文章总结： 文档为安全新闻简报，汇总了多起重大安全事件。数据泄露方面，PaidWork与Adobe分别泄露数千万用户记录及敏感工单，DucApp暴露大量证件信息。攻击活动方面，黑客利用多格式文件传播CobaltStrike信标，GooglePlay发现影响数百万设备的NoVoice后门。漏洞方面，libpng修复存在30年的严重漏洞，Cisco修复高危远程入侵漏洞。 综合评分： 60 文章分类： 数据泄露,漏洞预警,恶意软件,移动安全,安全大事件

美国拟扩大对华技术设备限制，强化通信领域安全审查

SOC SOC

赛欧思安全研究实验室

2026年4月7日 09:30 河南

• PaidWork 数据泄露事件导致 2200 万条用户记录遭泄露

  据称，知名在线变现及微任务平台 PaidWork 遭遇了安全漏洞，导致一个包含约 2200 万用户敏感信息的 11GB 数据库泄露。据称泄露的数据包括：全名、电子邮件地址、密码（哈希值）、银行信息（包括银行账号、银行识别码及银行名称）等等。

  来源: Daily Dark Web

• RFQ 恶意软件攻击活动利用 DOCX、RTF、JS 和 Python 文件

  黑客正在利用 DOCX、RTF、JavaScript、PowerShell 和 Python，在一场伪装成波音公司采购活动的隐蔽鱼叉式网络钓鱼攻击中，植入内存型 Cobalt Strike 信标，该攻击使用标签 NKFZ5966PURCHASE。

  来源: GBHackers

• 汇款应用 Duc 将数千份驾驶证和护照信息暴露在公开网络上

  一台由亚马逊托管的公开存储服务器曾允许任何拥有网页浏览器的人，无需密码即可访问可能涉及数十万人的个人数据。这些数据包括驾驶证、护照以及由多伦多公司 Duales 旗下的汇款服务 “Duc App” 收集的其他个人信息。

  来源: TechCrunch

• Adobe 数据泄露——威胁行为者涉嫌声称泄露 1300 万份支持工单和员工记录

  一名被称为“浣熊先生”的威胁行为者据称已入侵 Adobe，并声称窃取了大量敏感数据，其中包括 1300 万份包含个人信息的客服工单、1.5 万份员工档案、所有 HackerOne 漏洞赏金提交记录以及一系列内部文件。

  来源: Cyber Security News

• Google Play 上的“NoVoice”利用 22 个漏洞，影响数百万安卓用户

  NoVoice 是一项新的 Android 后门攻击活动，该活动潜伏在 Google Play 上的 50 多个应用中，利用 22 个漏洞劫持了数百万台旧版且未打补丁的 Android 设备，甚至克隆了 WhatsApp 会话。

  来源: GBHackers

• libpng 官方参考库中的这两个严重漏洞已存在 30 年之久

  libpng 官方参考库中存在两个严重漏洞 CVE-2026-33636 和 CVE-2026-33416，影响多个版本，这些漏洞影响了跨越数十年开发历程的多个版本，可能允许攻击者触发进程崩溃、泄露敏感信息，甚至实现任意代码执行。

  来源: CN-SEC 中文网

• Cisco 修复 IMC 和 SSM 漏洞，可致远程系统入侵

  Cisco 发布更新修复集成管理控制器（IMC）关键安全漏洞，成功利用可使未经认证的远程攻击者绕过认证，以提升权限访问系统。该漏洞编号 CVE-2026-20093，CVSS 评分 9.8，该漏洞源于密码更改请求处理不当。

  来源: 黑客资讯

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：赛欧思安全研究实验室 SOC SOC《美国拟扩大对华技术设备限制，强化通信领域安全审查》