2026-11-01 01:28:52 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

DHS 超过 4.1 万名人员记录被泄露：通讯录数据也能描出敏感组织结构

汇能云安全

2026年10月30日 11:03
广东

去阅读

10月30日，星期五，您好！中科汇能与您分享信息安全快讯：

Cisco SD-WAN 零日被打穿：网络控制器成了攻击者的总开关

CyberSecurityNews 援引调查信息称，某攻击组织利用 CVE-2026-20127，在不需要密码的情况下绕过认证并取得管理权限。该漏洞的 CVSS 评分为 10.0，攻击者随后部署名为 KeyDrift 的恶意软件框架，用于长期驻留并窃取加密密钥。这件事的危险之处，不只是 “某台网络设备被入侵”，SD-WAN 控制器通常负责网络策略、站点互联、访问规则和设备编排。一旦控制面被拿下，攻击者可能获得改变路由、放宽访问限制、观察内部流量或进一步进入分支机构的机会。对于有多地办公、数据中心和云平台互联的企业，这类设备往往比普通服务器更值得优先保护。使用 Cisco SD-WAN 的企业，应立即确认部署型号、软件版本和厂商修复状态，暂时关闭不必要的公网管理入口，并把管理面限制在专用网络或跳板机后。日志排查不能只看失败登录，还要检查管理员账户新增、策略异常变更、配置导出、密钥读取和控制器向外建立的异常连接。若设备确实暴露或出现可疑行为，应按凭据泄露事件处理，轮换管理密码、API 令牌和相关加密密钥，再进行完整的入侵排查。不要只打补丁，不看已经发生过什么。

VMware ESXi 零日被用于隐蔽入侵：虚拟化平台不能只看虚拟机

很多企业做安全检查时，注意力集中在虚拟机里的操作系统，却容易忽略 ESXi 主机和虚拟化管理面。最新披露显示，WARP PANDA 利用 CVE-2026-41709 攻击 VMware ESXi，在针对美国机构和律所的行动中隐藏恶意活动，相关利用据称一直延续到 2026 年初。这个漏洞与攻击行动的结合，使虚拟化平台本身成为需要优先核查的对象。ESXi 处在多台业务服务器之下，掌握虚拟机、存储、网络和快照等关键资源，攻击者如果能在这个层面隐藏痕迹，影响就不再是一台主机中毒，而可能是日志可信度下降、虚拟机配置被修改、管理凭据被窃取，甚至为后续横向移动提供稳定跳板。对律所、金融、医疗、政府等数据密集型机构来说，虚拟化平台被打穿后，取证和恢复都会变得更困难。使用 VMware ESXi 的组织，应先核对官方公告、补丁和受影响版本，确认每一台主机的实际修复状态，而不是只检查模板机。管理接口应与办公网、互联网隔离，只允许必要的跳板机访问，并启用多因素认证和最小权限。排查时要把 ESXi 日志、vCenter 日志、身份系统日志和网络流量放在一起看，重点关注异常账户、模块加载、快照创建、虚拟机配置变化、日志缺口和不熟悉的外联地址。若发现主机有被利用迹象，应保留证据并同步检查其上所有虚拟机，不能因为虚拟机杀毒软件没有报警就判断环境安全。

FreePBX 服务器遭恶意软件盯上：重装机器也不等于清除风险

电话系统经常被当成普通基础设施，但 FreePBX 连接着 SIP 中继、分机、数据库和邮件配置，一旦账号泄露，损失可能直接体现为高额话费、电话诈骗和业务中断。CyberSecurityNews 报道，INJ3CTOR3 行动针对 FreePBX 服务器的恶意软件近期扩大了窃取范围，不仅获取 SIP 中继密码，还会搜集数据库凭据、管理后台密钥和邮件中继登录信息。真正需要警惕的是凭据的 “持久性”，服务器被重装后，恶意程序可能消失，但已经被拿走的 SIP 密码、数据库密码和邮件账号仍然有效。攻击者可以从另一台设备继续发起外呼、登录管理界面，或者把 FreePBX 当作进入企业内部的跳板，因此，单纯恢复系统、重新安装组件，只能解决一部分问题，不能替代凭据处置和业务审计。相关单位应先确认 FreePBX 版本、管理接口暴露情况和补丁状态，隔离可疑主机并保留镜像、日志和配置文件。凭据轮换必须从可信设备完成，范围至少包括 SIP 中继、分机、数据库、管理后台、邮件中继和 API 密钥；如果这些凭据曾在其他系统复用，也要一并更换。运营人员还应检查近期呼叫详单、异常国际外呼、短时间大量拨号、管理员登录、配置导出和邮件转发规则。对 SIP 中继设置国家或地区限制、并发限制和费用告警，可以降低凭据被盗后的直接损失。重装只是恢复动作，确认凭据不再可用、业务没有持续异常，才算处置完成。

319 款 Chrome 扩展被指长期劫持搜索：小工具也可能是数据流量入口

一项调查发现，319 款 Chrome 扩展与搜索劫持活动有关，影响规模约为 1340 万用户，相关扩展曾以 PDF 转换、查找工具、安全搜索和 AI 搜索助手等名义分发。它们会把用户的搜索请求先转到运营者控制的服务器，再导向 Yahoo 或 Bing，从中获取引流收益。表面看，这类行为可能不像勒索或数据泄露那样剧烈，但它改变了用户看到的内容，也让企业失去对浏览流量的控制，搜索劫持的风险不只在广告收入，浏览器扩展通常拥有读取网页、修改页面、访问标签页或拦截请求的权限。一旦扩展运营者改变代码或服务器策略，原本的引流行为可能进一步演变为钓鱼页面替换、敏感搜索词收集、企业内部网址暴露或恶意软件下载。对于办公终端数量较大的企业，扩展带来的风险还可能绕过传统软件安装审批，因为员工往往把浏览器扩展当作 “轻量工具”。企业应建立浏览器扩展清单，记录名称、发布者、版本、权限和安装来源，删除长期无人维护或与业务无关的扩展。浏览器策略应限制扩展安装，优先使用允许列表，并定期核对扩展是否发生权限、开发者或更新内容变化。安全团队可以从代理、DNS 和终端遥测中检查异常搜索跳转、扩展访问可疑域名和新出现的浏览器进程。个人用户也不要只看扩展评分，安装前要核对开发者、更新日期和权限范围。已经安装相关扩展的设备，应卸载后清理浏览器数据，并对重要账号重新检查登录状态和安全设置。

Android 零点击短信可让手机失去通话能力：不能修复也要降低暴露面

研究人员公开了一种被称为 “SMS of Death” 的 Android 漏洞。攻击者只需发送一条构造异常的短信，就可能导致电话服务崩溃、正在进行的通话中断，严重时设备每次重启后仍无法恢复正常通话。Google 将该报告标记为 “Won't Fix”，这意味着用户不能简单期待系统更新在短期内解决所有设备上的零点击短信可让手机失去通话能力：不能修复也要降低暴露面。研究人员公开了一种被称为 “SMS of Death” 的 Android 漏洞。攻击者只需发送一条构造异常的短信，就可能导致电话服务崩溃、正在进行的通话中断，严重时设备每次重启后仍无法恢复正常通话。Google 将该报告标记为 “Won't Fix”，这意味着用户不能简单期待系统更新在短期内解决所有设备上的问题。它与常见的短信诈骗不同。用户不需要点击链接，也不需要安装应用，攻击面直接落在消息处理和电话服务上。对于依靠手机接收验证码、处理紧急联络或开展外勤工作的人员，通话能力被持续破坏会带来现实的业务影响。虽然现有信息没有证明该问题已经形成大规模攻击，但零点击和持续失效的组合，足以让企业把它纳入移动终端风险评估。组织应先盘点员工使用的 Android 型号、系统版本、厂商补丁状态和短信应用，确认厂商是否提供了针对具体设备的修复或缓解措施。对高价值账号和关键岗位，可以优先配置经过验证的备用通信方式，不要把短信作为唯一的身份恢复渠道。移动设备管理策略应限制未知来源应用，启用运营商和终端侧的垃圾短信过滤，并关注短时间内大量异常短信、电话服务崩溃和设备反复重启等信号。收到可疑短信时不要转发或反复打开，保留必要证据后联系 IT 或厂商支持。对于无法修复的老旧设备，应评估更换，而不是长期把它留在关键业务链路上。

Android 银行木马窃取 760 万条短信：验证码防线正在被直接拆掉

一场针对印度用户的 Android 恶意软件活动，至少感染了 17960 部设备，并截获超过 760 万条短信。攻击者冒充 11 家银行和两个政府机构，通过假冒银行电话、钓鱼网站和恶意应用诱导用户安装程序，同时窃取金融信息，部分样本还具备加密货币挖矿能力。这类事件把 “手机中毒” 和 “账户被盗” 直接连在了一起。短信本身不是资金，但它经常承载登录验证码、交易提醒、找回密码和风控通知。恶意应用一旦获得短信、辅助功能、通知或屏幕读取权限，攻击者就可能在用户不知情的情况下截获验证码，配合钓鱼页面窃取账号密码，或者在受害者看到提醒前完成操作。即使活动主要针对印度银行，攻击链对其他地区同样具有参考价值，因为冒充机构、诱导侧载和滥用短信权限是跨地区通用的手法。企业和个人应只通过官方应用商店、银行官网或已验证的企业分发渠道安装应用，拒绝通过陌生电话、聊天消息和网页下载所谓 “安全组件”。手机出现异常耗电、流量增加、无故弹窗、短信被标记为已读或出现陌生辅助功能服务时，应立即断开高风险操作并进行检查。银行和支付平台不应只依赖短信验证码，可逐步采用设备绑定、风险交易确认、硬件密钥或通行密钥。已经安装可疑应用的设备，不要在上面继续登录银行和邮箱，先隔离设备、修改关键账号密码、撤销会话并联系金融机构核查交易记录。

Linux 内核漏洞被 AI 研究模型写出可用利用代码：补丁管理要前移

Anthropic 披露，一款尚未发布的 Claude 研究模型写出了针对 Linux 内核漏洞的有效利用程序。该漏洞编号为 CVE-2026-98432，摘要称远程攻击者无需登录和用户操作即可执行 root 权限命令；相关漏洞已经在上游得到修复。这里需要准确区分两件事：报道描述的是 AI 辅助研究和漏洞利用能力，不能直接等同于已出现大规模现实攻击，但它说明高危漏洞从公开细节走向可利用代码的时间可能进一步缩短。Linux 服务器、云主机、容器节点和网络设备都可能受到内核漏洞影响。传统补丁流程往往等厂商公告、安排测试、再分批上线，这在普通漏洞上或许可行，但如果漏洞具备远程触发、无需认证和 root 级影响，拖延本身就会扩大暴露窗口。尤其是互联网边界服务器和多租户平台，不能只看应用层有没有 WAF，还要确认宿主机内核是否已修复。运维团队应先核对官方内核公告、发行版修复包和实际运行版本，确认 “已安装补丁” 与 “已重启加载新内核” 不是一回事。对不能立即升级的系统，应限制公网入口、关闭不必要服务和端口，并通过主机防护、网络隔离和异常进程监控降低风险。排查重点包括异常 root 进程、可疑内核模块、反常系统调用、权限提升痕迹和出站连接。由于报道中的细节来自研究披露，企业不要自行依据媒体标题判断是否已被攻击，而应把它作为加速补丁、缩短暴露时间和强化内核级监测的信号。

Microsoft 提醒 Entra ID 迁移通行密钥：短信验证退场不能等到最后一天

微软再次提醒 Entra ID 管理员，短信和语音身份验证将从 2027 年 2 月 1 日起开始退役，建议组织提前迁移到通行密钥等更抗钓鱼的认证方式。此次调整覆盖全球环境和政府社区云环境，微软相关通知编号为 MC1528000。它不是一起已经发生的入侵事件，但直接关系到企业身份安全和登录连续性，尤其是拥有大量远程办公用户的组织。短信和语音验证的问题在于，它们容易受到钓鱼、号码转移、社会工程和通信链路风险影响。攻击者不一定需要攻破 Entra ID 本身，只要诱导用户在假页面输入密码和验证码，或控制恢复流程，就可能完成账户接管。另一方面，如果企业一直把短信作为唯一的多因素方式，等到服务退役后再调整，可能同时遇到大量用户无法登录、管理员无法恢复和业务系统中断。管理员应立即盘点租户中仍依赖短信或语音验证的用户、条件访问策略、管理员账户和服务恢复流程，分阶段启用通行密钥、FIDO2 安全密钥或其他经过评估的抗钓鱼认证方式。高权限账号应优先迁移，并设置至少两种可用的恢复路径，避免把所有希望押在一个管理员或一个手机号上。迁移过程中要做小范围试点，验证 Windows、移动端、VPN、邮箱和第三方 SaaS 的兼容性，同时保留审计日志和回退方案。对长期不使用、共享或异常登录的账户，应同步清理和收紧权限。

Cisco Secure Firewall 零日已遭在野利用：VPN 设备重启也可能造成业务中断

Cisco 发布安全更新，修复 Secure Firewall ASA 和 FTD 软件中的 CVE-2026-76418。根据披露信息，未认证的远程攻击者可以利用该漏洞强制设备重启，造成拒绝服务，直接影响 SSL VPN 和远程办公连接；该漏洞 CVSS 评分为 8.6，并已出现野外利用迹象。它未必让攻击者直接拿到服务器权限，但对边界设备来说，持续重启本身就足以带来业务风险，防火墙和 VPN 网关通常处在企业最外层，既承载远程访问，又承担流量策略和身份联动。设备被反复触发重启后，员工可能无法登录，关键业务连接中断，安全团队也可能在忙于恢复服务时忽略攻击源。如果企业把管理接口、VPN 入口和内部认证系统放在同一条脆弱链路上，短暂的拒绝服务还可能引发应急绕行、临时放宽策略等二次风险。使用 Cisco Secure Firewall ASA 或 FTD 的单位，应以厂商公告为准核对受影响版本并尽快安装修复，确认设备已运行修复后的版本。补丁上线前，管理面和 VPN 入口应尽量限制来源，检查异常重启、崩溃、未预期配置变化和重复触发请求。不要只依赖设备本地日志，应把日志转发到外部、具备防篡改能力的集中平台，并准备经过验证的远程办公替代方案。若发现设备遭到利用，除了恢复服务，还要检查 VPN 账号、令牌、证书和关联终端，确认攻击者没有利用边界设备故障掩护进一步的凭据窃取。

DHS 超过 4.1 万名人员记录被泄露：通讯录数据也能描出敏感组织结构

CyberSecurityNews 报道，一份涉及美国国土安全部员工和承包商的资料被泄露，覆盖人数超过 41000 人，内容包括联系方式、工作分工以及与敏感行动相关的链接，其中涉及卧底执法人员的信息风险尤其值得关注。现有摘要没有给出完整的入侵路径和全部数据真实性核验结论，因此不应把未确认细节继续扩写，但公开报道本身已经说明，人员和组织信息泄露不是普通的通讯录问题。攻击者拿到姓名、联系方式、岗位和团队关系后，可以进一步开展定向钓鱼、冒充同事、供应商诈骗和社会工程。对于执法、政府、医疗、金融等机构，人员数据还可能帮助外部人员判断谁拥有审批权限、谁负责系统运维、哪些部门之间存在联动。即使没有直接泄露密码，组织结构被拼接出来后，后续攻击的可信度也会明显提高。涉及公共部门或敏感业务的机构，应先确认泄露资料是否包含员工目录、内部邮箱、岗位关系、外部联系方式和行动信息，并区分已证实数据与攻击者声称的数据。对受影响人员，应强化定向钓鱼提醒，检查邮箱转发规则、异常登录、身份验证变更和近期可疑联系；必要时更换高风险联系方式、撤销旧会话并调整暴露在公开目录中的信息。安全团队还应把泄露数据作为威胁情报输入，主动搜索冒用员工身份的域名、账号和社交工程话术。对外公告要以调查结论为依据，既不能隐瞒已确认影响，也不要把未经证实的泄露规模当成最终事实。

信息来源：人民网国家计算机网络应急技术处理协调中心国家信息安全漏洞库今日头条 360威胁情报中心中科汇能GT攻防实验室安全牛 E安全安全客 NOSEC安全讯息平台火绒安全亚信安全奇安信威胁情报中心 MACFEESy mantec白帽汇安全研究院安全帮卡巴斯基安全内参安全学习那些事安全圈黑客新闻蚁景网安实验室 IT之家IT资讯黑客新闻国外天际友盟