2026-10-27 17:07:15 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

Lazarus 用后量子加密隐藏恶意载荷，安全检测也在被 “绕路”

汇能云安全

2026年10月27日 10:43
广东

去阅读

10月27日，星期二，您好！中科汇能与您分享信息安全快讯：

PHP2Shell 还没公开，攻击者已经提前四天动手

PHP 生态最近出现的两枚高危漏洞，真正值得警惕的不是编号本身，而是攻击时间点。Amazon 威胁情报称，攻击者从 10 月 17 日开始尝试利用 CVE-2026-109618 和 CVE-2026-109619，而这两枚漏洞是在几天后才公开披露并修复。漏洞被统称为 PHP2Shell，可能让远程攻击者把一个普通的 Web 请求变成服务器上的代码执行入口。这意味着，企业不能把 “官方补丁还没发布” 理解成 “暂时没有风险”。对互联网暴露的 PHP 站点来说，攻击者可能通过资产测绘、流量试探和自动化脚本提前寻找可利用目标。只要服务器权限较高，后续就可能出现 WebShell、凭据窃取、横向移动，甚至被植入挖矿或勒索程序。当前公开摘要没有给出受影响部署的完整统计，因此不能简单判断某个行业已经大面积失陷，但提前利用本身已经说明这类窗口会被重点盯防。使用 PHP 的网站、API 和后台系统应立即核对运行版本与厂商公告，安装对应修复，不要只重启服务却不确认补丁是否真正生效。安全团队还要回溯 10 月 17 日以来的 Web 访问日志，重点查看异常参数、陌生 POST 请求、子进程拉起、临时文件和异常外联。已经暴露在公网的管理接口应先做访问限制；若发现可疑执行记录，应按主机失陷处理，完成凭据轮换和持久化排查。

26,739 台日本云服务器进入潜在影响范围，客户要先保数据和凭据

日本Onamae.com Desktop Cloud 披露，攻击者曾在客户服务器环境中植入恶意软件，供应商随后开始考虑并执行覆盖各服务计划的服务器关闭措施。公告提到最多有 26,739 台服务器可能受到影响，但这里的 “可能涉及” 不能直接等同于已经确认感染，这个数字的价值在于提醒客户：当云平台需要主动关闭服务时，用户必须把它当成一次基础设施级安全事件，而不是普通维护窗口。云服务器里通常保存着网站文件、数据库连接、SSH 密钥、环境变量和自动化脚本。即使攻击者没有拿走整台服务器，恶意程序也可能读取配置文件，截获登录信息，或者在重启后通过计划任务继续运行。供应商关闭服务可以切断部分攻击路径，却不等于客户数据已经安全恢复；如果客户没有独立备份，停机还可能进一步变成业务连续性问题。受影响客户应先根据供应商公告确认实例、区域和时间范围，尽快保存必要日志、配置和业务数据，但不要把可疑主机直接打包复制到生产环境。所有在该环境中出现过的账号密码、API 密钥、数据库凭据、私有仓库令牌都应按可能暴露处理，完成吊销与轮换。恢复服务前要检查启动项、计划任务、SSH 授权、Web 目录和异常网络连接；对重要业务，最好从干净镜像重建，而不是简单开机继续使用。供应商后续确认的受影响清单，应与企业自己的资产台账逐项比对。

Lazarus 用后量子加密隐藏恶意载荷，安全检测也在被 “绕路”

与传统的密码学话题不同，Lazarus 组织被披露在 Operation FlashHole 活动中使用后量子密钥建立方法，保护恶意软件投递链中的后续载荷。当前公开信息显示，行动目标涉及韩国组织，重点不是证明量子计算已经破解了企业加密，而是攻击者把新型密码技术当作隐藏通信和文件内容的工具，试图让安全产品更难直接识别后续阶段。很多企业看到 “后量子” 三个字，第一反应可能是担心加密算法马上失效，更现实的风险是，攻击链正在把先进技术包装进投递过程，安全团队如果只依赖静态特征、文件哈希或传统解密检测，可能看不到真正的第二阶段载荷。只要初始文件能够建立通信、取得密钥并继续拉取内容，攻击者就有机会绕过单点检测，扩大驻留时间。公开摘要没有给出完整受害组织清单，也不能据此认定所有使用相关密码库的系统都已受到影响。企业应把重点放在行为层：检查异常进程是否加载不常见加密库，是否连接与业务无关的外部地址，是否在办公文档、脚本或安装包之后出现分阶段下载。针对韩国及相关行业的组织，还应加强邮件附件、终端应用白名单和出站流量审计。不要为了 “支持后量子” 盲目禁用业务加密，而要核对软件来源、版本、签名和实际通信行为，并确保终端检测能覆盖内存执行和子进程链。

Hirudo 替换手机银行应用，移动端盗刷进入 “假应用接管” 阶段

新发现的 Android 银行木马 Hirudo 采用了一种比普通仿冒登录页更激进的方式：它试图删除受害者设备上的正版银行应用，再安装一个名称和版本信息看起来相同、但被加入恶意代码的替代版本。这样做的目的，是让用户继续以为自己打开的是原来的银行应用，同时让木马干扰安全检查、获取账户操作机会，最终服务于金融欺诈。这类攻击的危险在于，它不只依靠用户点击一个假页面，而是试图改变设备上 “哪个程序才是真正的银行应用”。如果木马拥有足够的安装、无障碍或设备管理权限，用户看到的图标、名称甚至版本号都可能降低警惕。当前公开摘要没有给出完整传播范围、受影响银行名单或明确版本列表，因此不能把所有 Android 银行用户都视为已受影响，但手机银行用户和移动金融机构都应重视这种替换式攻击。个人用户不要从短信、聊天群或非官方商店安装所谓安全组件、更新包和银行增强版；发现银行应用被卸载、图标异常、权限突然增加或设备出现无障碍服务提示时，应立即断网并使用另一台可信设备联系银行。企业和金融机构则应加强应用完整性校验、重签名检测、设备风险识别和异常交易拦截。对已经安装过可疑应用的设备，不能只删除图标，应检查设备管理权限、无障碍权限、未知来源安装权限，并在必要时恢复出厂设置、修改密码和撤销登录会话。

Atlassian 一次处理 176 项缺陷，Jira 和 Confluence 补丁治理不能只看一个编号

Atlassian 发布了 2026 年 10 月安全公告，覆盖 Jira、Confluence、Bamboo、Bitbucket 和 Crowd 等产品，共列出 176 项缺陷，其中公开摘要提到 162 项为高严重性问题，另有 14 项为关键严重性的第三方缺陷。厂商表示，部分修复已经包含在上月发布的产品版本中，并敦促客户安装适用的修复版本。对于使用多个 Atlassian 组件的企业，这不是一次简单的 “挑一个 CVE 打补丁”。Jira 和 Confluence 往往连接项目资料、源代码链接、人员信息、附件以及单点登录系统。某个组件出现漏洞后，攻击者可能先取得应用权限，再沿着集成关系接触代码仓库、构建流水线或内部文档。公开摘要没有逐项列出 176 个问题对应的受影响版本，因此不能把全部条目都描述成已经在野利用，也不能用一个统一版本号替代厂商公告。管理员应先建立实际产品清单，区分 Data Center、自托管部署和云服务，逐项对照 Atlassian 安全公告确认修复版本。补丁完成后，要验证插件兼容性、登录链路、反向代理和备份任务是否正常。安全团队还应检查管理员账号、API 令牌、Webhook、应用连接器和异常导出行为，特别是公网可访问的 Confluence 和 Jira 管理面。对于暂时无法升级的实例，应限制来源地址、关闭不必要的接口和插件，并加强 WAF 与访问日志监测。补丁治理的关键不是 “公告看过了”，而是每一台真实资产都有可核验的版本和验证记录。

Signal 通话漏洞可能让麦克风在挂断后继续工作，通信软件要立刻更新

Signal 通话组件 RingRTC 曝出严重漏洞 CVE-2026-113380，公开信息显示，受影响版本为 2.72.0 之前的版本，CVSS 评分为 9.3。恶意通话参与者可能在另一方尝试挂断后继续听到音频；视频是否同样持续，公开描述尚未完全确认。这个问题的风险不在于聊天记录被批量导出，而在于通话结束动作与实际媒体连接状态可能不一致，涉及个人隐私和企业敏感沟通。很多人默认 “我已经点了挂断，麦克风就一定关闭”，如果漏洞确实被触发，用户界面显示的状态和后台媒体流可能出现偏差。对企业来说，远程会议、客户沟通、研发讨论和内部管理信息都可能受到影响。当前公开信息主要针对 RingRTC 版本，不应未经核实地推断所有 Signal 客户端、所有平台都以同样方式受影响，但旧版本用户没有必要继续暴露在已知风险中，用户应通过官方渠道将 Signal 更新到包含修复的版本，更新后重新启动应用并检查系统的麦克风、摄像头权限。企业设备管理人员应确认移动端和桌面端的版本覆盖情况，必要时暂时避免在旧版本上讨论高度敏感内容。安全团队可以通过系统权限日志、网络连接记录和终端行为监测排查异常媒体会话；如果曾在受影响版本上进行敏感通话，应把相关信息按可能暴露重新评估。不要下载第三方 “修复包”，也不要为了绕过问题而安装来源不明的修改版客户端。

真实 Dell 和 Staples 邮件被用来装载骗局，可信发件人也不能直接相信

攻击者正在滥用 Dell 和 Staples 真实订单邮件，把诈骗内容放进正常零售系统能够发送的订单详情里。收件人看到的邮件可能确实来自真实域名，甚至带有正常的订单通知外观，但正文会诱导用户拨打攻击者控制的电话号码，或者按照所谓 “取消订单、处理高额消费” 的指引操作。它不是简单伪造发件人，而是借助可信业务邮件的投递链降低怀疑，这类钓鱼的重点变化是：邮箱安全网关验证了发件域名，不代表邮件里承载的业务内容可信。攻击者只要把恶意指令嵌入订单备注、客服信息或其他可控字段，就可能绕过依赖域名信誉和邮件认证的判断。公开摘要没有给出受影响客户数量，也没有说明所有 Dell 或 Staples 订单都被利用，企业不能把它扩写成平台全面失陷，但这种 “可信系统送出恶意内容” 的思路值得纳入邮件风控。员工收到陌生订单时，不要直接拨打邮件中的电话，也不要点击其中的退款、取消或远程协助链接。应通过浏览器手动输入官网地址，或者使用企业通讯录中已有的官方联系方式核实。企业邮件安全策略应对订单、发票、快递和客服类邮件进行内容检测，识别电话号码替换、紧急付款、远程控制和账户验证等组合信号。财务、采购和客服团队尤其要设置双人核验；发现可疑邮件后保留完整原文和邮件头，提交安全团队分析，而不是只删除本地副本。

Railway 警告环境变量可能被读取，云平台密钥轮换不能拖

云平台 Railway 披露安全事件，未经授权的第三方可能访问了客户环境变量，其中包括部分已经解密的值，环境变量里可能保存 API 密钥、数据库密码和私有镜像仓库凭据，Railway 要求客户替换存储的秘密。公开披露使用的是 “可能访问”，并没有证明每个客户的每个变量都被读取，但只要存在解密后的敏感值，就应按潜在泄露来处理，而不是等攻击者实际调用接口后再行动。这类事件之所以麻烦，是因为环境变量经常被当成 “没有写进代码就安全” 的隐形配置。实际上，构建任务、部署日志、插件、运行时进程和协作者都可能接触它。一枚数据库密码或云访问令牌一旦泄露，攻击者不一定需要继续攻击 Railway，完全可以从外部直接调用目标服务。对于拥有长期权限、跨环境权限或生产写权限的凭据，风险更高。使用 Railway 的团队应按照平台通知确认受影响项目和时间范围，立即轮换 API 密钥、数据库密码、私有仓库令牌、云凭据及 Webhook 密钥，同时撤销旧会话和旧令牌。轮换后要检查调用日志、异常地域、陌生 User-Agent、权限变更和批量数据访问。不要只在 Railway 后台改一个变量，却忘记同步更新 CI/CD、生产服务和本地密钥管理。后续应把长期密钥改为短期令牌，采用最小权限、分环境凭据和集中密钥管理，并禁止把秘密打印到构建日志或错误页面。

GitLab 十多年遗留漏洞获最高评分，代码平台失守会牵连整条流水线

GitLab 为自托管 Community Edition 和 Enterprise Edition 发布紧急安全更新，修复一个公开信息显示存在了 12 年的严重漏洞 CVE-2026-110264。该漏洞的 CVSS 评分为 10.0，未登录攻击者可能在服务器上执行代码。GitLab 不是普通内容管理系统，它通常同时连接源代码、项目密钥、Runner、制品仓库和自动部署环境，因此一台实例被攻破，影响可能沿着开发链路继续扩大。公开摘要没有列出具体受影响版本，也没有说明当前已经确认的攻击数量，所以企业不应自行补写漏洞细节，更不能因为暂时没有告警就判断安全。真正需要关注的是攻击者可能拿到什么权限：能否读取项目变量，能否修改代码或流水线，能否访问生产环境，能否通过 Runner 继续执行任务。代码平台的安全事件往往不会立即表现为业务停机，恶意修改可能隐藏在正常提交和构建流程里。自托管 GitLab 管理员应立即对照官方安全公告确认版本并升级，优先处理公网可达实例和承载核心项目的实例。升级前后都要保留审计日志，检查陌生用户、SSH 密钥、Personal Access Token、Runner 注册信息、Webhook 和异常项目设置。若实例曾暴露在公网且无法确认是否被利用，应轮换项目变量、部署密钥和云访问凭据，对关键仓库做完整性比对，并审查近期流水线产物。临时不能升级时，应收紧网络访问、限制管理员入口和关闭不必要功能，但这些措施只能争取时间，不能替代官方修复。

ScarlettGroup 用倒计时施压，勒索事件核验和应急节奏都要更快

威胁监测记录显示，一个新出现的网络勒索团伙 ScarlettGroup 正在暗网泄露站点公布企业名称，并设置倒计时，威胁称将公开 allegedly 被窃取的数据，该组织大约从 2026 年 9 月开始出现在监测记录中。需要强调的是，公开点名和倒计时本身不能证明数据已经被盗，相关指控仍需要独立核验，但它反映了勒索团伙把舆论压力、客户通知和数据泄露威胁结合起来的操作方式对受害企业来说，最危险的反应是看到倒计时就急着删日志、联系对方付款，或者因为尚未确认数据真伪而什么都不做，勒索事件的处置要同时处理技术、法律、客户沟通和业务连续性。企业需要先保全证据，确认是否存在真实入侵、哪些系统和数据被访问、攻击者是否仍在网络内；不能只根据泄露站截图判断影响范围，也不能把未验证的样本直接当成全部数据。建议企业立即启动事件响应机制，隔离可疑终端和账号，保留磁盘、日志、邮件及网络流量证据，并从身份系统、备份系统和关键服务器开始排查持久化。同步核对泄露站点上的样本字段与内部数据，判断是否为旧数据、拼接数据或真实新鲜数据。对外沟通应由法务、管理层和安全团队统一口径，依法履行通知和报告义务；备份恢复前必须确认攻击者已被清除，避免把带有后门的环境重新上线。倒计时制造的是压力，企业更需要用证据和流程掌握节奏。

信息来源：人民网国家计算机网络应急技术处理协调中心国家信息安全漏洞库今日头条 360威胁情报中心中科汇能GT攻防实验室安全牛 E安全安全客 NOSEC安全讯息平台火绒安全亚信安全奇安信威胁情报中心 MACFEESy mantec白帽汇安全研究院安全帮卡巴斯基安全内参安全学习那些事安全圈黑客新闻蚁景网安实验室 IT之家IT资讯黑客新闻国外天际友盟