2026-10-16 13:14:39 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

安全419｜一周国际网安资讯：日本云服务勒索瘫痪495家机构，国际律所接连上榜

原创

安全419
安全419

安全419

2026年10月14日 17:53
四川

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

一周热点导读

上周（2026年10月7日至10月13日）全球网络安全领域密集发案。日本关键基础设施一周内两度遭勒索重创：软银集团旗下云服务商IDC Frontier的IDCF Cloud平台遭勒索攻击，495家企业和地方政府客户业务中断、部分数据被宣告\"难以恢复\"；日本水产巨头日水物流Nissui Butsuryu云数据中心同步被加密，产品进出货作业停摆。国际顶级律所Baker McKenzie被勒索组织SilentRansomGroup公开点名，Rhysida则在泄露网站放出9.6万份法律文件。漏洞侧，CISA KEV目录一周新增6个在野利用漏洞，覆盖BIND、Apache Struts、ProFTPD等开源基础组件；FortiMail零日CVE-2026-104286被西班牙INCIBE升至最高等级；Cisco Catalyst SD-WAN出现CVSS 9.8策略绕过漏洞。监管与产业侧，CISA依据BOD 26-04要求联邦机构12月起72小时内修复最高危漏洞；AI代理安全赛道一周内合计吸金6500万美元。以下为安全419整理的部分重点资讯。

一、漏洞预警

CISA KEV目录一周新增6个在野利用漏洞

CISA于10月12日批量更新KEV目录，一次性新增6个确认遭在野利用的漏洞，覆盖多个广泛部署的开源基础软件组件。本次新增条目包括：ISC BIND域名系统软件中的严重缺陷——BIND是全球互联网最主流的开源DNS服务器软件；Apache Struts Java Web框架中的命令注入漏洞；ProFTPD FTP服务器中的未认证缺陷；OnlyOffice Docs在线办公套件漏洞；Strapi无头CMS平台漏洞；以及Citrix NetScaler此前已披露、本周补充利用证据的一个输入验证漏洞。KEV目录的批量更新反映出攻击者对开源基础软件的利用在过去两周显著加速——从DNS服务器、Web框架、FTP服务器到在线办公和内容管理平台，几乎所有关键基础设施组件都未能幸免。对运维团队而言，本周应把开源基础组件的资产盘点作为首要任务，不要只关注商业产品。

Apache Struts命令注入漏洞遭在野利用

CISA于10月12日将Apache Struts中的一个命令注入漏洞加入KEV目录，确认该漏洞正被威胁行为者在野外积极利用。此次披露的命令注入漏洞允许远程攻击者在未认证情况下向服务器注入操作系统命令，实现任意代码执行、拒绝服务和敏感信息泄露。安全研究人员部署的蜜罐在漏洞公开后两天内，即记录到来自32个不同IP地址的190次利用尝试，攻击节奏极快，且攻击载荷与补丁修复点高度对应，表明攻击者从补丁差异中逆向构建利用程序已成为标准操作——这种\"补丁即利用手册\"的模式在2026年已经完全常态化。使用Struts构建应用的企业应立即升级至最新安全版本，并在WAF层部署针对已知攻击载荷的虚拟补丁，同时审查服务器日志中是否存在异常的命令执行特征（如bash反弹shell、curl外连等），避免在升级窗口期被攻击者抢先利用。

西班牙INCIBE将FortiMail零日漏洞升至最高等级

西班牙国家网络安全研究所INCIBE于10月9日发布INCIBE-2026-717通告，将Fortinet FortiMail邮件安全网关中的严重零日漏洞CVE-2026-104286升至最高严重等级5级，确认Fortinet和美国CISA均已收到在野利用证据。该漏洞允许未认证远程攻击者在FortiMail服务器上写入任意文件，进而实现远程代码执行。Fortinet修复版本为8.0.2、7.6.7和7.4.9及之后版本。由于部分客户因取证需要暂不能重启设备打补丁，Fortinet还提供了防火墙规则等临时缓解措施。本周仍未升级FortiMail版本的企业应立即排程修复，或至少在前端防火墙阻断IOC IP并限制管理口访问。

CERT-FR通报Cisco 严重策略绕过漏洞

法国国家网络安全事件响应中心CERT-FR于10月7日发布安全通告，通报Cisco Catalyst SD-WAN产品中的一个严重安全策略绕过漏洞CVE-2026-76504，NVD评分高达9.8。该漏洞位于Cisco Catalyst SD-WAN控制器的策略执行逻辑中，攻击者可通过特制流量绕过预配置的访问控制和分段策略，直接访问原本被隔离的内部网络资源。Cisco已发布修复版本，建议所有部署Catalyst SD-WAN的企业尽快升级控制器软件，并检查近期策略日志中是否存在异常流量绕过记录。

CVSS 10.0满分漏洞披露数小时即遭利用

安全厂商NeoShield于10月13日发布威胁综述，披露一个CVSS评分达到满分10.0的WordPress插件漏洞在公开披露数小时后即遭到自动化利用。该漏洞允许未认证攻击者在WordPress站点上远程执行任意代码。综述给出的应急建议包括：立即排查WordPress插件列表中是否受影响插件，通过托管WAF在升级前部署虚拟补丁，以及对互联网暴露资产实施每日漏洞扫描。这一事件再次印证，从漏洞披露到武器化利用的窗口已经缩短到小时级，管理员必须建立小时级的应急响应流程，传统的月度补丁节奏在满分漏洞面前已经完全失效。

二、安全事件与攻击

日本软银子公司IDC Frontier云服务遭勒索

软银集团旗下云服务公司IDC Frontier于10月8日发布安全事件通告，其IDCF Cloud日本东部第一区域于10月7日凌晨3点40分遭遇勒索软件攻击，云服务被迫中断，共影响495家企业和地方政府客户。公司在通告中确认，存储在受影响区域的部分客户数据已无法通过常规手段提取或恢复，并已隔离受影响系统、启动内部调查与外部取证团队联合处置。这是日本近年来规模最大的云服务提供商勒索事件之一，直接打破了\"上云即安全\"的传统假设，事件发生后，日本各大云用户和地方政府纷纷启动自身云租户权限审计，对日本云服务市场的信任度造成短期冲击。

日本水产巨头日水物流云数据中心遭勒索

日本大型水产集团Nissui（日水）旗下物流子公司Nissui Butsuryu于10月7日披露，其云数据中心服务器遭遇勒索软件攻击，导致系统瘫痪、产品进出货作业全面中断。公司在公开通告中表示，事件发生后已紧急隔离受影响系统，并联合外部取证团队展开调查，目前正在评估是否有客户个人信息和业务数据被窃取。这是2026年日本制造业和物流行业遭遇的又一起重大勒索事件，与同日发生的IDC Frontier云服务勒索共同构成本周日本关键基础设施的连续受击事件。两起事件在时间上高度接近，且都发生在云数据中心层面，表明勒索团伙已把攻击重点从企业自有机房转向高价值云租户，云环境中的身份和凭据管理成为攻防焦点。日本安全业界呼吁对云租户实施更严格的多因素认证和权限最小化策略。

全球顶级律所遭勒索软件攻击

勒索追踪机构DeXpose于10月8日记录到，勒索软件组织SilentRansomGroup公开宣称对全球顶级国际律师事务所Baker McKenzie发动了网络攻击。律所之所以成为勒索团伙的\"黄金目标\"，原因有二：一方面，律所掌握着大量客户的并购谈判、商业合同和诉讼策略等高敏感机密，公开任何文件都会对客户业务造成严重损害，谈判筹码极强；另一方面，律所普遍按项目制运作，IT投入相对保守，安全防护水平参差不齐，历史上多次出现大型律所被勒索软件加密的案例。Baker McKenzie目前尚未公开确认事件细节和影响范围，但事件已在法律行业引发震动，多家全球性律所纷纷启动内部安全应急检查。

Trump Mobile数据泄露

特朗普旗下移动虚拟网络运营商Trump Mobile本周确认遭遇数据泄露，黑客组织BYOD于10月5日在暗网发布3615名客户姓名、地址、电话号码以及一名特朗普组织高管的个人信息，并称还掌握更多未公开数据。安全研究员Dominic Alvieri指出，泄露样本与此前另一组名为EndZone的数据dump高度重合，可能源自同一初始入侵路径。The Register进一步披露，入侵路径是先攻陷Trump Mobile的合作MVNO Liberty Mobile网络中的某一名员工设备，植入远程访问木马（RAT）后横向移动获取客户数据库权限。事件暴露了一家高关注度品牌在第三方外包运营商模式下，安全响应能力严重缺位的治理漏洞：品牌方把网络外包给MVNO后，一旦MVNO侧员工凭据被攻破，品牌方和客户都直接暴露，但品牌方本身没有任何应急处置能力。

攻击者伪装成微软Power BI进行钓鱼活动

IT Security News于10月12日晨间披露，观察到针对微软Power BI用户的高度定制化钓鱼活动：攻击者伪装成Power BI报表分享邀请，诱导用户安装被篡改的ScreenConnect远程管理软件，从而获得对受害者工作站的持久控制。ScreenConnect是一款广泛使用的合法远程监控与管理（RMM）软件，正常用于IT运维人员远程维护员工电脑，一旦被攻击者部署，其合法远程连接能力将使传统EDR难以识别异常。安全厂商建议企业对所有RMM软件的安装实施白名单管控，并监控ScreenConnect等合法远程工具的出站连接，及时发现异常的远程会话。

DragonForce勒索组织宣称入侵RÉSO

勒索追踪机构Yazoul Security于10月8日记录到，勒索组织DragonForce在其泄露网站上新增RÉSO公司作为受害者，声称从该公司窃取了676GB生产数据以及额外8TB备份数据。DragonForce是2026年活跃的双重勒索团伙之一，通常先在目标网络内横向移动、窃取数据后再部署勒索软件加密，最后同时要求赎金换取数据不被公开。对于RÉSO这样规模的公司，8TB备份被同时窃取意味着传统\"离线备份兜底\"策略在实践中失效——攻击者在加密主数据的同时连备份也一并带走，企业需要重新评估3-2-1备份策略中\"离线副本\"的实际隔离强度。安全业界本周建议企业重新审视备份架构：真正的离线副本必须物理断网或使用不可变对象存储（WORM），并在备份服务器上部署与生产网络隔离的独立身份体系，避免攻击者用同一套域管凭据同时控制生产和备份。

Rhysida声称暴露近10万法律文件，N0n同步攻击加州智能建筑公司

双重勒索组织Rhysida于10月12日在其泄露网站上更新受害者页面，声称已暴露96,456份法律文件。Yazoul和Undercode News提醒，该数字目前仅来自勒索组织单方声明，尚未获得受害方确认，但法律文件一旦被公开将涉及大量客户隐私、合同条款和诉讼策略，敏感程度极高。同日，另一勒索组织N0n被记录到攻击一家位于加州的智能建筑技术公司，这类公司掌握楼宇自动化系统（BAS）的访问权限，一旦被勒索软件加密，可能影响商业建筑的电梯、暖通空调、门禁和安防系统运行，业务连续性风险极高。两起事件共同反映出本周勒索攻击的两个趋势：一是法律行业因客户保密义务高、谈判筹码强，持续被勒索团伙重点关照，Baker McKenzie本周被攻击并非孤例；二是智能建筑和OT环境成为勒索新目标，攻击者意识到，加密一家智能建筑技术公司可以同时波及数十座商业楼宇的物理运营，这种\"一对多\"的杠杆效应使其愿意付出更高攻击成本。

日本半导体测试巨头确认数据泄露

日本半导体测试设备巨头Advantest Corporation于10月6日发布内部通报，并经BleepingComputer于10月7日确认，公司在一次网络安全事件中遭入侵，攻击者从其系统中提取了员工个人身份信息（PII）。虽然公司在公开声明中未披露泄露数据的具体规模，但TSN报道指出，受影响员工主要涉及日本总部的人力资源和行政系统，目前公司尚未发现客户数据或产品源代码被访问的证据。Advantest作为关键设备供应商，其员工个人信息被窃取后，可能被用于针对公司研发和销售人员的定向钓鱼，进而渗透到其全球客户的供应链体系中——攻击者可以冒充员工向客户发送带有恶意附件的\"项目进展\"邮件，利用双方长期建立的业务信任完成入侵。事件提醒科技供应链上的关键节点企业，HR系统的安全防护等级应与核心生产系统看齐，员工PII本身就是高价值攻击跳板。

三、基础设施与政策

Google披露三个国家代码顶级域注册局被劫持

Google安全团队于10月6日发表声明，并在本周持续披露技术细节：攻击者入侵了三个国家代码顶级域（ccTLD）注册局的第三方运营方——.gh（加纳）、.sl（塞拉利昂）和.as（美属萨摩亚）——修改了权威DNS记录，并利用这些控制权为多个Google和YouTube域名以及其他组织的域名申请到了公开可信的TLS证书。Google强调其自身系统并未被攻破，问题出在DNS注册局这一互联网基础设施层面。证书透明度日志显示攻击者至少为若干Google域名签发了未授权证书，一旦被用于中间人攻击，即可在用户无任何浏览器警告的情况下伪装成Google官方网站，窃取用户凭据和通信内容。Google已通过Chrome的CRLSets机制在浏览器端屏蔽了这些伪造证书，并与证书颁发机构合作完成吊销。事件暴露了小型国家代码顶级域注册局在身份管理和DNS安全上的薄弱环节——这些注册局通常预算有限、技术人员不足，却承担着整个国家域名空间的解析权威，一旦其运营方被攻破，影响面会传导到所有使用该顶级域的组织。

微软10月Patch Tuesday仅修复1个Exchange CVE，本月无在野利用披露

微软于10月7日发布2026年10月安全更新，本次补丁周二节奏明显放缓，仅修复了一个影响Exchange Server的CVE。更值得注意的是，微软在本次公告中明确表示，本月补丁中没有任何漏洞被列为\"在野利用\"或\"补丁前已公开披露\"，这在近年Patch Tuesday历史上较为少见。微软建议企业结合本月CISA KEV新增的6个漏洞（ISC BIND、Apache Struts、ProFTPD等）一起安排修补窗口，避免遗漏跨厂商的关键漏洞。本月补丁周二节奏放缓并不代表风险降低——开源组件和第三方设备厂商的漏洞正在取代微软产品，成为在野利用的主要来源。

CISA新规：最高危漏洞须72小时内修复

CISA依据绑定操作指令BOD 26-04推进联邦漏洞修复新规，要求自2026年12月起，联邦民事行政部门必须在72小时内完成对最高危漏洞的修复，并对部分互联网暴露的关键漏洞建议24小时内修复。CISA在10月11日的公开解读中指出，AI正在加速漏洞发现速度，传统的月度和季度补丁节奏已跟不上攻击者的武器化周期，联邦机构必须把修复窗口压缩到天级。新规将带动一批联邦承包商和服务商的安全服务需求，也会间接推动行业最佳实践——大型企业和关键基础设施运营商很可能在未来1-2年内跟进类似的72小时SLA。这是AI时代漏洞治理节奏被监管正式背书的标志性事件，也意味着漏洞管理产品和服务市场将迎来一轮快速增长，能够提供\"发现-验证-修复\"闭环能力的厂商将直接受益。

四、产业与投融资

AI原生运行时安全公司Rein Security完成2500万美元A轮融资

总部位于纽约和以色列特拉维夫的AI原生运行时安全初创公司Rein Security于10月8日宣布完成2500万美元A轮融资，由Glilot Capital和SIP Venture Capital联合领投，公司累计融资达到3500万美元。Rein Security的产品定位是在运行时保护企业AI代理——随着越来越多企业把AI智能体接入工作流，赋予其访问代码库、生产数据和云资源的权限，传统的边界安全和终端安全工具已经无法识别AI代理的异常行为。Rein的平台通过监控AI代理的工具调用、数据访问和网络行为，在不依赖模型审计的情况下发现被劫持或越权的智能体。公司表示本轮融资将用于产品研发、智能体威胁研究团队扩张和员工招聘。在AI代理安全成为本周行业热点的背景下，Rein的融资反映出资本市场对\"AI代理运行时防护\"这一新兴赛道的持续看好。随着越来越多企业开始把AI代理连接到生产环境，\"AI代理安全\"正在从概念走向刚需，成为继云安全、身份安全之后的下一个高增长赛道。

荷兰进攻性安全初创Hadrian获4000万美元融资

荷兰进攻性安全初创公司Hadrian Security B.V.于10月6日宣布完成4000万美元融资，用于扩展其AI代理化的自动化攻击面发现与渗透测试平台。Hadrian的核心产品是用多组AI代理自动化完成传统上需要人工渗透测试团队执行的工作：资产发现、漏洞验证、可利用性评分和修复建议，把原本以季度为周期的人工渗透测试转化为持续运行的自动化流程。在AI代理被用于攻击韩国金融机构的同一周，Hadrian的融资显得颇具象征意义——攻防两端都在快速拥抱AI代理，进攻方用AI降低入侵成本，防御方用AI持续发现和修复弱点。Hadrian表示本轮融资将加速其企业客户扩张和模型能力升级。该赛道此前已涌现出多家公司（如Horizon3.ai、Shield AI等），资本市场对自主渗透测试和AI代理攻防平台的投资热度持续。Rein Security与Hadrian一周内合计融资6500万美元，标志着AI代理安全已经从分散实验进入集中下注阶段。

法国网络安全与托管IT服务商Netsec完成893万欧元A轮融资

法国网络安全与托管IT服务公司Netsec于10月8日宣布完成893万欧元A轮融资，资金将用于扩展其在法国本土及欧洲大陆的网络安全服务能力和托管运营中心（SOC）规模。Netsec的业务模式是为中型企业和地方公共部门提供一站式网络安全外包服务，包括24×7安全监控、事件响应、合规咨询和终端防护运营，客户以法国本土的制造业、服务业和地方政府机构为主。本轮融资反映出欧洲网络安全服务市场的持续活跃——在GDPR和欧盟NIS2指令的双重合规压力下，大量没有能力自建SOC的中型企业正把安全运营外包给专业服务商，欧洲安全服务市场呈现\"产品+服务\"双轮驱动的格局。与英美市场偏好AI原生初创公司不同，欧洲本土资本更青睐能够直接承担客户合规责任的服务型公司，Netsec的融资代表了欧洲安全产业的典型发展路径。对于中国安全厂商而言，欧洲服务市场的这种\"合规驱动+服务落地\"特征，提示出海企业应优先与当地服务商合作，而非单纯卖产品。

本周安全建议

云勒索事件密集，所有使用云服务的企业应立即审计云租户权限，启用强MFA、最小权限和不可变备份，避免管理员凭据被同时控制生产和备份。
CISA KEV本周新增6个开源组件漏洞，建议立即盘点资产中是否部署ISC BIND、Apache Struts、ProFTPD、OnlyOffice、Strapi和Citrix NetScaler，暴露在互联网的实例优先修复。
FortiMail零日CVE-2026-104286在野利用，未升级到8.0.2/7.6.7/7.4.9及之后版本的企业应立即修复，并阻断CISA发布的IOC IP。
警惕伪装成Power BI报表邀请的钓鱼邮件，对ScreenConnect等合法RMM软件实施安装白名单管控，并监控其异常出站连接。
法律、金融、智能建筑等\"高谈判筹码\"行业应加强终端防护和邮件安全，勒索团伙本周明显向这些行业集中。
AI代理接入生产环境前，应评估运行时安全监控能力，参考Rein Security和Hadrian等公司的产品思路，把AI代理作为新的身份和行为主体纳入零信任体系。

免责声明

本周报内容由安全419编辑部基于公开资讯整理汇总，旨在为网络安全从业者提供参考信息，不代表安全419的立场和观点，我们已尽力确保信息的准确性和完整性，但不对信息的及时性、准确性、完整性做出保证，同时也不构成任何安全建议、法律意见或投资推荐。依据以上内容做出任何决策前，都应独立进行进一步核实和研究，对于因使用以上内容而导致的任何损失或损害，安全419概不负责。

END