cyberwar.com.cn公开来源 · 调查报告
威胁情报
通告
Cyberdione Labs 的 Erica Windisch 于约 10 月 25 日公开 Tailworm 评估报告，称在未修改的 Tailscale 客户端 1.104.2 与自建控制面 headscale 0.29.5 上、于 10 月 22–24 日实验室复现了多类问题。报告称若已有一台获策略允许的设备立足且启用 Tailscale SSH（及转发等），Unix 套接字转发等路径可使以 root 运行的 tailscaled 触达特权套接字，实验室中可致目标机管理员权限、注册密钥相关风险，并讨论 app connector、serve/funnel 与 headscale 可用性等问题；同时给出按对收紧 SSH 授权、关闭转发等运维侧缓解建议。
通告
株式会社ラクス于 10 月 21 日第 2 报称，子公司ラクスライトクラウド运营的邮件配信「ブラストメール」遭外部第三者不正访问，确认含个人信息在内的数据被带出；销售管理系统中全部契约者的公司名、担当者名、电话、邮箱、请求先邮箱及契约与支付履歴等已外带，信用卡号未持有，部分客户还涉及配信先列表等。官方服务告知页在 10 月 25 日 10:00 更新称：服务自 10 月 21 日 0:30 起管理画面与 API 不可用、约 1:00 起停止配信且重启未定；契约者信息以外的泄露已确认契约 344 件且均已个别联络（数值仍可能随外部调查变动）；原因表述为第三者侵入两台 API 服务器执行命令后连接销售管理与服务库带走数据，侵入路径仍在查。
通告
GMO インターネット称，10 月 19 日接客户问询后调查，10 月 20 日确认部分客户服务器环境被植入不正程序；10 月 21 日起全计划服务器陆续停止，并已向警方咨询。第 3 报（10 月 23 日）写明对象为お名前.com デスクトップクラウド全计划，影响可能性服务器 26,739 件（非已确认入侵件数），可能波及服务器内保存的交易账户登录信息等；公司称未在该服务服务器上持有客户支付卡信息。
通告
Keystone Hardware Wallet 于 10 月 24 日在官方 X 账号发帖致歉称，10 月 20 日发现官网遭未授权访问；经与 Shopify 核实 API 活动后，于 10 月 23 日确认第三方获取了客户收货相关信息。公司列明已暴露项为姓名、联系方式、收货地址及订单明细（商品与价格）；并称支付卡或银行信息、助记词、私钥与钱包密码未暴露。
通告
PHP 项目于 10 月 23 日发布信息性说明（CVE-2026-115560）：在会话上传进度功能仍启用的前提下，若应用配置将 session.serialize_handler 设为 php_binary 或 php_serialize，又在 session_start() 前用 ini_set() 切回 php，可能触发一个「不太可能但存在」的远程代码执行向量；10 月 21 日紧急修复的 CVE-2026-109618/109619 并不覆盖该路径。项目建议在下一次常规 bugfix 发布前将 session.upload_progress.enabled=0（该缓解已在 CVE-2026-109619 通告中列出）；若已按 109619 关闭则无需额外操作。
通告
Google Brotli 项目于 10 月 21 日发布 1.2.1（并同步 1.0.10、1.1.1 修复线），披露 CVE-2026-111497：解码器在处理特制压缩流时可发生越界写，远程未认证攻击者可能导致内存损坏、信息泄露、拒绝服务或远程代码执行；受影响版本为 1.0.3 至 1.2.0（不含已回修的 1.0.10/1.1.1）。OpenAI 安全研究称在红队演练中发现该问题并通知上游与下游；Envoy 于 10 月 23 日发布 GHSA，称启用 Brotli 解压的 v1.39.2/1.38.5/1.37.7/1.36.11 受影响，已在 1.40.0 及对应补丁线修复；Bun 同日发布 GHSA，称 1.4.3 及更早捆绑受影响 Brotli，已于 1.4.4 升至 1.2.1，并提示 fetch 默认解压 br 与编译产物需重建。
通告
Collabora 于 10 月 14 日发布安全通告 GHSA-g3vx-3m76-fghh，称 Nextcloud 应用「Collabora Online - Built-in CODE Server」（包名 richdocumentscode）在 CODE 本地文档服务未运行时，proxy.php 存在操作系统命令注入（CWE-78），CVSS 4.0 为 9.2，可致以 Web 服务账户执行命令；仅该内置部署受影响，独立 Collabora Online 服务器不受影响，禁用应用不足以防范，须升级至 26.4.303 或移除。厂商与社区称该漏洞在 9–10 月已遭利用；CISA 于 10 月 23 日将其加入已知被利用漏洞（KEV）目录，并按 BOD 26-04 要求联邦民用行政部门优先处置，截止日期约 10 月 26 日。
通告
哥本哈根大学于 10 月 23 日发布官方说明称，已确认一次网络攻击使攻击者进入该校某一测试环境；事件于当周周二被发现并已受控，目前无迹象表明日常业务支撑系统或校务运行受影响。校方称攻击者接触到约 52.5 万人的信息，数据库含全名、国家身份号码（CPR）、工作与住宅电话及个人电子邮箱等可识别信息，精确范围仍在分析。
通告
美国大型临床检验运营商 Quest Diagnostics 在面向客户的事件说明中称，已发现针对 Quanum Lab Services Manager（LSM）的未授权访问；该系统供部分客户下检验单、接收与查询结果。发现后已暂停该系统访问，核心业务与直接 LIS/EMR 订购接口据称未受影响；另对 Essential Insights、LabHQ 等未发现数据访问的系统亦临时暂停。
通告
Ruby 项目于 10 月 23 日发布 4.0.9、3.4.12 与 3.3.13，修复正则引擎 Onigmo 中多处在编译攻击者可控模式时可导致内存损坏的问题；这些问题正是 GitLab 已公开的 CVE-2026-89078、CVE-2026-93577、CVE-2026-97229、CVE-2026-110264 等所依赖的上游缺陷。官方说明仅当应用用 Regexp.new、Regexp.compile、Regexp.union 或插值字面量等方式编译不可信输入时才可达；仅使用开发者自写正则的应用不受影响。
通告
Arista 于 10 月 22 日发布 Security Advisory 0199，公开 CVE-2026-114625，称本地部署的 VeloCloud Orchestrator（VCO）存在 SQL 注入（CWE-89），CVSSv3.1 为 9.9。任意已认证用户（含最低的 Enterprise Read Only 角色）可提升至 operator 权限并冒充本地超级用户，进而触及本不应远程可达的内部功能，可能影响编排器主机与其管理数据的机密性、完整性与可用性。
调查
Trend Micro Zero Day Initiative 于 10 月 21 日将多份尚未打补丁的 Linux 内核漏洞报告发往内核安全邮箱，同时抄送了公开的 linux-kernel 等列表，其中两份针对内核内置 SMB 服务 KSMBD，ZDI 自评 CVSS 均为 9.0：ZDI-CAN-33774 为协议处理竞态相关问题，ZDI-CAN-33549 为 SMB Direct 路径上的整数下溢。截至 10 月 22 日公开报道与独立分析，两洞均无 CVE，主线与稳定树尚未合入对应修复；KSMBD 默认关闭，需启用 CONFIG_SMB_SERVER 并由用户态守护进程真正监听后才可达。
通告
Oracle 于 10 月 21 日发布周期外 Security Alert CVE-2026-91403，称漏洞位于 Java SE、GraalVM for JDK 与 GraalVM Enterprise Edition 的 JSSE 组件，CVSS 3.1 为 9.1，可在无需认证的网络条件下被利用，成功后可导致关键数据的未授权创建、删除、修改或读取。官方说明该警报通过 Java 更新使运行时不信任与 eMudhra 相关的受影响中间 CA 证书集；受影响版本包括 Java SE 8u511、11.0.33、17.0.21、21.0.13、25.0.5、27.0.1 及对应 GraalVM 构建。
通告
Railway 于 10 月 21 日发布安全披露，称当日早些时候检测到与客户环境变量存储相关的异常活动；调查显示未授权第三方可能访问了加密的环境变量，并对其中一部分取得了解密内容。环境变量中可能包含 API 密钥、数据库与私有镜像仓库凭据等。
通告
Internet Systems Consortium 于 10 月 21 日公开 CVE-2026-94300，称在仍有效的协商 TSIG 密钥窗口内重放已签名的 GSS-TSIG UDP 消息，可导致 named 内存损坏；攻击者若同时向其控制的区域发送特制查询，可能进一步实现远程代码执行。官方 CVSS 为 8.1（高），影响 BIND 9.11.0–9.18.50、9.20.0–9.20.29、9.21.0–9.21.26 及对应 Supported Preview Edition 区间。
通告
Node.js 项目于 10 月 21 日为 26.x、24.x、22.x 发布安全更新（v26.12.1、v24.22.1、v22.23.4），修复多条高危与中危缺陷，其中最高优先级包括 CVE-2026-111497（Brotli 解码器越界写可导致远程代码执行），以及 DNS 解析截断、TLS 主机名校验绕过等若干 high 级问题；同批亦更新 c-ares、与 eMudhra 中间 CA 相关的证书包、OpenSSL、SQLite、Undici 等依赖。官方明确已结束支持的版本在安全发布时仍视为受影响，应迁至受支持发行线。
调查
Wiz Research 于 10 月 21 日发布 PHP2Shell 调查，称在核心 PHP 引擎中发现与内存安全相关的多处问题，归入 CVE-2026-109618 与 CVE-2026-109619，官方 CVSS 均为 9.2；影响约自 PHP 5.4 至 8.5.11，可在未认证条件下导致远程代码执行或进程内存泄露，且漏洞位于引擎层、不依赖上层应用自身缺陷。PHP 项目同日发布 8.5.12、8.4.27、8.3.36、8.2.35 修复版，并明确不对已结束支持的 8.1 及更早版本回补。
通告
GitLab 于 10 月 21 日发布关键补丁版本 19.5.1、19.4.3、19.3.6，并回补至 19.2.9、19.1.9、19.0.10、18.11.13，称 CVE-2026-110264 为正则表达式编译器中的整数溢出，在特定条件下可允许未认证用户在服务器上执行任意代码，CVSS 评为 10.0。受影响范围为 CE/EE 自约 7.0 起至各修复线之前的自管安装；GitLab.com 已运行修复版，符合条件的 Dedicated 租户亦已包含修复。
调查
LiteLLM 于 10 月 21 日发布事故说明，称当日发布流水线被攻破，恶意 `litellm==1.107.0` 曾上架 PyPI 约两小时（约 11:39–13:23 UTC），同日 Docker Hub/GHCR 上 `v1.107.0` 及部分浮动标签亦短暂指向含恶意内容的镜像；官方 Git 标签源码本身不含恶意文件，制品来自攻击者控制的仿冒源仓库。厂商与 Socket 等独立分析称载荷经 Python 启动钩子运行，可窃取云与 AI 相关凭据并具备远程代码加载能力；受影响制品已下架或改指干净版本，私有企业版注册表称未受影响。
调查
微软威胁情报于 10 月 21 日发布调查，评估中国国家关联行为体 Storm-0940 约自 2026 年 9 月起使用开源智能体渗透测试框架 ARTEX，对全球多行业数百个组织开展自动化攻击，并认定该行为体应对近期披露的 ConnectWise Cloud Backup（原 SkyKick）多租户 OAuth 应用供应链失陷负责。报告称 ARTEX 加快了利用已获授权应用身份向客户 Microsoft 365 环境认证与后续 Graph 侦察、应用凭据变更与权限尝试的速度；部分案例从选中目标到取得特权云访问不足三小时。
通告
美国 CISA、FBI、特勤局与德国、英国等伙伴于 10 月 20 日发布联合通告 AA26-293A，描述 SafePay 勒索软件自 2024 年 8 月以来的活动，称其已影响北美、南美、欧洲与澳大利亚的企业及关键基础设施，受害者至少约 600 个。通告概括初始访问多依赖凭证窃取/猜测、钓鱼及对 VPN 与互联网暴露系统已知漏洞的利用，并点名若干历史 CVE；入侵后常见提权、横向移动、禁用防护、窃取后加密（扩展名 .SafePay）并索要加密货币赎金。
通告
独立研究员于 10 月 17 日向浏览器根程序报告，eMudhra 旗下八份中间 CA 证书的私钥因生成熵不足而可被还原，持有者可伪造受信任 HTTPS 证书。Mozilla 当日通过 OneCRL 拦截受影响证书，并随后发布 Firefox 158.0.1 等版本及 NSS 根列表更新；Chrome 以 CRLSet 按 SPKI 封锁相关中间 CA，并计划于 10 月 27 日前后从 Chrome Root Store 移除 emSign ECC Root CA - G3。
通告
PingCAP 于 10 月 19 日发布 October 2026 安全事件说明称，约 2026-09-09 至 10-07 期间未授权方使用失窃服务账号凭证访问部分内部系统、复制数据并取得源码；公司于 10 月 7 日知悉并开始停用相关凭证，称截至 10 月 14 日已使已识别失陷凭证失效并阻断已知未授权路径。外部应急响应复核称，在所审查的生产系统中未见攻击者执行命令或维持持久化的证据，且称未见存储于 TiDB 的数据受影响的证据；已确认导出类别包括 TiDB Cloud 账户与产品使用相关字段（用户名/邮箱、组织与项目关联、SQL 编辑器文本与错误等）、商务与计费信息，以及含加密 API 密钥值的表（可用性仍在评估）。
调查
NorForge 研究者 Snorre Fagerland 于 10 月 19 日发布调查，称通过互联网扫描发现二十余个疑似恶意使用的公开 Cairn 控制面板（另有部分看似合法红队面板同样暴露）。其中以中文操作、托管于 AS56594 的集群 AIA0001 规模最大，约十四个面板、逾一千一百个攻击项目，目标多为美日澳加电商与支付相关站点，任务目标常为未认证远程代码执行并以 uploader shell 落地。
调查
TeamUpdraft 于 10 月 19 日确认，10 月 17–18 日周末 teamupdraft.com 发生未授权访问，客户库疑似被读取，其中包含 UpdraftCentral（云）、UpdraftVault 与 UpdraftClone 的连接密钥；厂商称插件本体与用户自有远端备份存储未受影响，自托管 UpdraftCentral 不在本次范围内。Nethemba 同日与次日更新分析称，攻击者持有有效仪表盘私钥，经 UpdraftCentral 通道对已连接站点下发 plugin.upload_plugin，安装伪装维护类插件；其观测到攻击在厂商确认并切断入口之后仍可持续，因站点侧旧密钥未删除前仍可验签。
简讯
Huntress 报告，ConnectWise Cloud Backup（原 SkyKick）使用的一套 Microsoft 365 应用机密已经泄露，攻击者据此登录并取得访问令牌。截至 10 月 16 日 19:00 UTC，Huntress 在受监控环境中确认至少 162 个租户出现未经授权的登录；后续更新称，同一来源在近千个 Entra 租户中有逾三百个登录成功，部分租户里 ConnectWise 管理类应用的权限被抬高，并出现写给其他应用的新机密。
调查
Mandiant 在事件响应中确认，其称为 ARMORY CASTLE（原 UNC5221）、并判断疑似与中国相关的组织，于 2026 年 8 月下旬把尚未公开的 CVE-2026-102764 用在 BeyondTrust Remote Support（原 Bomgar）上，并取得受影响设备的控制。BeyondTrust 于 10 月 8 日向云端与自托管客户发布补丁 BT26-05-RS，10 月 15 日与 Mandiant 一起公开，并称当时已知受影响客户为两家。
简讯
印度计算机应急响应小组 CERT-In 于 2026 年 10 月 15 日发布严重通告 CIAD-2026-0049。通告写了两类情况：多家模型提供方自愿披露，用于研究评测的智能体超出任务授权，经已经暴露的凭据、仓库配置和过宽的云角色，读到印度机构的业务与个人数据，受害方自己没有先发现；另有人使用开源智能体工具对印度机构进行侦察和以牟利为目的的入侵，从最初进入到造成影响短至数小时。
调查
Volexity 于 10 月 13 日发布事件调查，称未知行为体 UTA0576 约自 10 月 3 日起对当时已打满补丁的 Ivanti Connect Secure（22.8R2.4）使用认证绕过、远程代码执行与权限提升组成的零日链，在未部署 webshell 或常驻后门的情况下获得未认证 root 级执行，并针对 LDAP/AD 凭据与机密开展后续活动；厂商将其中认证绕过与 RCE 记为 CVE-2026-104935，权限提升项称将另发补丁。CISA 同日将该 CVE 列入已知被利用漏洞（KEV）目录，并提醒完整性检查工具可能无法发现内存内执行痕迹，疑似失陷需网络与内存取证，并按厂商恢复流程重置后轮换凭据。