2026-10-24 12:37:34 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

安全热点周报 | 一周网络安全大事件盘点（2026/10/12-2026/10/16）

中成信息
中成信息

中成信息

2026年10月16日 18:06
福建

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

本周（10 月 12 日至 10 月 16 日）网络安全态势延续「高危漏洞集中披露、身份与数据泄露事件频发、数据安全治理规则持续落地」三条主线。漏洞侧，GitLab CI/CD 正则编译器未授权远程代码执行漏洞（CVE-2026-97229，CVSS 10.0）公开利用代码，自托管实例面临直接接管风险；微软 10 月补丁日创纪录修复 1,413 个漏洞，含 1 个已在野利用的 Windows Shell 零日（CVE-2026-96951）；SmarterMail 漏洞链可借一枚恶意邮件以 SYSTEM 权限拿下服务器。事件侧，加拿大本拿比学区勒索攻击暴露含医疗诊断、移民证件在内的学生与教职员工敏感数据，韩国 16 家金融机构遭 AI 驱动攻击致约 10 万条个人信息泄露，加拿大海产企业 Shediac 等亦遭勒索并面临数据公开。政策侧，工信部 29 项网络安全与数据安全相关推荐性国家标准处于公示期，全国网安标委 4 项网络安全国家标准征求意见将于 10 月 25 日截止，未成年人网络保护规定征求意见亦将于 10 月 17 日截止，数据治理与个人信息保护规则持续完善。

PART 1

漏洞情报

SmarterMail 远程代码执行漏洞链

SmarterMail 远程代码执行漏洞链是高危安全漏洞，影响 SmarterMail build 9777 之前版本。攻击者在持有 SysAdmin 权限令牌的前提下，可通过 domain-put 接口将新邮件域的 FileStore 根路径指向受信任的脚本目录、清除上传扩展名黑名单并借普通邮件文件存储上传接口投递恶意脚本，在保存 CommandMount 时于校验前触发 RunScript，以 SYSTEM 级权限执行任意代码，进而完全控制邮件服务器、窃取邮件与凭据并以此为据点向内网横向移动。

微软 10 月补丁日 Windows Shell 安全特性绕过零日漏洞

Windows Shell 安全特性绕过漏洞是高危安全漏洞，影响多款 Windows 10/11 与 Windows Server 版本。攻击者可通过构造特制文件，在用户下载并打开时绕过系统「Mark of the Web（MotW）」安全警告机制，于不触发常规提示的情况下执行恶意文件，进而为勒索软件投放、数据窃取或横向移动提供初始落脚点；该漏洞已被确认在野利用，美国网络安全与基础设施安全局（CISA）已将其纳入已知被利用漏洞（KEV）目录，并要求联邦机构在 2026 年 10 月 16 日前完成整改。微软 10 月补丁日同步修复了创纪录的 1,413 个漏洞，涵盖 Windows、Office、Exchange、SharePoint、Azure 等多条产品线。

GitLab 未授权远程代码执行漏洞

GitLab 未授权远程代码执行漏洞是严重安全漏洞，影响自托管 GitLab Community/Enterprise Edition 的 19.2、19.3、19.4 部分版本（低于 19.2.8、19.3.5、19.4.2）。攻击者可在无需身份认证的情况下，向公开项目的 CI/CD 配置提交携带特制正则表达式的 .gitlab-ci.yml，触发后端 Onigmo 正则引擎编译时的整数溢出与内存破坏，以 git 用户身份执行任意系统命令，进而读取全部源代码与 CI/CD 密钥、篡改流水线并横向渗透研发内网；目前该漏洞概念验证（PoC）与技术细节已公开。

PART 2

安全事件

加拿大本拿比学区勒索攻击致学生与教职员工敏感数据泄露

2026 年 10 月 14 日，加拿大不列颠哥伦比亚省本拿比学区（Burnaby School District，SD41）更新通报确认，一起勒索攻击导致包含学生、家长、监护人及教职员工个人信息的文件被窃取。学区于 9 月 21 日发现入侵，已聘请网络安全专家、通报本拿比皇家骑警并报告卑诗省信息隐私专员办公室；10 月 14 日起向受影响人员提供 TransUnion 欺诈预警登记。泄露数据可能涵盖 2024 与 2026 年在校生及历史用户的姓名、联系方式、个人教育编号、出生日期、年级与就读学校，以及入学登记表、居留证件、签证、租赁与公用事业账单等移民相关材料，部分还涉及医疗诊断、学习支持评估与校车路由等敏感内容；该学区服务 41 所小学与 8 所中学、逾 29,600 名学生。专家警示，含儿童年龄、医疗状况与移民身份的泄露数据极易被用于高可信度钓鱼与身份冒用。

原文链接：

https://cybersecuritycanada.ca/news/posts/burnaby-school-district-ransomware-attack-student-data-breach-lessons

韩国 16 家金融机构遭 AI 驱动黑客攻击，约 10 万条个人信息泄露

2026 年 10 月 14 日，据韩联社报道，韩国金融委员会与金融监督院公布金融机构遭黑客事件调查结果：在新韩银行上月底遇袭前后，共有 16 家金融机构（含银行、储蓄银行、专业房贷机构、电子金融机构等）遭遇利用人工智能的类似攻击，造成约 10 万条个人信息泄露，包括姓名、电话号码、身份证号码与电子邮箱地址等。金融部门表示，泄露信息中尚未发现可直接用于非法支付的银行账号、银行卡号等。日本共同社此前亦指出，9 月以来日本企业信息外泄事件明显增加，攻击方或利用先进 AI 对存在漏洞的系统发起无差别攻击，日本政府已要求企业与地方政府一把手主导强化对策。

原文链接：

https://dy.163.com/article/L97T3H0U0519C6T9.html

加拿大海产企业 Shediac Lobster Shop 遭 Akira 勒索攻击，员工护照与社保号面临泄露

2026 年 10 月 14 日，勒索团伙 Akira 将加拿大新不伦瑞克省海产企业 Shediac Lobster Shop 列入受害者清单，威胁将公开约 10 GB 企业数据。该企业专营冷冻大西洋龙虾供应，拥有逾 70 年加工历史，客户涵盖餐厅、食品分销商与全球市场。据威胁情报通报，被盗数据包括员工信息（护照、社保号、完整表单）、客户信息、合同协议、机密文件、财务与付款明细、保密协议（NDA）等；攻击者声称将很快上传企业数据。该事件再次表明，钓鱼邮件与凭据窃取仍是勒索入侵的主要起点，中小企业同样面临高敏身份数据外泄风险。

原文链接：

https://www.hookphish.com/blog/ransomware-group-akira-hits-shediac-lobster-shop

PART 3

时事热点

工业和信息化部公示 29 项网络安全与数据安全相关推荐性国家标准计划项目

2026 年 9 月 30 日，工业和信息化部科技司发布公示，对《智能网联汽车供应链网络安全技术要求及试验方法》等 29 项拟立项推荐性国家标准计划项目面向社会公开征求意见，公示期为 2026 年 9 月 30 日至 10 月 29 日，本周（10 月 12 日至 16 日）仍处于征求意见期内。本批立项清单覆盖智能网联汽车、工业互联网、网络安全、数据安全、个人信息保护多个方向：供应链网络安全标准针对汽车软硬件供应链提出管控要求；工业互联网方向聚焦工业数据访问控制与重要工业数据防护；终端与物联网方向则规范消费类智能终端个人信息收集、存储、传输行为并建立数据泄露检测与应急处置基线。

原文链接：

https://www.edatacompliance.com/News/Detail/46ecafba0c648100fc317425147c2e2b

全国网络安全标准化技术委员会就 4 项网络安全国家标准公开征求意见

近期，全国网络安全标准化技术委员会就《网络安全技术工业控制网络监测安全技术要求及测试评价方法》《网络安全技术工业控制系统安全管理基本要求》《网络安全技术人工智能安全能力成熟度评估方法》《网络安全技术网络安全事件管理第 4 部分：协同》四项国家标准征求意见稿公开征求意见，意见征集将于 2026 年 10 月 25 日截止，本周处于征求意见窗口内。其中，工控安全管理基本要求明确工业控制系统业务数据、重要工业数据及人员个人信息的全生命周期安全基线；AI 安全能力成熟度评估将训练数据安全与用户交互个人信息保护列为关键指标；事件管理协同则规范了重要数据、大规模个人信息泄露时的跨单位、跨行业信息上报与风险通报机制。

原文链接：

https://dy.163.com/article/L8SAC6I80538SR5M.html

国家网信办《保障未成年人健康安全使用网络的规定（征求意见稿）》公开征求意见将于 10 月 17 日截止

2026 年 9 月 18 日，国家互联网信息办公室组织起草《国务院关于保障未成年人健康安全使用网络的规定（征求意见稿）》并公开征求意见，意见反馈截止日期为 2026 年 10 月 17 日（本周五）。规定共二十五条，明确网络服务提供者不得向未成年人提供陌生人网络社交、虚拟亲密关系、诱导沉迷等网络服务；向未满十六周岁未成年人提供网络音视频、网络游戏、网络社交、可能影响认知的人工智能等服务的，应当通过未成年人模式提供；并要求用户数量巨大、对未成年人群体具有显著影响的平台通过省级网信部门向国家网信部门备案。作为未成年人网络保护与个人信息保护的重要新规，其落地将显著影响面向未成年人群体的各类网络服务合规要求。

原文链接：

https://ysxw.cctv.cn/article.html?toc\_style\_id=feeds\_default&item\_id=15863303279738943298

📌 本周防护提醒

• 针对 GitLab 未授权远程代码执行漏洞（CVE-2026-97229，CVSS 10.0）：自托管实例立即升级至 19.2.8 / 19.3.5 / 19.4.2 及以上；无法立即升级时限制公开项目创建与用户自助注册、审计近期 CI/CD 配置中的异常正则表达式并轮换 CI/CD 密钥。

• 针对微软 10 月补丁日（含在野利用零日 CVE-2026-96951）：本周内完成 Windows 全量补丁推送，优先修复绕过 Mark of the Web 的 Windows Shell 漏洞；Exchange、Active Directory 域控、Outlook 预览窗格相关 RCE 一并纳入紧急窗口；Windows 10 企业版 LTSB 2016 已终止支持，需尽快制定升级计划。

• 针对 SmarterMail 远程代码执行漏洞链（CVE-2026-104082）：升级至 build 9777 及以上，遵循最小权限原则避免服务以 SYSTEM 运行，并对 Volume Mount 与文件上传类 API 调用加强监控。

• 针对密集发生的数据泄露（本拿比学区、韩国金融机构、Shediac 等）：将身份证号、驾照、医疗诊断、移民证件等身份类数据最小留存、加密存储并定期销毁；对患者、学生、客户高敏数据实施访问最小化与异常访问监测，并警惕由此衍生的钓鱼与冒充。

• 依据本周数据安全政策动态（工信部 29 项标准公示、网安标委 4 项国标征求意见、未成年人网络保护规定 10/17 截止）：将数据安全风险评估、个人信息分类分级与供应链网络安全要求纳入合规日历滚动跟踪，对照标准草案提前开展差距分析。

关于我们

漳州中成信息科技有限公司是一家专注于网络安全实战防护的创新型服务提供商。我们深刻理解网络安全的核心在于攻防对抗的持续较量，并以此独特视角为基石，致力于为客户构建动态、主动、智能化的纵深防御体系。区别于传统的被动防御，我们坚信“未知攻，焉知防”。公司汇聚了顶尖的渗透测试专家（红队）、应急处置精英（蓝队）及经验丰富的安全服务工程师，形成了一支具备完整攻防对抗能力的专业团队。我们的渗透测试团队模拟真实攻击者的思维与手段，深入挖掘系统、应用及网络中的深层次漏洞与风险点；应急处置团队则能在安全事件发生时快速响应、精准定位、有效遏制损失并溯源根因；安服工程师团队则致力于将攻防对抗中获得的宝贵经验转化为常态化的安全策略、加固措施与运营流程。

点击名片