2026-10-15 12:08:57 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

安全热点周报 | 一周网络安全大事件盘点（2026/10/05-2026/10/09）

中成信息
中成信息

中成信息

2026年10月10日 17:01
福建

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

本周（10 月 5 日至 10 月 9 日）网络安全态势呈现「边界设备高危漏洞持续被在野利用、身份与数据泄露事件高频发生、网络空间执法与数据治理规则加速落地」三条主线。漏洞侧，Citrix NetScaler 命令注入与内存溢出漏洞（CVE-2026-88771、CVE-2026-88772）本周持续遭在野利用并被披露攻击者植入 webshell，Cisco NX-OS、Splunk Enterprise、Google Chrome 等亦于 10 月 7 日至 8 日集中披露多起 CVSS 9.6–9.8 分的高危漏洞；事件侧，丹麦中央人口登记系统约 880 万人信息遭非法访问、英国 ASOS 客户数据遭泄露并遭攻击者劫持官方推送、软银子公司 IDCF Cloud 勒索攻击波及 495 家企业与政府客户，身份与数据类资产仍是高价值目标；政策侧，《公安机关网络空间安全监督检查办法》自 10 月 1 日起施行，工信部 89 项通信行业标准（含车联网算力网络安全指南）及《保障未成年人健康安全使用网络的规定（征求意见稿）》处于公开征求意见期，数据治理与未成年人网络保护规则持续完善。

PART 1

漏洞情报

Citrix NetScaler 命令注入漏洞

Citrix NetScaler 命令注入漏洞（CVE-2026-88771），影响 Citrix NetScaler ADC 与 NetScaler Gateway 这两类广泛部署于企业网络边界的应用交付控制器与远程接入网关。该漏洞源于产品在处理日志相关脚本时未对外部输入进行充分校验，攻击者可借由未认证接口将特制字符串写入系统日志，待相关脚本处理日志时以高权限执行任意命令，进而完全绕过身份验证、控制受影响设备、窃取设备配置与账号凭据，并以此为据点向内网横向移动或造成业务中断；由于该漏洞无需任何认证即可利用，暴露在互联网边界的 NetScaler 设备面临极高的失陷风险。

Citrix NetScaler 内存溢出漏洞

Citrix NetScaler 内存溢出漏洞（CVE-2026-88772），影响启用了 DTLS 功能的 Citrix NetScaler ADC 与 NetScaler Gateway（DTLS 在 VPN 虚拟服务器上默认开启）。该漏洞位于产品处理 DTLS 握手分片重组的逻辑中，因缺少对已写入长度与缓冲区剩余空间的校验，攻击者可于未认证状态下向设备发送特制网络报文触发内存越界写入，轻则导致数据包引擎崩溃、服务中断，重则可劫持程序执行流、实现未认证远程代码执行并获得设备控制权，进而窃取配置与凭据、植入持久化后门。

Cisco NX-OS 软件多处高危漏洞

高危漏洞集群（CVE-2026-76465、CVE-2026-76471、CVE-2026-76485 等），影响运行 NX-OS 软件的 Cisco Nexus 3000 与 9000 系列交换机。上述漏洞分别位于 MPLS OAM、NGOAM 与 NX-API 等功能模块，均源于对外部输入校验不充分，攻击者可于未认证状态下向开启了相关功能的设备发送特制报文或请求，以 root 权限执行任意代码或造成设备拒绝服务；由于相关功能在企业数据中心与云网络边缘广泛启用，成功利用将导致核心交换设备失陷，并以此为跳板威胁整张网络。

Splunk Enterprise 未授权远程代码执行漏洞

Splunk Enterprise 未授权远程代码执行漏洞（CVE-2026-76268），影响 Splunk Enterprise 10.4.0–10.4.2 与 10.2.0–10.2.6 等版本中作为搜索头集群成员的实例。该漏洞源于 Patroni REST API 对关键配置操作未强制身份认证，攻击者在无需任何凭据的情况下，只要能网络访问该接口，即可在目标主机上执行任意操作系统命令，进而完全控制承载日志与检测能力的 Splunk 实例、窃取敏感日志、篡改安全配置，并以该主机为跳板向企业内网横向移动；厂商已于 10.4.3 与 10.2.7 等版本修复。

Google Chrome 越界漏洞

Google Chrome 越界漏洞（CVE-2026-103630，CVSS 评分 9.6 分），影响 Google Chrome 浏览器相关版本。该漏洞源于浏览器组件在处理特制输入时存在内存安全缺陷，攻击者可构造恶意网页，于用户访问时触发越界访问，进而在受影响终端上执行任意代码或造成浏览器进程崩溃；鉴于 Chrome 在终端中的高覆盖率，建议用户与企业在收到更新后尽快升级至修复版本。

PART 2

安全事件

丹麦中央人口登记系统（CPR）遭非法访问致 880 万人信息外泄

2026 年 10 月 5 日，丹麦数字化事务部与政府机关通报一起重大安全事件：未知人员滥用一家依法获得 CPR 系统查询权限的丹麦企业的合法访问通道，获取了中央人口登记系统（CPR）中约 880 万登记人员的姓名、住址与身份编号（CPR 号）等数据。CPR 系统保存约 1100 万条记录（含已故及移居海外者），本次受影响人数占系统登记量的绝大部分；已注册姓名与住址保护的人员未被波及。丹麦人口约 600 万，CPR 号相当于社会保障号，广泛用于政务、银行与医疗身份核验，其大规模暴露显著抬高了全民身份欺诈与定向钓鱼风险。涉事企业访问已被阻断，事件由警方立案调查并通报数据保护局。

原文链接：

https://www.cpr.dk/cpr-nyt/nyhedsarkiv/2026/okt/omfattende-uautoriseret-adgang-til-borgeres-cpr-oplysninger

英国时尚电商 ASOS 客户数据遭泄露，攻击者劫持官方推送

2026 年 10 月 6 日，据 Infosecurity Magazine、Reuters 等报道，英国在线时尚零售商 ASOS 遭遇网络攻击：自称 Xuanye Group 的黑客组织通过入侵其第三方客户通知平台，向用户手机直接推送声称「已完全攻陷 ASOS 的 Snowflake 数据实例」的勒索消息，并附 Telegram 频道链接施压谈判。ASOS 确认涉及客户沟通用的第三方平台遭未授权访问，基本个人信息（姓名与联系方式，含住址、电话、邮箱及客户画像备注）可能已被获取，但表示支付卡信息与账户密码未受影响；Snowflake 称其平台自身未被攻破。事件致 ASOS 伦敦股价单日一度跌逾 10%，英国国家网络安全中心（NCSC）已介入协助，公司提醒用户警惕由此衍生的钓鱼活动。

原文链接：

https://www.infosecurity-magazine.com/news/asos-customers-message-suspected/

软银子公司 IDCF Cloud 遭勒索攻击，影响 495 家企业与政府客户

2026 年 10 月 7 日，据 Kyodo News、BleepingComputer 等报道，软银集团子公司 IDC Frontier 运营的云服务 IDCF Cloud 确认遭第三方勒索攻击，日本东部区域（East Japan Region 1）于凌晨 3:40 左右发生中断。攻击波及使用该平台的 495 家企业与地方政府的虚拟服务器、存储与网络资源，致其网站不可访问；攻击者声称在 7 分钟内突破区域、加密 225 个数据库（约 3.6 PB 数据）、触及 239 台宿主机并清除逾 55 万份快照（数据未获公司独立确认）。IDC Frontier 已隔离并关停受影响系统、主动停用全区域管理控制台以防扩散，并重审其余区域安全性；冷冻食品企业 Nissui 的物流子公司亦因第三方数据中心疑似未授权访问出现系统中断。

原文链接：

https://english.kyodonews.net/articles/-/87494

PART 3

时事热点

公安机关网络空间安全监督检查办法正式施行

2026 年 8 月 7 日，公安部发布《公安机关网络空间安全监督检查办法》（公安部令第 176 号），自 2026 年 10 月 1 日起施行，同时废止 2018 年《公安机关互联网安全监督检查规定》。该办法共 23 条，明确将网络运营者、数据处理者、个人信息处理者等纳入监督检查对象，规定线上巡查与线下核查、日常与专项检查等方式，并完善跨部门联合检查、减少企业负担的机制；对采取漏洞探测、渗透性测试等远程检测明确要求由地市级以上公安机关组织实施，并强化了检查人员的保密与执法规范义务。作为网络空间执法监督制度化、规范化的重要新规，其施行标志着公安机关对网络安全、数据安全与个人信息安全的常态化监督检查进入新阶段。

原文链接：

https://www.mps.gov.cn/n6557558/c10576497/content.html

工信部就《面向车联网应用的算力网络安全指南》等 89 项通信行业标准报批稿公开征求意见

2026 年 9 月 11 日，工业和信息化部就《面向车联网应用的算力网络安全指南》等 89 项通信行业标准报批稿公开征求意见，公示期为 2026 年 9 月 12 日至 10 月 11 日，本周（10 月 5 日至 9 日）仍处于征求意见期内。其中《面向车联网应用的算力网络安全指南》具有显著的「融合属性」，将安全视角从「网络连接」扩展至「计算全链路」，要求把安全机制嵌入算力发现、调度、编排与计费的全程，回应车联网场景下面临的信任建立、跨域协同与预测防护等新挑战；其余标准覆盖 5G、边缘计算、数据治理等多个方向，体现通信行业在车联网与算力网络等新兴领域加快补齐标准短板的取向。

原文链接：

https://wap.miit.gov.cn/jgsj/kjs/jscx/bzgf/art/2026/art\_39ae3e674a8046cb97b4086c6a0e5c27.html

国家网信办就《保障未成年人健康安全使用网络的规定（征求意见稿）》公开征求意见

2026 年 9 月，国家互联网信息办公室组织起草《国务院关于保障未成年人健康安全使用网络的规定（征求意见稿）》并向社会公开征求意见，反馈截止日期为 2026 年 10 月 17 日，本周（10 月 5 日至 9 日）仍在征求意见期内。征求意见稿共二十五条，明确网络服务提供者不得向未成年人提供陌生人网络社交服务、虚拟亲密关系服务、诱导沉迷的网络服务，以及向未满十六周岁未成年人提供网络直播发布服务等；向未满十六周岁未成年人提供网络音视频、网络游戏、网络社交、可能影响未成年人认知的人工智能服务等，应当通过未成年人模式提供，并要求用户数量巨大、对未成年人群体具有显著影响的平台通过省级网信部门向国家网信部门备案。

原文链接：

https://www.cac.gov.cn/2026-09/18/c\_1791482017777471.htm

📌 本周防护提醒

• 针对 Citrix NetScaler 在野利用：立即将 NetScaler ADC/Gateway 升级至 14.1-73.37 / 13.1-64.23 及以上（或对应 FIPS/NDcPP 版本），升级后须排查 webshell、配置篡改与隐藏超级用户等失陷痕迹；无法立即升级时先关闭 DTLS 收敛 CVE-2026-88772 攻击面，并收敛管理面公网暴露。

• 针对 Cisco NX-OS（MPLS OAM/NGOAM/NX-API）与 Splunk Enterprise（Patroni REST API）等新鲜披露的高危漏洞：核查相关功能是否启用，及时升级至修复版本（NX-OS 对应安全加固版本、Splunk 10.4.3/10.2.7 等），对无法立即升级的接口通过防火墙限制仅可信管理 IP 访问。

• 针对 Google Chrome 等终端浏览器漏洞：通过终端管理统一推送浏览器更新，企业可结合漏洞扫描确认版本并分批升级，避免终端被越权利用。

• 针对密集发生的身份与数据泄露（丹麦 CPR、ASOS、IDCF Cloud）：企业应将身份核验类数据（身份证号、CPR 号等）最小留存、加密存储与定期销毁，对保存退会/历史用户信息的系统重点排查；强制多因素认证，收敛第三方平台（Snowflake、推送通知、云控制台）的访问权限与凭据安全，并警惕由此衍生的钓鱼与冒充。

• 依据《公安机关网络空间安全监督检查办法》自 10 月 1 日施行：网络运营者、数据处理者、个人信息处理者应梳理自身法定安全义务履行情况，配合线上巡查与联合检查，规范漏洞探测/渗透测试类远程检测的配合流程。

关于我们

漳州中成信息科技有限公司是一家专注于网络安全实战防护的创新型服务提供商。我们深刻理解网络安全的核心在于攻防对抗的持续较量，并以此独特视角为基石，致力于为客户构建动态、主动、智能化的纵深防御体系。区别于传统的被动防御，我们坚信“未知攻，焉知防”。公司汇聚了顶尖的渗透测试专家（红队）、应急处置精英（蓝队）及经验丰富的安全服务工程师，形成了一支具备完整攻防对抗能力的专业团队。我们的渗透测试团队模拟真实攻击者的思维与手段，深入挖掘系统、应用及网络中的深层次漏洞与风险点；应急处置团队则能在安全事件发生时快速响应、精准定位、有效遏制损失并溯源根因；安服工程师团队则致力于将攻防对抗中获得的宝贵经验转化为常态化的安全策略、加固措施与运营流程。

点击名片