Google威胁情报团队与Mandiant于2026年10月15日警告，BeyondTrust远程支持设备存在可能遭到大规模利用的安全漏洞。攻击者成功利用后，可以获取凭据、任意上传文件并控制目标主机。Google称，一个被其追踪为Armory Castle的疑似中国关联黑客组织早在2026年8月就曾利用该漏洞发起攻击。随着漏洞细节公开，其他攻击者也可能跟进利用。Google建议相关组织尽快安装安全补丁或采取缓解措施，并检查远程支持系统是否存在异常访问。
安全研究人员披露，Nextcloud的内置Collabora Online CODE Server应用存在严重远程命令执行漏洞CVE-2026-110447。漏洞影响版本26.4.303之前的richdocumentscode组件，攻击者可向相关代理接口发送恶意请求，触发操作系统命令注入。该漏洞无需身份认证或用户交互，但利用条件是内置CODE Server处于停止状态。自2026年9月中旬以来，已有管理员报告遭到相关攻击，攻击者植入PHP WebShell，并搜索密码数据库、密码管理器文件及加密货币钱包等敏感信息。官方建议升级到26.4.303或更高版本；如果不需要该组件，应将其移除，而不是仅仅停用。
GreyNoise披露了一起针对网络存储设备、网络录像设备等互联网暴露设备的代理劫持行动，至少143台设备受到影响，受害设备分布于34个国家。攻击者利用D-Link ShareCenter中的CVE-2024-3272、CVE-2024-3273，以及Ubiquiti UniFi Video NVR中的CVE-2021-44228等已知漏洞入侵设备，并未经设备所有者同意安装合法的带宽共享软件Pawns.app，将受害者的网络连接转售给代理网络用户。研究人员还观察到针对海康威视、大华录像设备的攻击尝试，部分受感染系统被配置SSH密钥认证作为备用访问方式。此类活动不仅会消耗受害者的网络带宽，还可能导致其IP地址被滥用并受到外部平台封禁。
2026年10月15日，BleepingComputer披露，攻击者向Arch User Repository（AUR）上传伪装成热门软件包管理辅助工具yay和paru的恶意软件包。攻击者使用近似名称实施仿冒，并混入看似正常的上游代码，通过恶意安装脚本下载并执行远程Shell脚本，最终以root权限运行恶意代码。相关活动于10月13日被发现，恶意包发布账户为marchos1as。由于AUR广泛用于Arch Linux及其衍生发行版的软件管理，用户若忽略包名差异并直接安装，可能导致系统完全失陷。AUR维护团队随后封禁了相关账户并移除了恶意软件包。建议用户核查近期安装记录，检查软件包构建脚本和安装钩子，并避免盲目信任名称相似的第三方包。
https://thehackernews.com/2026/10/curl-patches-http2-upload-flaw-after.html
curl项目于2026年10月14日修复了漏洞CVE-2026-92392，该漏洞属于释放后使用（Use-After-Free）缺陷，影响curl及libcurl 8.12.0至8.22.0版本。攻击者可以通过控制恶意服务器，在客户端通过HTTP/2上传文件时触发异常的传输和连接处理流程，导致客户端使用已释放的内存。研究人员构造的概念验证程序展示了将该缺陷进一步转化为客户端代码执行的可能性，不过成功利用需要精确掌握目标软件版本、内存布局及传输时序，实际攻击难度较高。截至报道发布时，尚无该漏洞已被用于真实攻击的报告。curl已发布8.23.0版本修复该问题，并为部分维护分支提供修复版本。使用curl或依赖libcurl的应用程序应尽快升级；暂时无法更新时，可考虑避免使用HTTP/2上传。
Palo Alto Networks于2026年10月14日披露，PAN-OS存在高危远程代码执行漏洞CVE-2026-0322，CVSS评分为8.6，且已观察到针对防火墙管理接口的有限攻击活动。漏洞影响PA-Series、VM-Series防火墙，以及Panorama虚拟设备和M-Series设备。与可被完全未认证攻击者直接利用的漏洞不同，此问题要求攻击者已经具备有效凭据，并能够通过网络访问PAN-OS管理接口；成功利用后，攻击者可在设备上以root权限执行代码。官方已为多个受影响版本发布修复更新，并建议管理员将管理接口限制为可信内部IP地址访问。CISA随后将该漏洞加入已知遭利用漏洞目录，要求美国联邦民用机构在规定期限前完成缓解。
英国司法部下属法律援助署（Legal Aid Agency，LAA）于2026年10月15日披露，对既有数据泄露事件进行进一步取证后发现，被攻击者窃取的数据记录最早可追溯至1978年。此次入侵发生于2025年4月，机构最初在同年5月披露事件，随后确认泄露范围涉及大量法律援助申请人、受助人及法律服务提供方的信息。被盗数据可能包含联系方式、出生日期、身份识别号码、犯罪记录、就业信息、债务与付款记录，以及法律援助服务提供方的合同、财务信息和在线门户账户资料。此次最新披露表明，历史数据的泄露范围比最初评估的更广，部分信息涉及高度敏感的个人和法律事务。相关组织应重新评估长期留存数据的风险，排查账户凭据是否被滥用，并对受影响人员采取必要的通知和保护措施。
https://threatlabs.netskope.com/blog/2026/09/xworm-reborn
安全研究人员披露，XWorm远程访问木马持续增加监控能力，2026年第三季度共记录1236起相关事件，涉及100多家机构，活动量较2025年同期增长4倍。研究人员发现V6.4、V6.5、V7.2和V7.4四个版本同时活跃，支持插件数量由2025年7月的35个增至46个。新增Maps插件可在不弹出用户提示的情况下获取设备位置，Microphone插件可实时传输麦克风音频，HBrowser可直接控制受害者当前已认证的浏览器会话并传递键盘、鼠标及剪贴板操作，同时持续回传屏幕画面；相关版本还支持按需调用摄像头。
https://ssd-disclosure.com/lg-webos-sync-demo-preauth-rce/
安全研究人员披露，LG webOS存在由三项缺陷组成的预认证攻击链，同一局域网内的攻击者无需PIN即可取得部分智能电视的Root权限。攻击链首先重放内置sync-demo应用的LG签名Manifest，通过STB_INTERNAL_CONNECTION路径获取高权限client-key；随后利用cmp-client的interactiveUrl加载攻击者控制页面，并通过PalmServiceBridge访问内部Luna服务；最终利用pmlogd日志服务对targetDir和targetFile处理中的命令注入，以Root权限执行系统命令。该链已在32LQ636BPSA和27TQ600SW两款电视、webOS 7.5.7-25及固件04.54.40上完成验证。
https://blog.doyensec.com/2026/10/13/Sfape.html
安全研究人员披露，Windows 11中用于Microsoft Defender SmartScreen增强型钓鱼防护的SFAPE.dll VBS enclave存在CVE-2026-83498。研究人员通过重复调用Initialize触发固定4字节写入，破坏隔离区范围校验，再结合ClipboardInput中的时序缺陷获得VTL1内存读写能力，随后改写有效调用目标表并利用NtContinue控制寄存器，在Isolated User Mode内执行受控代码。相关研究在Windows 11 25H2环境完成，微软已在9月8日发布的KB5124008中修复问题，并通过更新后的VBS代码完整性策略阻止旧版SFAPE.dll继续加载。
以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。
本课程最终解释权归蚁景网安学院
本页面信息仅供参考，请扫码咨询客服了解本课程最新内容和活动
