1、Tailscale SSH曝多项潜在安全缺陷，可能成为横向提权入口

https://thehackernews.com/2026/10/unpatched-tailscale-ssh-flaws-could-let.html

2026年10月25日，安全研究人员Erica Windisch公布名为Tailworm的安全评估报告，披露Tailscale SSH、开源自托管控制服务器Headscale等组件存在多项潜在安全问题。研究人员在实验环境中测试了Tailscale 1.104.2和Headscale 0.29.5，发现特定配置下，攻击者如果已经控制一台获准访问目标服务器的设备，可能利用SSH转发与Unix套接字权限处理问题，将普通访问权限提升为目标服务器的root权限。Tailscale随后确认已经收到报告，正在联合外部安全专家调查并开发修复方案，但表示目前不建议所有用户一律关闭Tailscale SSH。截至10月26日，该研究尚无统一CVE编号，也没有公开证据证明相关问题已遭真实攻击。使用该服务的组织应检查SSH访问策略，限制端口转发权限，并对高敏感服务器启用额外连接验证。

2、VeloCloud Orchestrator严重SQL注入漏洞遭利用

https://thehackernews.com/2026/10/cisa-flags-two-actively-exploited.html

2026年10月24日，The Hacker News报道，美国网络安全和基础设施安全局（CISA）已将Arista VeloCloud Orchestrator中的SQL注入漏洞CVE-2026-114625加入已知遭利用漏洞目录。该漏洞存在于本地部署版本的VeloCloud Orchestrator，可能使具备相应访问条件的攻击者访问高权限内部功能。根据公开分析，攻击者需要能够访问管理Web界面并拥有有效会话，最低权限角色可以是Enterprise Read Only，因此不能简单理解为完全未认证的互联网攻击。受影响版本包括5.2.0至5.2.3.18之前的5.2分支、6.1.0至6.1.3.10之前的6.1分支，以及6.4.0至6.4.2.12之前的6.4分支。Arista已发布修复版本，并确认该漏洞存在在野利用情况，但尚未公开完整攻击规模或攻击组织身份。使用相关SD-WAN管理平台的组织应尽快升级，并限制管理界面访问范围。

3、微软365令牌重放攻击波及79家机构，可绕过多因素认证

https://www.huntress.com/blog/token-replay-spray

2026年10月24日前后，安全公司Huntress披露一项持续约10周的Microsoft 365账户攻击行动。2026年7月14日至9月22日期间，研究人员在79家机构中观察到至少497次成功登录，同时记录到超过20万次失败登录尝试。攻击者先利用中间人钓鱼技术获取用户完成认证后的会话令牌，再通过令牌重放冒充合法用户访问Microsoft 365服务。由于被盗令牌已经关联完成多因素认证的会话，攻击者可能绕过仅依赖密码和常规MFA提示的防护。研究人员还发现，攻击者在受害环境中注册了至少48台未经授权的Entra设备，并在19家机构中清除或替换用户的MFA验证方式，还创建隐藏邮箱规则掩盖恶意通信。Huntress建议企业撤销可疑会话、重置密码，同时删除攻击者注册的设备和MFA方法，并启用合理配置的条件访问策略。

4、HPE为ArubaOS修复72项安全漏洞，其中8个满分漏洞

https://www.bleepingcomputer.com/news/security/hpe-patches-eight-max-severity-rce-and-auth-bypass-aos-flaws/

2026年10月23日，Hewlett Packard Enterprise（HPE）发布ArubaOS安全更新，修复72项安全漏洞，其中8项被评定为CVSS 10.0的最高严重级别。相关漏洞影响ArubaOS 8和ArubaOS 10的多个版本，涉及企业无线接入点、控制器及网关设备。漏洞类型包括认证绕过、未认证命令注入、缓冲区溢出以及SQL注入，部分问题可能被远程攻击者利用来执行任意代码。八项漏洞编号为CVE-2026-79844至CVE-2026-79851。HPE表示，截至安全公告发布时，尚未发现针对这些具体漏洞的公开利用代码，也没有证据证明其已遭在野利用。厂商强烈建议用户尽快升级，并将CLI和Web管理接口限制在专用网络或受防火墙保护的管理区域。对于大规模部署Aruba无线网络的企业，应优先核查管理控制器和网关版本。

5、废弃版Popcorn Time更新程序曝RCE漏洞，影响百万级设备

https://www.bleepingcomputer.com/news/security/abandoned-popcorn-time-app-exposed-millions-of-devices-to-rce-attacks/

2026年10月23日，安全公司Eye Security披露，已停止维护的Popcorn Time分支软件Time4Popcorn仍在全球大量Windows、macOS和Android设备上运行，其自动更新组件存在严重安全问题。更新程序会通过未加密HTTP连接访问已经废弃的域名，缺乏可靠的数字签名校验，并可能以Windows SYSTEM或macOS root权限执行下载的程序。一旦攻击者控制相关域名，或者实施中间人攻击，就可能向设备投递恶意软件，甚至将大量设备组织成僵尸网络。研究人员将相关漏洞追踪为CVE-2026-30612，并通过注册其中一个废弃域名，向仍在请求更新的Windows和macOS设备发送禁用更新程序的修复操作。截至2026年3月，相关修复更新累计下载超过200万次，但这不代表所有设备均已修复，Android设备也没有通过该方式完成处理。由于该软件已被废弃，建议用户卸载Time4Popcorn及其他来源不明的旧版分支，而不是继续依赖这一临时修复。

6、普华永道确认第三方供应商发生网络安全事件

https://www.reuters.com/legal/litigation/pwc-confirms-cybersecurity-incident-involving-employee-learning-records-2026-10-23/

路透社于2026年10月23日报道，普华永道（PwC）确认其用于托管员工学习记录的第三方供应商发生网络安全事件。就在前一天，名为Everest的网络勒索组织声称窃取了约590GB的公司数据，并威胁如果无法达成条件就公开数据。该组织宣称，相关信息包括区域人力资源和培训记录、集成文档、软件组件及电子学习课程。不过，PwC表示，受到影响的网站不存储客户数据、敏感个人数据或财务信息，公司在获悉事件后迅速采取措施保护环境，并开展调查。PwC同时称，事件没有影响自身网络和业务运营，但拒绝确认攻击组织所宣称的数据规模及内容是否真实。当前仍应将590GB视为攻击组织的单方面说法，而不是已经独立核实的数据泄露规模。该事件再次凸显企业第三方培训和人力资源服务商的安全风险。

7、PHP2Shell漏洞首次确认成功执行远程命令，攻击者已在蜜罐获得Shell

https://www.bleepingcomputer.com/news/security/php2shell-security-flaws-now-sucessfully-exploited-in-the-wild/

2026年10月26日，安全研究人员披露，PHP两项严重远程代码执行漏洞CVE-2026-109618和CVE-2026-109619已出现成功利用证据。研究人员Adel Karimi在三个蜜罐服务器中记录到35次Shell启动事件，目标运行的是PHP 8.4.26与Apache mod_php。攻击流量采用多阶段HTTP请求，先触发内存异常，再读取内存内容，最终执行系统命令。此次发现证明，攻击者已能够在特定配置下利用漏洞实现真实的远程代码执行。不过，这些证据来自研究人员部署的蜜罐，并不意味着已有35家真实企业遭到入侵。截至10月26日，尚无证据证明此类攻击已经大规模成功。建议管理员立即升级到对应修复版本，并重点排查异常PHP请求、Web服务器启动的Shell进程及未经授权的文件变更。

8、两项Wasmtime严重漏洞可突破WebAssembly沙箱，CVSS分为9.9

https://thehackernews.com/2026/10/two-critical-wasmtime-flaws-could-let.html

2026年10月26日，The Hacker News报道，WebAssembly运行时Wasmtime存在两项严重安全漏洞，编号分别为CVE-2026-115889和CVE-2026-115893，CVSS评分均为9.9。问题出现在其默认代码生成器Cranelift中，恶意WebAssembly模块在特定条件下可能突破原本用于限制其访问范围的沙箱机制。CVE-2026-115889影响多个处理器架构，另一项CVE-2026-115893则仅影响ARM64平台。Wasmtime广泛用于服务器端执行WebAssembly代码，也可能被其他应用作为嵌入式运行环境使用。一旦沙箱边界被突破，恶意模块可能访问原本不应触及的宿主环境资源。项目维护方已于10月19日和20日发布修复版本，目前没有报告称这些漏洞已遭实际攻击。使用Wasmtime的开发者应核对依赖版本，升级至修复版本，并重新构建包含受影响组件的应用。

9、荷兰逮捕两名NFC中继诈骗嫌疑人，170名受害者损失超过42万美元

https://www.securityweek.com/dutch-police-arrest-two-over-nfc-relay-attacks-that-drained-400000/

荷兰警方于2026年10月披露一起利用近场通信（NFC）技术窃取银行卡信息的金融诈骗案件，两名嫌疑人因涉嫌参与相关行动被捕。警方称，犯罪团伙首先拨打电话，播放由AI生成的银行诈骗提示音频，声称受害者账户存在可疑交易，诱导其继续与假冒银行客服沟通。随后，诈骗人员要求受害者安装一款应用，并将银行卡贴近手机进行扫描。该应用利用NFC读取银行卡的非接触支付相关数据，再把信息传给等待在ATM附近的同伙实施取款。警方表示，约170名受害者因此损失超过38万欧元，约合42.56万美元。两名嫌疑人于10月6日被捕，警方还查封了相关服务器、手机和电脑。此案提醒公众，银行不会要求用户通过来路不明的应用扫描银行卡；遇到异常交易提醒，应主动拨打银行卡背面的官方电话进行核实。

10、美国主流智能电视ACR接口暴露5700万条观看识别记录

https://watchingthewatchers.github.io/watchingthewatchers/

安全研究人员披露，一项针对美国市场智能电视自动内容识别ACR的数据隐私研究测试了10个厂商、8种系统上的12台电视，完成5943次自动化实验。研究发现VIDAA电视会经未加密MQTT向Unruly服务器发送音频指纹、永久设备标识、时区、应用名、输入源与频道等识别数据，相关服务器当时未设置身份验证。研究人员在约三小时受限采集过程中取得超过5700万条观看识别记录，涉及超过100万台独立电视。实验还发现部分Samsung Tizen、Vizio SmartCast和Roku场景下，用户关闭相关选项后仍存在内容识别相关网络通信；VIDAA收到披露后为服务器增加身份认证机制。

以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。