1、攻击者利用泄露云备份凭据批量入侵M365租户

https://www.huntress.com/blog/vendor-credential-enables-unauthorized-access

安全研究人员披露，ConnectWise Cloud Backup（原SkyKick）的一项Microsoft 365应用凭据遭泄露，攻击者于10月15日使用该应用身份从144.172.64[.]128获取Microsoft Graph访问令牌，并在173个合作伙伴或客户租户中完成未经授权登录。该备份应用原本拥有邮箱、OneDrive、SharePoint、Teams及目录数据的广泛访问权限。至少一个合作伙伴租户中，另一ConnectWise Cloud Management应用将自身加入Global Administrator角色，随后通过Python脚本向两个受信任应用添加新的客户端密钥。ConnectWise随后暂停Cloud Backup应用访问。

2、攻击者投递Lorem Ipsum加载器建立加密隧道

https://www.forescout.com/blog/from-clickfix-to-c2-comparative-analysis-of-two-malware-loaders/

安全研究人员披露，9月底发生的一起攻击使用ClickFix社会工程投递Lorem Ipsum Loader，并在受感染主机上部署Python隧道客户端。攻击包包含合法签名程序、恶意DLL和批处理脚本，脚本创建注册表Run项和计划任务后启动合法程序，通过DLL侧载执行恶意代码。恶意DLL在.cpoc节中保存编码内容，并使用包含260个随机五字母单词的资源作为解码字典，再经过XOR处理恢复下载器Shellcode。研究还发现利用木马化安装包和多阶段PowerShell的另一条投递路径。Lorem Ipsum通过伪装成JPEG上传的请求向服务器注册并每5秒获取任务，后续Python载荷使用加密WebSocket建立隧道，用于转发流量和访问内部网络资源；该事件在勒索软件部署前完成处置。

3、NGINX修复五项内存破坏与TLS会话伪造漏洞

https://nginx.org/en/security_advisories.html

NGINX于10月14日发布1.30.6和1.31.7版本，修复五项安全漏洞。其中CVE-2026-15176为alias配合rewrite时的缓冲区溢出，CVE-2026-93479为脚本求值缓冲区溢出，CVE-2026-97205涉及异步文件I/O场景下的释放后使用，这三项在特定配置中可导致工作进程崩溃或代码执行。CVE-2026-97629影响共享TLS会话缓存和会话票据密钥轮换，可形成TLS会话伪造并绕过客户端证书检查；CVE-2026-95101影响HTTP/3请求处理，可向传递给后端的请求中注入额外字节。五项问题均在新版中修复。

4、Next.js紧急修复两项未认证RCE漏洞

https://nextjs.org/blog/nextjs-security-update-october-14-2026

Next.js于10月14日发布安全更新16.4.1和15.5.28，修复两项Critical远程代码执行漏洞及一项高危拒绝服务问题。第一项漏洞影响16.0.0至16.4.0版本，在启用Cache Components的App Router应用中，当use cache函数返回多个typed array时可触发未认证代码执行。第二项CVE-2026-96889位于Next.js通过sharp调用的librsvg图像处理链，攻击者向运行在glibc Linux上的应用提交特制SVG文件后可导致远程代码执行。另一项问题影响使用Server Actions的App Router，可通过特制请求持续占用CPU并阻塞同一进程处理后续请求。

5、Drupal Field UI漏洞可实现未认证RCE

https://www.drupal.org/sa-core-2026-014

Drupal于10月14日发布SA-CORE-2026-014，修复核心Field UI模块中的CVE-2026-108097远程代码执行漏洞，项目风险评级为Critical 19/25。漏洞位于用于管理字段及显示方式的Field UI功能，Drupal核心本身不能直接触发，但多个Contributed Module可形成严重利用路径，其中至少一条已知路径无需身份认证，自定义代码也可能暴露相关功能。受影响版本包括Drupal 10.6.19之前的10.6分支、11.3.19之前的11.3分支、11.4.10之前的11.4分支，以及12.0.0-beta2之前的12.0测试版本，相关修复随对应新版本发布。

6、博通Wi-Fi漏洞已存在16年，无需密码即可接管路由器

https://www.freebuf.com/news/507251.html

研究人员Quentin Kaiser在巴黎Hexacon大会上发表演讲，披露了博通私有802.11协议实现中的一个漏洞。该漏洞至少从2010年起就存在于博通SDK中，攻击者无需知晓Wi-Fi密码，也无需完成正常WPS配置流程，就能在受影响路由器上实现未授权远程代码执行。

7、日本汉堡王确认发生数据泄露，1118万应用会员记录受影响

https://cybersecuritynews.com/burger-king-japan-data-breach/

日本汉堡王应用约1118万会员信息泄露，含姓名、邮箱、手机等，信用卡未泄露，密码待查；已阻断访问并调查入侵路径，用户需警惕钓鱼，勿点可疑链接。

8、ChatGPT GitHub连接器存严重漏洞，攻击者可窃取私有仓库密钥

https://cybersecuritynews.com/chatgpt-github-connector-flaw/

ChatGPT的GitHub集成存高危提示注入漏洞，恶意指令可跨私有仓库写入工作流窃取密钥；CVSS 9.3未获厂商确认，最小权限可阻断。

9、 Linux内核PwnEscape高危漏洞曝光，虚拟机可读取宿主机内存

https://thehackernews.com/2026/10/critical-pwnescape-linux-kernel.html

Linux内核高危漏洞PwnEscape（CVE-2026-99999）允许虚拟机读宿主机内存、致其崩溃甚至执行代码，威胁云共享隔离；补丁已合入，需升级宿主机内核。

10、仿冒Chrome应用通过谷歌商店赞助结果诱导安装

https://piunikaweb.com/2026/10/14/fake-chrome-app-google-play-store-100k-downloads/

安全研究人员披露，Google Play出现一款仿冒Google Chrome的应用，其名称、图标和应用描述均模仿官方浏览器，但开发者显示为Hizbartech，包名为com.ballbounce.Hizbartech。该应用此前以Ball Bounce游戏身份上架，并于9月底更改品牌和商店展示信息，随后曾以赞助结果形式出现在Chrome相关搜索页面。公开截图显示该应用的下载标记超过10万次，安装包约42MB；实际安装后的界面并非浏览器，而是带有AI头像的联系人或聊天式应用。10月14日后，该应用的Google Play直接链接已显示无法访问，相关商店条目被移除。

以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。