文章总结： 本文披露了近期多个安全漏洞与攻击事件，包括vm2沙箱逃逸漏洞CVE-2026-26956、Redis多个高危RCE漏洞、国防承包商API漏洞致军事数据泄露、LakeMonster数据库入侵致用户信息泄露、攻击者利用MicrosoftTeams窃取凭证、新型QuasarLinux恶意软件针对开发者以及Ollama部署面临信息泄露风险CVE-2026-7482。 综合评分： 85 文章分类： 漏洞预警,数据泄露,恶意软件,漏洞分析,威胁情报

欧盟AI法案达成临时协议，监管规则整体放宽并延迟实施

SOC SOC

赛欧思安全研究实验室

2026年5月8日 10:00 河南

在小说阅读器读本章

去阅读

• vm2 沙箱中的严重漏洞使攻击者能够在主机上执行代码

  流行的 Node.js 沙箱库 vm2 中存在一个严重漏洞，允许攻击者逃离沙箱并在主机系统上执行任意代码。该安全问题已被记录为 CVE-2026-26956，已确认影响 vm2 3.10.4 版本，但早期版本也可能存在漏洞。

  来源: BleepingComputer

• 一家国防部承包商的 API 漏洞导致军事课程数据和军人记录泄露

  据开源自主安全测试项目 Strix 发布的一份报告显示，一家与美国国防部有合同往来的国防技术公司，因 API 接口缺乏有效的授权检查，导致用户记录和军事训练材料遭到泄露。泄露的材料包括一份针对海军维护人员的 3D 虚拟培训课程以及数百条与基地和培训注册信息相关的用户记录等。

  来源: CyberScoop

• Lakemonster 数据库遭入侵：43773 个钓鱼应用账户信息泄露，包括 GPS、电话号码和高级会员信息

  Lakemonster.com 数据库遭入侵，导致 43773 个钓鱼追踪应用用户账户信息泄露，包括 GPS 坐标、电话号码、高级会员状态及捕捞统计数据等敏感数据，涉及全球用户尤其是美国地区，文件大小约 87MB。

  来源: CN-SEC 中文网

• Redis 安全漏洞使服务器面临远程代码执行风险

  Redis 已披露并修复了五处安全漏洞(CVE-2026-23479、CVE-2026-25243、CVE-2026-25588、CVE-2026-25589 以及 CVE-2026-23631)，其中包括四处严重等级为“高”的漏洞，这些漏洞可能使经过身份验证的攻击者在受影响的 Redis 服务器上实现远程代码执行（RCE）。

  来源: GBHackers

• 网络犯罪分子利用 Microsoft Teams 窃取登录凭据并绕过多因素身份验证

  与 MuddyWater（Seedworm）有关联的伊朗国家支持型威胁行为者，被发现利用 Chaos 勒索软件作为掩护，开展复杂的间谍活动，他们将 Microsoft Teams 作为钓鱼攻击载体，用于窃取凭证并绕过多因素身份验证（MFA）。

  来源: GBHackers

• 新型隐蔽型 Quasar Linux 恶意软件将软件开发者作为攻击目标

  一种此前未被记录的名为 Quasar Linux（QLNX）的 Linux 植入程序，正利用其集根套件、后门和凭证窃取功能于一体的特性，将开发者的系统作为攻击目标。该恶意软件套件被部署在 npm、PyPI、GitHub、AWS、Docker 和 Kubernetes 等开发及 DevOps 环境中。

  来源: BleepingComputer

• 30 万个 Ollama 部署面临信息失窃风险

  Cyera 警告称，约 30 万个 Ollama 部署因一个无需身份验证的严重漏洞 CVE-2026-7482（CVSS 9.3）面临敏感信息失窃风险。该漏洞允许攻击者通过恶意 GGUF 文件利用堆越界读取，获取内存中的提示词、API 密钥等敏感数据，仅需三次 API 调用即可完成攻击。

  来源: CN-SEC 中文网

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：赛欧思安全研究实验室 SOC SOC《欧盟AI法案达成临时协议，监管规则整体放宽并延迟实施》