机构
CISA
美国网络安全和基础设施安全局发布的漏洞警报。
本版条目
通告
CISA 将 Collabora Online 内置 CODE 服务器 CVE-2026-110447（CVSS 9.2）列入 KEV：Nextcloud 场景下未认证命令注入已遭活跃利用
Collabora 于 10 月 14 日发布安全通告 GHSA-g3vx-3m76-fghh，称 Nextcloud 应用「Collabora Online - Built-in CODE Server」（包名 richdocumentscode）在 CODE 本地文档服务未运行时，proxy.php 存在操作系统命令注入（CWE-78），CVSS 4.0 为 9.2，可致以 Web 服务账户执行命令；仅该内置部署受影响，独立 Collabora Online 服务器不受影响，禁用应用不足以防范，须升级至 26.4.303 或移除。厂商与社区称该漏洞在 9–10 月已遭利用；CISA 于 10 月 23 日将其加入已知被利用漏洞（KEV）目录，并按 BOD 26-04 要求联邦民用行政部门优先处置，截止日期约 10 月 26 日。
通告
CISA/FBI 等联合发布
美国 CISA、FBI、特勤局与德国、英国等伙伴于 10 月 20 日发布联合通告 AA26-293A，描述 SafePay 勒索软件自 2024 年 8 月以来的活动，称其已影响北美、南美、欧洲与澳大利亚的企业及关键基础设施，受害者至少约 600 个。通告概括初始访问多依赖凭证窃取/猜测、钓鱼及对 VPN 与互联网暴露系统已知漏洞的利用，并点名若干历史 CVE；入侵后常见提权、横向移动、禁用防护、窃取后加密（扩展名 .SafePay）并索要加密货币赎金。
调查
疑似中国背景的 ARMORY CASTLE 将 BeyondTrust Remote Support 零日漏洞用作初始入口
Mandiant 在事件响应中确认，其称为 ARMORY CASTLE（原 UNC5221）、并判断疑似与中国相关的组织，于 2026 年 8 月下旬把尚未公开的 CVE-2026-102764 用在 BeyondTrust Remote Support（原 Bomgar）上，并取得受影响设备的控制。BeyondTrust 于 10 月 8 日向云端与自托管客户发布补丁 BT26-05-RS，10 月 15 日与 Mandiant 一起公开，并称当时已知受影响客户为两家。
调查
Volexity 披露 UTA0576 链式利用 Ivanti Connect Secure 零日取得未认证 root，CISA 已列入 KEV
Volexity 于 10 月 13 日发布事件调查，称未知行为体 UTA0576 约自 10 月 3 日起对当时已打满补丁的 Ivanti Connect Secure（22.8R2.4）使用认证绕过、远程代码执行与权限提升组成的零日链，在未部署 webshell 或常驻后门的情况下获得未认证 root 级执行，并针对 LDAP/AD 凭据与机密开展后续活动；厂商将其中认证绕过与 RCE 记为 CVE-2026-104935，权限提升项称将另发补丁。CISA 同日将该 CVE 列入已知被利用漏洞（KEV）目录，并提醒完整性检查工具可能无法发现内存内执行痕迹，疑似失陷需网络与内存取证，并按厂商恢复流程重置后轮换凭据。