ZONE.CI 全球网

该文档为国庆假期网络安全资讯汇总，指出假期钓鱼诈骗、AI钓鱼邮件、恶意宏文档、勒索攻击备份服务器、仿冒网盘钓鱼及SSH/RDP爆破等风险上升，并预警PaloAltoPAN-OS、cPanel、CUPS、GitLab、Linux内核及VMwareESXi等多个高危漏洞。建议加强员工安全意识、落实补丁升级、收紧访问控制并完善离线备份。

本文由珞安科技工业网络空间安全实验室发布，系统研究了施耐德ModiconM221PLC的漏洞挖掘过程。研究从硬件拆解、固件逆向、UMAS协议分析入手，揭示了协议缺乏加密与身份认证机制，存在重放攻击风险；通过模糊测试发现可致设备崩溃的栈溢出0Day漏洞，已报送厂商。文章还提出了网络隔离、输入校验等安全防护建议，对工控安全研究具有较高参考价值。

Atlassian发布高危漏洞CVE-2026-21589，影响八款自托管产品，评分9.3，无需认证即可路径穿越读取文件。攻击链可借读取crowd.properties凭证接管管理员，仅Confluence在线实例近70万。建议立即升级补丁或从公网摘除实例，并检查访问日志。

OpenAI曝出沙箱逃逸漏洞，无需API密钥或账号即可调用付费AI模型，突破沙箱隔离与API身份认证双重安全边界。OpenAI向研究员发放300美元奖励引发争议，漏洞技术细节未公开，暂未发现大规模利用迹象。建议API服务商强制内部请求身份校验、设置速率限制，用户定期检查API账单与调用日志。

思科Nexus3000/9000系列交换机NX-OS系统NGOAM功能存在3个高危漏洞，CVSS评分9.8，攻击者无需账号即可远程执行代码获取root权限，并可触发拒绝服务致设备重启。漏洞影响条件各异，需开启NGOAM、SRv6或VXLANEVPN等功能。建议管理员立即排查资产，关闭不需要的NGOAM功能，使用CiscoSoftwareChecker查询修复版本并升级固件。

OpenSSH10.6版本修复多项高危漏洞，包括SSH压缩机制可致明文恢复、SFTP路径校验缺陷及shell注入风险。建议管理员及时更新，关注压缩与转发功能配置，避免不可信输入传入SSH命令行。

ApacheStruts官方披露4个安全漏洞，涉及远程代码执行、拒绝服务及非预期数据泄露风险。其中REST插件请求体无大小限制漏洞评级为重要，其余3个为中危。受影响版本需升级至Struts7.4.0或6.12.0及以上版本。建议管理员尽快升级并排查动作映射器、小数渲染、REST接口及本地化消息配置，暂无在野利用证据。

该文档为2026年10月8日网络安全威胁情报速递，汇总行业动态、数据泄露与高危漏洞。重点包括VaultACL策略评估漏洞CVE-2026-89322可绕过拒绝访问限制，多个AsyncHttpClient组件存在认证绕过与访问控制漏洞；MonsterCloud负责人被控秘密支付赎金，Qilin勒索软件嫌疑人被引渡，ASOS确认数据泄露。建议及时升级相关组件并关注勒索软件攻击态势。

AtlassianDataCenter多款产品存在高危漏洞CVE-2026-21589，未认证攻击者可读取web根目录下已知文件，导致敏感信息泄露。官方已发布安全版本，建议企业立即升级，无法升级时需采取网络隔离、WAF拦截等临时缓解措施，并清理web目录敏感文件。

红帽披露OpenShiftoc-mirror工具存在CVE-2026-75939漏洞，CVSS评分7.4，可绕过PGP签名验证，攻击者可推送恶意镜像至断开连接环境，造成供应链风险。建议管理员限制网络访问、执行TLS检查、监控镜像注册表并关注安全公告。

Pwn2OwnIreland2026首日披露32个零日漏洞，发放奖金38.85万美元。三星GalaxyS26成被攻破最多目标，AI基础设施与健康可穿戴设备成新攻击面。赛事采用协调披露机制，厂商需加强供应链与第三方组件加固，用户应及时更新固件以规避风险。

本文系统解析MassAssignment批量赋值漏洞，指出其本质是服务端将请求字段批量映射到数据模型时未做白名单过滤，攻击者可夹带isadmin、role等敏感字段实现越权。文章涵盖各框架别名、红队测试四步法、PoC示例、真实案例及防御要点，建议采用白名单字段、DTO隔离及自动化检测等加固措施。

本文系统解析WebSocket协议五大攻击面：明文ws传输可被中间人窃取数据，服务端注入可直达后端数据库，XSSpayload可回显或盲打后台，敏感信息易在持续流量中泄露。文章提供具体测试步骤与综合检查清单，建议渗透测试按清单顺序验证加密、注入、XSS、IDOR及洪泛风险，并强调WS层输入校验缺失等同HTTP层脆弱性。

本文公开了四个Linux内核本地提权漏洞（LPEQuartet），影响IPv6AH6、TUN/TAP、PPPoE和SCTP诊断子系统，CVSS评分最高达9.8。攻击者利用畸形数据包或UAF可获取root权限，PoC已公开。建议管理员立即升级内核至6.12.109以上，或禁用非特权用户命名空间、IPv6及SCTP模块作为临时缓解措施。

FortiMail存在CVE-2026-104286未授权任意文件写入漏洞，CVSS评分9.8，源于IBE功能Web接口路径校验缺失，攻击者无需凭据即可写入任意文件，进而实现远程命令执行、窃取邮件数据等危害。该漏洞已被在野利用并列入CISAKEV目录。建议升级至7.4.9、7.6.7或8.0.2，临时可关闭IBE功能或限制管理端口访问。

该文档为2026年10月9日网络安全威胁情报速递，涵盖行业动态、数据泄露与漏洞预警。重点包括：德国引渡Qilin勒索软件核心成员；南方公司约40万客户账户遭未授权访问；微软合作伙伴中心存在CVSS10.0权限提升漏洞，另有Bookings、Dataverse及AzureAppService等多个严重漏洞。建议相关方立即关注微软漏洞补丁更新，排查账户安全。

IBM发布安全公告修复23个DataPowerGateway漏洞，其中4个严重级，包括两个评分9.8的无需认证远程代码执行漏洞及一个XSS漏洞。受影响版本涵盖10.5至11.0分支，建议用户尽快升级至修复版本，并在补丁到位前限制WebUI访问权限。

本文深度分析CVE-2026-73570漏洞，该漏洞影响ZimbraCollaborationSuite10.1.20以下版本，攻击者无需认证即可通过SMTP日志投毒实现远程代码执行。漏洞利用链涉及zimbra-snmp、swatchdog和zmsnmntrapd三个组件，攻击复杂度高但已在野被利用。建议立即升级至10.1.20版本，并检查相关配置。

10月9日高危漏洞预警涉及FortiMail文件写、CiscoSD-WAN认证绕过、CitrixNetScaler内存溢出及Zammad、Atlassian多产品漏洞，攻击者已利用零日实现权限提升与数据窃取，建议立即升级受影响版本、关闭非必要功能并排查日志，同时加强边界防护与应急响应准备。

奇安信CERT发布Handlebars.js原型链绕过远程代码执行漏洞通告，编号CVE-2026-106446，影响4.0.0至4.7.9版本，CVSS评分9.8高危，PoC已公开。攻击者可绕过校验执行任意命令。建议升级至4.7.10或采取入口拒绝非字符串、避免原型污染等临时缓解措施。