows、Linux及网络设备。其最大规模行动曾入侵Web托管商并向15个政府Webmail租户注入恶意代码，累计窃取超58万个浏览器Cookie。与此同时，该组织还通过SEO投毒伪造OKX、Binance页面，诱导中文用户下载恶意程序实施加密资产欺诈。

8、SharePoint认证绕过漏洞遭在野利用

https://www.rapid7.com/blog/post/ra-microsoft-sharepoint-jwt-token-authentication-bypass-cve-2026-55040/

安全研究人员发现，攻击者已开始利用Microsoft SharePoint高危认证绕过漏洞CVE-2026-55040，相关活动在Rapid7公开PoC后明显增加。该漏洞CVSS评分9.1，源于JWT令牌验证流程中的多项缺陷，未经身份认证的远程攻击者可伪造有效JWT令牌，冒充任意SharePoint用户甚至管理员，进而访问文件、修改数据及执行管理操作。监测显示，自7月19日以来已记录12次利用尝试，其中8次发生于PoC发布后的8月12日至13日。微软已于7月安全更新中修复该漏洞，建议用户尽快完成升级。

9、Akira借安全模式关闭EDR窃取数据

https://www.huntress.com/blog/akira-hits-safe-mode-ransomware-rebooting-around-edr

Huntress披露，一名Akira勒索软件附属攻击者利用未启用MFA的SonicWall VPN获取初始访问权限，随后通过RDP连接域控制器并枚举Active Directory环境。攻击者使用WinRAR打包共享文件，并借助s5cmd将数据上传至其控制的Amazon S3存储桶，之后部署AnyDesk进行远程控制。为规避安全防护，其将受害主机重启至带网络的Windows安全模式，使Huntress EDR无法正常加载，并关闭Microsoft Defender实时防护。攻击者随后尝试部署Akira勒索软件，但加密操作最终失败，企业数据仍已遭窃取。

10、GeoServer高危SQL注入漏洞遭在野利用

https://thehackernews.com/2026/08/unpatched-geoserver-zero-day-targeted.html

安全公司watchTowr披露，GeoServer一处高危SQL注入漏洞公开数小时后即出现大规模探测和利用尝试，攻击流量来自少量IP地址。该漏洞存在于PostGIS DataStore的jsonArrayContains函数，特定配置下未经身份认证的攻击者可注入SQL语句，并可能进一步实现远程代码执行。漏洞最初披露时尚无补丁，随后GeoServer发布3.0.1、2.28.5和2.27.6版本修复问题，并将其评为CVSS 9.8。官方指出，该问题属于CVE-2023-25158的回归漏洞，建议用户立即升级并限制GeoServer实例公网暴露。

以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。