2026-10-24 13:57:45 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

每周网络安全简讯 ( 2026年第43周 )

国信中心
国信中心

极客安全

2026年10月23日 17:30
北京

去阅读

2026年10月17日至2026年10月23日，国家信息技术安全研究中心在线监测技术研究实验室对境内外互联网上的网络安全信息进行了搜集和整理，并按APT攻击、网络动态、漏洞资讯、木马病毒进行了归类，共计20条。

APT攻击

APT组织APT28对北约成员国军工机构目标实施网络攻击

赛门铁克披露一组归因于俄罗斯关联APT28的攻击活动，目标涉及两个北约成员国的执法机构、海军造船厂及军用飞机发动机制造商。在针对造船厂的入侵中，攻击者部署HOOKEDGE后门新变种，通过专用服务器接收指令并回传结果，利用PowerShell诱导本机认证以捕获NTLM握手，同时建立持久化SSH隧道，为访问内部网络提供通道。攻击者还投放此前未公开的反射加载器ld.exe，使用运行时提供的密钥解密载荷并在内存中执行，后续载荷性质尚不明确。研究人员于9月24日仍在该造船厂网络中发现相关启动器，目前尚未确认业务数据外泄。

链接：https://thehackernews.com/2026/10/russian-apt28-breaches-nato-naval.html

APT组织Lazarus对韩国目标用户实施网络攻击

卡巴斯基披露一起由APT组织Lazarus实施的攻击活动，自2026年3月起已波及韩国软件、建筑及有线通信设备制造领域至少三家机构。攻击者利用GitHub Pages托管虚假简历和设计作品集页面实施定向钓鱼，并疑似借助INISAFE CrossWeb EX安全软件触发感染，具体利用机制尚未明确。攻击链结合DLL侧加载与内存执行，部署TechHub、ClientHub及LPEClient等组件，通过GitHub、Dropbox等服务开展命令控制，实现系统侦察、文件收集及浏览器数据窃取。新版LPEClient还引入ML-KEM-1024后量子密钥封装机制保护载荷传输，增加分析难度。安全研究人员建议相关组织机构监测设备子进程、可疑DLL侧载及合法云服务异常通信等行为，以降低遭受攻击的风险。

链接：https://securelist.com/lazarus-operation-flashhole/121541/

APT组织APT41利用BlackX对中亚外交机构实施网络攻击

研究人员于2026年初发现APT组织APT41针对塔吉克斯坦、乌兹别克斯坦和土库曼斯坦外交机构的攻击。此次攻击活动中，该APT组织在取得目标设备管理员权限后，会部署类似BlackLotus的UEFI启动套件BlackX，利用恶意内核驱动，干扰安全监测并保护恶意文件。后续载荷通过Google Drive、OneDrive等云服务开展命令控制，或借助DLL侧载运行Rust载荷实施间谍活动。

链接：https://securelist.com/uefi-bootkit-blackx/121539/

网络动态

美国NSA、CISA和NIST联合发布AI智能体越权行为应对指南

美国国家安全局（NSA）、网络安全和基础设施安全局（CISA）及国家标准与技术研究院（NIST）联合发布自愿性安全指南，提出覆盖准备、检测、响应、恢复和报告的十项实践，重点面向有限人工监督下开展高能力AI智能体训练与评估的组织。指南聚焦智能体自主突破任务边界、未经授权联系外部主体或访问第三方系统等行为，建议实施最小权限、网络访问白名单及受监控网关，对模型、软件、主机和网络开展分层监测，并防止智能体篡改监控工具及日志。发现控制失效或持续事件时，应自动停止相关智能体运行，视严重程度暂停训练或部署，保全模型及操作证据、撤销泄露凭据，并在验证防护措施有效后恢复运行，强化人工监督与事件响应能力。

链接：https://cybersecuritynews.com/nsa-cisa-and-nist-release-guidelines-to-rogue-ai-agents/

谷歌推出Android多层反诈防护机制，强化钓鱼识别与验证码保护

谷歌宣布新增Android多层安全措施，结合端侧AI、云端分析及实时检查，防范电话、短信和聊天应用中的诈骗。具体措施包括：一是Google Messages拟在未来数周推出可选的增强保护模式，利用Gemini分析陌生发送者的对话上下文，识别逐步建立信任的社会工程攻击，并通过Gemini Nano结合实时网络信号评估陌生链接风险；二是安卓系统将在Chrome和WebView屏幕共享期间隐藏登录及支付敏感内容，阻止应用在后台静默启用呼叫转接，并在用户手动输入转接指令生效前发出警告，降低语音验证码被截取的风险；三是扩大聊天通知诈骗检测覆盖范围，并扩展银行来电验证功能，推动移动反诈从号码、链接过滤向行为识别与关键操作干预延伸。

链接：https://cybersecuritynews.com/google-unveils-new-android-ai-protections/

日本H₂O零售集团部署Tenable One统一多云环境网络风险管理

日本H2O零售集团已部署Tenable One风险暴露管理平台，将外部攻击面、Web应用安全及基础设施即服务（IaaS）安全配置纳入统一管理。随着数字化转型推进，集团多云基础设施日益复杂，原有以面向互联网系统为重点的年度外包漏洞评估难以满足全资产风险管理需求。此次部署通过统一资产与风险视图，结合AI能力评估漏洞实际利用风险、确定修复优先级，并建立持续监测机制，跟踪风险变化。相关方表示，平台安全评分有助于各业务单元开展自主、主动的安全治理，同时减少外包评估及人工数据采集成本，为客户数据保护和业务连续性提供支撑。

链接：https://industrialcyber.co/news/h%e2%82%82o-retailing-deploys-tenable-one-to-unify-cyber-exposure-management-across-multi-cloud-infrastructure/

Marvell、微软与甲骨文联合推动数据中心集成式硬件安全模块标准化

近日，Marvell、微软与甲骨文宣布，在开放计算项目（OCP）安全方向下成立工作组，共同制定面向云及超大规模数据中心的集成式硬件安全模块（HSM）开放规范，以满足NIST FIPS 140-3三级安全要求。该方案拟将硬件安全边界、密钥库及证明链直接嵌入服务器，支持安全密钥缓存和密钥全生命周期管理，使密码运算在数据处理位置执行，降低密钥暴露风险及处理延迟，并支持工作负载完整性验证。三家公司表示，此举旨在提升行业互操作性支持零信任架构及后量子密码应用，后续将联合OCP社区推进技术规范发布。

链接：https://www.darkreading.com/cloud-security/marvell-microsoft-oracle-standardize-data-center-hardware-security

美陆军试点人工智能辅助维护系统推进维修与后勤保障数字化

美国陆军正试点由通信电子司令部开发的人工智能辅助维护系统（AIAM），将纸质技术手册及维修流程数字化。目前，该系统已数字化约200至250份技术手册，约4000名用户参与反馈，可支持维修资料查询、故障记录与主管审核、后勤专家远程协助及零件库存查询。针对早期测试中出现的模型幻觉，开发团队经多轮迭代，调整为由人工智能直接检索和提取数字化手册内容，以减少虚假回答。士兵可通过手机、平板或笔记本电脑访问网页应用，供应人员可结合陆军全球作战支援系统开展零件订购。后续项目拟拓展预测性维护能力，提升维修计划与后勤保障效率。

链接：https://defensescoop.com/2026/10/20/army-pilots-ai-backed-maintenance-program/

美国政府问责局公布2027—2032年战略计划，强化网络安全与人工智能风险监督

美国政府问责局（GAO）公布2027—2032年战略计划，拟支持国会加强对联邦网络安全、关键基础设施保护及人工智能风险的监督。计划将评估国家网络安全战略、联邦信息系统防护及敏感数据隐私保护，重点关注能源、水务等领域因设施老化、威胁演变和需求增长面临的安全挑战，并审查应急准备与韧性建设成效。在人工智能方面GAO将评估对手利用、自主系统及人工智能辅助决策完整性等国家安全风险，以及相关政策和监管框架的有效性。同时，该机构拟加强网络安全与人工智能专业人才建设，利用创新实验室、数据分析及新兴技术提升审计和监督能力，为国会提供及时、基于证据的政策分析。

链接：https://industrialcyber.co/reports/gao-outlines-2027-2032-agenda-for-congressional-oversight-of-federal-cyber-defenses-critical-infrastructure-ai-risks/

美陆军据报推进ECHOTRIBBLE项目，探索自主进攻性网络智能体

美国陆军正推进ECHOTRIBBLE项目，拟开发能够在较少人工监督下渗透对手网络、识别目标并使其失效的人工智能体。项目涉及陆军网络司令部、陆军网络技术与创新中心及非营利组织网络融合创新中心，要求智能体能够跨计算机及其他设备移动，自适应不同系统，并在云基础设施和物理隔离网络等环境中运行。网络融合创新中心已于10月8日选定一家企业的投标方案，但尚未公开中标方。

链接：https://cybernews.com/ai-news/us-army-ai-agents-offensive-cyber-operations/

美国两党议员拟推动人工智能网络防御法案，制定模型蒸馏攻击防护指南

美国众议员帕特·哈里根与乔治·怀特赛兹共同提出《人工智能网络防御法案》，拟要求国家标准与技术研究院（NIST）制定自愿性行业标准和最佳实践，防范来自俄罗斯、伊朗和朝鲜等国相关实体的模型蒸馏攻击，要求明确蒸馏攻击的定义，并将其与开放权重及开源模型的正常共享协作区分。同时，该法案还准备在NIST设立“人工智能网络安全圆桌会议”，汇集政府、人工智能企业及软硬件安全专家，推动人工智能用于关键基础设施网络防御的自愿性标准建设。目前，相关举措尚处立法提案阶段。

链接：https://cyberscoop.com/bipartisan-bill-combat-ai-distillation-attacks-nist/

漏洞资讯

MariaDB存在编码绕过漏洞

近日，安全研究人员发现开源关系型数据库管理系统MariaDB存在编码绕过漏洞（CVE-2026-92262），该漏洞源于数据库为兼容MySQL5.0旧版表名而保留的mysql50前缀机制，该机制允许绕过表名在文件系统中的编码处理，并可能引发缓存键冲突，导致不同表名错误地关联至同一表对象。具有数据库表创建及数据操作权限的低权限攻击者，可通过构造特定SQL语句触发漏洞，造成数据混淆、数据损坏或敏感信息泄露，严重情况下还可能导致数据库服务崩溃或远程代码执行。漏洞影响10.6.1<=MariaDB<=10.6.27等版本，目前用户可通过补丁更新修复上述安全漏洞。

链接：https://www.falconinternet.net/blog/mariadb-cve-2026-92262-mysql50-table-name-bypass-fixed-versions

博通WPS组件存在分片消息重组缺陷

近日，安全研究人员发现博通Wi-Fi保护设置(WPS)组件存在分片消息重组缺陷，无线信号覆盖范围内的攻击者无需网络密码、登录或配对，即可通过特制消息破坏内存，进而读取敏感数据或以root权限执行代码。研究员已在比利时三家运营商的家庭网上验证漏洞，并成功窃取了相关Wi-Fi密码。漏洞涉及部分eCos及Linux平台芯片，潜在影响规模尚未全面核实，截至报道时，该漏洞尚无CVE编号，旧款eCos设备缺乏可用修复方案，Linux平台则可由厂商评估替换为hostapd Wi-Fi软件以降低遭受攻击的风险。

链接：https://thehackernews.com/2026/10/unpatched-broadcom-wi-fi-flaw-lets.html

Drupal存在远程代码执行漏洞

近日，安全研究人员发现Drupal核心Field UI模块存在远程代码执行漏洞（CVE-2026-108097），成功利用可能导致网站被接管、私密数据泄露或信息被篡改删除。仅部署核心组件不存在直接利用路径，但部分第三方扩展模块及自定义代码可能暴露漏洞。目前公告未报告在野利用也未公开利用代码。目前，用户可通过将相应版本分支升级至10.6.19、11.3.19或11.4.10等版本，修复上述安全漏洞。

链接：https://cybersecuritynews.com/drupal-rce-vulnerability/

PHP存在2个远程代码执行漏洞

近日，PHP发布紧急更新，修复2个统称为PHP2Shell的安全漏洞（CVE-2026-109618、CVE-2026-109619）。其中，CVE-2026-109618与内存耗尽处理机制相关，未经身份验证的攻击者可通过特制请求触发异常，进而可能执行任意代码；CVE-2026-109619是由默认启用的会话上传进度功能可在请求初始化完成前进入会话处理流程所导致，允许攻击者在Apache mod\_php和PHP-FPM环境下实现代码执行。目前，用户可通过将对应分支版本升级至8.5.12、8.4.27、8.3.36、8.2.35或更新版本的方式修复上述安全漏洞。

链接：https://thehackernews.com/2026/10/php-issues-emergency-patches-for-two.html#who-is-affected-

GitLab存在远程代码执行漏洞

近日，安全研究人员发现GitLab存在远程代码执行漏洞（CVE-2026-110264），是由内置Onigmo正则表达式引擎存在缺陷所导致，允许攻击者通过特制正则表达式触发整数溢出，在特定条件下未经身份验证执行任意代码。目前，用户可通过将分支版本升级至19.5.1、19.4.3、19.3.6、19.2.9、19.1.9、19.0.10、18.11.13或更新版本的方式修复上述安全漏洞。

链接：https://thehackernews.com/2026/10/critical-gitlab-flaw-cvss-100-could.html

木马病毒

借助防火墙合法进程隐蔽通信的新型内存后门Peerstitch被披露

近日，安全研究人员在针对某电信托管服务提供商的入侵调查中发现新型ARM64内存后门Peerstitch。攻击者先利用FortiManager漏洞窃取逾500台受管防火墙的配置、凭据及密钥材料，随后利用FortiOS提权漏洞CVE-2025-61624部署该后门。Peerstitch通过代码注入在内存中运行，构建隐蔽的进程间通信通道，不留下持久性磁盘文件、不开放监听端口，也不主动发起出站连接，而是借助受感染设备上合法进程的流量实施隐蔽通信，规避常规终端及网络检测。攻击者还开展流量嗅探、建立未授权VPN连接，并通过关闭日志、清除崩溃记录及删除恶意配置掩盖活动。相关机构应加强边缘设备内存与异常进程监测，排查未授权配置，并及时轮换泄露凭据及密钥。

链接：https://industrialcyber.co/ransomware/unit-42-traces-peerstitch-malware-deployment-to-fortios-vulnerability-exploited-after-fortimanager-compromise/

借助定向广告传播的Candiru间谍软件被披露

近日，安全研究人员披露名为AdFection的攻击手法，攻击者通过定向广告投递Candiru间谍软件，受害设备仅需加载恶意广告，无需点击即可触发感染。该活动与以色列公司Discover-Tech有关，其通过主流广告平台投放嵌入JavaScript的广告，利用IP地址、广告标识符等筛选目标，仅向选定设备下发后续恶意代码以降低暴露风险，半岛电视台提供的证据显示，2024至2025年至少45台设备遭到攻击。相关定向广告覆盖大量应用和网站，多家广告平台已清理违规账户、封禁相关域名。

链接：https://www.bleepingcomputer.com/news/security/zero-click-attacks-used-targeted-ads-to-deliver-candiru-spyware/

利用ClickFix投放分发的新型ROMULUS平台被披露

近日，安全研究人员披露名为ROMULUS的恶意软件投递平台，利用虚假网页中的ClickFix诱饵，引导用户手动执行恶意命令。平台通过PowerShell分阶段脚本选择后续载荷，分别投递携带加载器的木马化MSI安装包，或包含LegionLoader的加密压缩包；相关载荷通过重复填充膨胀至近1GB，试图利用安全工具的文件大小及分析资源限制规避检测。LegionLoader随后连接远程服务器，下载并执行其他恶意程序。研究人员已识别六个相关服务器，其中部分基础设施与滥用恶意ChatGPT自定义GPT引流的攻击活动有关。

链接：https://thehackernews.com/2026/10/romulus-clickfix-platform-tricks-users.html

美方预警SafePay勒索软件威胁，约600家组织受影响

美国网络安全与基础设施安全局、联邦调查局、特勤局及国际伙伴发布联合通告，称SafePay勒索软件自2024年8月以来持续活跃，已入侵美洲、欧洲和澳大利亚约600家组织，涉及多个关键基础设施行业。攻击者通过被盗凭据、暴力破解、钓鱼及互联网暴露设备漏洞获取访问权限随后滥用合法工具横向移动、关闭安全软件，并窃取数据破坏备份和加密文件，结合泄露威胁与电话施压实施双重勒索。安全研究人员建议相关组织机构优先修复已知被利用漏洞，强化多因素认证、最小权限及网络分段，以降低遭受攻击的风险。

链接：https://industrialcyber.co/threats-attacks/safepay-ransomware-compromised-600-critical-organizations-worldwide-urge-patching-and-network-defenses/