1、攻击者搭建AI虚假页面实施钓鱼攻击

https://pushsecurity.com/blog/ai-themed-fake-event-campaign-analysis

安全研究人员监测到一轮以AI主题为包装的虚假线上活动注册钓鱼Campaign，攻击者伪造OpenAI、SpaceX、Anthropic活动页面，以ChatGPT Pro、Grok Heavy会员、SpaceX股份作为诱饵。该团伙使用两套PhaaS平台，支持针对微软、Google账号钓鱼，可实现AiTM中间人攻击并尝试绕过多因素认证，依托短链接传播，利用Cloudflare人机验证阻挡安全扫描，2026年10至11月持续活跃，已捕获数十个关联恶意域名。

2、ChatGPT锁定模式可被绕过实现数据外泄

https://research.checkpoint.com/2026/chatgpt-lockdown-mode-bypass-phishing-malware-delivery-and-silent-data-exfiltration/

安全研究人员披露ChatGPT Lockdown Mode存在绕过手段，攻击者可借助HTML预览iframe弹窗权限突破防护，实现钓鱼、恶意软件投递以及静默数据外渗。攻击可通过恶意提示词、自定义GPT、分享聊天会话触发，在ChatGPT Classic客户端上能够零交互导出全部聊天记录。该问题已由OpenAI完成修复，修复方案移除iframe弹窗逃逸相关权限，披露材料中暂未观测到该漏洞的野外利用实例。

3、GhostMap漏洞可致安卓设备崩溃且无法恢复

https://www.bitdefender.com/en-us/blog/labs/ghostmap-android

安全研究人员披露，Bitdefender公布命名为GhostMap的Android拒绝服务漏洞，攻击者构造不含可执行代码、无需申请权限的恶意APK，设备完成安装后即可触发system_server核心进程反复崩溃重启，进入死循环。常规重启、进入安全模式无法解除故障，清除数据恢复出厂设置是主要恢复方式，提前开启ADB可有限缓解影响。该问题源于两套ZIP解析库逻辑不一致，影响Android10及以上版本，Google判定不属于安全补丁范围，转交产品团队评估，暂未发布修复。

4、苹果计划对iCloud分享链接启动内容扫描

https://thehackernews.com/2026/11/apple-to-start-scanning-publicly-shared.html

Apple披露，计划在iOS、iPadOS、macOS、visionOS 27.3版本上线针对iCloud公开分享链接的有害内容扫描机制，当用户将照片、网盘资源设置为任何人可访问时，即便账号开启高级数据保护，该部分公开分享内容也会退出端到端加密。苹果后台可直接判定并删除违规内容，同时支持对涉事账号执行封禁操作，公告暂未公布扫描回溯范围、有害内容判定细则以及人工复核流程，相关能力将随系统版本推送逐步启用。

5、ThisBash漏洞借浏览器扩展进行传播

https://forever.security/blog/thisbash-claude-dispatch-browser-extension-rce

安全研究人员披露发现代号ThisBash Escape的设计缺陷，Claude Dispatch接口可被已登录claude.ai网页会话调用，具备对应网站权限的恶意或遭劫持浏览器扩展，能够向Claude Desktop下发指令。攻击链采用prompt‑forcing交互技术，持续构造提示词绕过AI防护，同时自动化点击界面Allow批准按钮，无需浏览器漏洞即可完成操作系统命令执行。该攻击支持跨设备生效，同一Claude账号下，受控浏览器可操控其他终端的Claude Desktop运行指令，可作为企业终端入侵入口，该事件暂未分配CVE编号。

6、Windows画图漏洞修复版本已经上架

https://getrff.com/blog/windows-paint-cve-2026-83844-store-fix-missing/

微软披露，Windows Paint存在CVE‑2026‑83844越界读取漏洞，CVSS评分为8.1，被标记为远程代码执行，攻击向量为网络，无需账号与用户交互，攻击复杂度较高，公开阶段暂未发现野外利用记录。Paint属于Microsoft Store分发应用，更新不通过Windows Update推送，微软两次修订修复版本号，确定目标修复版本为11.2609.401.0。当前多国家地区微软商店最高可用版本为11.2605.81.0，修复构建未上架，全量打补丁的Windows主机依旧处于受影响状态。

7、Zyxel交换机零日漏洞遭大规模利用

https://www.bleepingcomputer.com/news/security/zyxel-fixes-zero-day-exploited-to-hack-nearly-1-000-network-switches/

安全研究人员披露，Zyxel GS1900系列交换机零日漏洞CVE-2026-107441存在野外利用，该漏洞属于越界写入，未经认证的远程HTTP请求能够直接执行系统命令。关联攻击者Kapibala，该活动归属于Red Heron威胁集群，攻击从当年8月启动，全球大约996台设备遭到入侵，攻击者窃取交换机配置与账号哈希，早期攻击流量被误识别为旧漏洞CVE-2026-7273，Binarly研究确认该漏洞可以绕过旧漏洞补丁，Zyxel在10月22日推送修复固件。

8、DigiCert配置失误造成客户资料泄露

https://www.bleepingcomputer.com/news/security/digicert-data-breach-exposes-customer-information-identity-documents/

DigiCert披露，2025年02月服务器迁移期间配置失误，一套限定VPN访问的内部归档系统被暴露至公网，外部注册账号可获得归档客户数据只读权限。非法访问窗口落在2026年06月27日至07月02日之间，外泄资料包含企业客户名称、邮箱、电话、地址，部分记录附带驾照、护照、公用事业账单等身份核验材料，证书签发服务、CertCentral主平台未被入侵，账号凭证没有外泄，厂商正在逐一通知受影响客户。

9、Truffle Security启动免费泄露密钥吊销项目

https://www.bleepingcomputer.com/news/security/truffle-security-launches-program-to-revoke-14-million-live-secrets/

Truffle Security推出免费密钥吊销专项计划，目标处置约140万条在互联网公开泄露、当前仍然有效的服务密钥。统计数据显示，81%对外通报的泄露密钥在泄露半年之后依旧保持可用，AI代码助手进一步抬高凭据意外提交风险，已有16家服务商接入该项目，接入方可通过Webhook接收经过验证的泄露密钥信息，在14天内完成吊销，参考同类自动吊销方案可将存活泄露密钥占比从72%下降至11%。

10、Claude Code因配置错误致密钥上传至GitHub

https://apiiro.com/blog/coding-agents-leaking-secrets-github-dont-ask-again

安全研究人员披露GitHub公开仓库发现，开发者使用Claude Code并选择“不再询问”确认执行命令后，命令连同密码、密钥会写入项目目录下.claude/settings.local.json配置文件，该文件不会自动加入仓库.gitignore，被大量开发者意外提交至版本库。调研扫描104185份公开.claude/settings.local.json文件，1122份包含真实凭据；计入git历史记录、共享配置、对话转录等关联文件后，共计1994个仓库泄露2539条有效密钥，覆盖云API密钥、数据库密码、SSH账号口令、第三方服务token，波及63家机构。

以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。