赛博安全狗：Wasmtime沙箱逃逸漏洞CVE-2026-115893获评9.9分，多分支版本已修复 (10.24)

赛博安全狗
赛博安全狗

赛博看门狗

2026年10月30日 12:01
浙江

去阅读

[ ROOT @ WATCHDOG ]

全网高价值安全威胁速递。包含高危漏洞、数据泄露与行业重点动态。

2026-10-24 · 12 条

今日重点

1.CyberProof剖析现代云威胁四大类型：身份泄露、供应链、原生工具滥用与备份攻击

2.Quest Diagnostics确认Quanum LSM系统遭入侵，患者记录被暴露

3.Wasmtime沙箱逃逸漏洞CVE-2026-115893获评9.9分，多分支版本已修复

【一】行业和安全动态

行业动态

CyberProof剖析现代云威胁四大类型：身份泄露、供应链、原生工具滥用与备份攻击

CyberProof在网络安全意识月系列第二篇文章中分析现代云威胁形态，指出云环境主要风险来自合法自动化与非人类身份，而非恶意可执行文件。文章归纳四大威胁类型：身份与凭据泄露、CI/CD与软件供应链泄露、云原生Living off the Land技术，以及针对备份与恢复基础设施的攻击。文章引用Veza 2026身份与访问报告称仅0.01%的非人类身份控制80%的云权限。供应链方面，tj-actions/changed-files事件导致23000多个仓库受影响，攻击者利用GitHub个人访问令牌篡改版本标签，在15至24小时窗口内泄露AWS密钥等凭据。文章还提及Volt Typhoon利用原生工具维持持久化的案例，并称勒索软件正系统性地瞄准备份基础设施。

来源：SecurityHub · 10-24 03:40（北京时间）

行业动态

微软Teams将于2026年11月初上线AI驱动情境感知钓鱼检测功能

微软宣布Teams将于2026年11月初开始启用AI驱动的钓鱼检测功能，用于识别消息中的恶意行为，该定向发布阶段预计11月中旬结束，功能可能于12月初至中旬全球正式可用。微软称此功能将利用对话上下文（不保留消息内容）识别钓鱼与社会工程等可疑行为，重点覆盖外部首次联系聊天等较高风险场景，无需IT管理员操作即可启用。微软强调该功能仅用于安全防护，不用于生产力、摘要、广告或用户监控等非安全用途，客户消息内容不会被保留用于模型训练。这是Teams系列安全改动的一部分，此前微软还宣布了管理员可通过Defender门户锁定外部用户、自动阻止外部机器人加入会议、模糊外部发送者的二维码等措施。

来源：BleepingComputer · 10-24 02:54（北京时间）

行业动态

Netskope报告：巴西64%的AI数据违规涉及受监管数据

据Netskope的Cloud and Threat Report 2026，用户向AI应用发送敏感信息的紧急事件数量在过去一年翻倍，平均每组织每月223起。就巴西而言，据同公司Threat Labs Report Brazil 2026，生成式AI应用中64%的数据策略违规涉及金融和个人信息等受监管数据，源代码占21%，密码和API密钥占9%，知识产权占7%。该数据使被称为'BYOAI'（自带AI）的行为成为治理讨论核心。Prestex首席合规官Elizabete Loz表示，挑战不在AI使用本身，而在使用方式，员工未经公司知情或监督采用AI工具可能暴露敏感信息。Prestex约一年前整合IT与合规部门共同制定AI使用流程，其内部创建的智能体LIO在六个月内无需人工干预解决了30%的客服工单。

来源：TI Inside · 10-24 05:34（北京时间）

行业动态

Dark Reading视频：联邦行动捣毁得州“笔记本电脑农场”

Dark Reading编辑在一段视频中讨论了此前未能覆盖的多条新闻，包括在“Lonestar正义行动”（Operation Lonestar Justice）中打击朝鲜在美国本土的基础设施，以及Staples的礼品卡相关事件，还提到联邦机构捕获得克萨斯州的“笔记本电脑农场”。视频内容属于编辑综述性讨论，未提供更多技术细节或行动结果的具体信息。

来源：Dark Reading · 10-23 04:33（北京时间）

行业动态

印度证书机构eMudhra宣布退出全球SSL/TLS证书业务

印度证书颁发机构（CA）eMudhra的董事会于周四决定退出其全球SSL/TLS证书业务。该决定在此前一名研究人员报告称恢复了其八张中级CA证书的私钥五天后作出。eMudhra表示，将为受影响的客户更换由合作伙伴提供的免费证书。此事件表明研究人员指称的中级CA私钥可被恢复的风险已经促使该机构彻底放弃相关业务，官方业务调整已在董事会层面确认。

来源：The Hacker News · 10-23 02:12（北京时间）

【二】数据泄露与隐私事件

数据泄露与隐私

Quest Diagnostics确认Quanum LSM系统遭入侵，患者记录被暴露

美国临床检验公司Quest Diagnostics披露，威胁行为者未经授权访问其Quanum LSM系统，导致患者记录暴露。公司于2026年10月21日得知此次入侵，随后启动事件响应流程以遏制活动、评估事件性质与范围并实施补救措施。Quanum LSM是供医生、医院人员和医疗办公室员工用于下达检验订单、接收和查询结果的在线平台。公司已向美国证券交易委员会披露并在网站发布警报，仍在调查受影响数据类型，外部专家协助调查且已通报执法部门。公司称事件未中断面向客户的运营，但Quanum LSM系统已暂停，建议客户使用纸质申请单或Quanum eLabs，Essential Insights和LabHQ等系统访问也被暂时暂停。截至发稿尚无威胁组织声称对此次攻击负责。

来源：BleepingComputer · 10-24 00:40（北京时间）

数据泄露与隐私

威胁行为者Domainstore泄露4.7万条针对波兰.pl域名的邮箱凭据

威胁情报监控发现，名为Domainstore的威胁行为者在cracked.st暗网论坛发布约47,000条针对波兰.pl域名的邮箱凭据数据集。该数据集被称为MailPass，可能来自RedLine、Lumma、StealC等信息窃取恶意软件，或大规模撞库攻击。泄漏信息通过Telegram机器人和支持频道推广，用于自动凭据检查服务。文章指出，此类地区性凭据泄露可被用于本地化钓鱼、鱼叉钓鱼、企业入侵和BEС攻击；若波兰企业员工复用企业邮箱密码，攻击者可直接获得企业网络入口。建议企业审计.pl企业邮箱是否出现在泄露数据中，部署抗钓鱼MFA并重置受影响账户密码。

来源：SecurityHub · 10-23 23:51（北京时间）

【三】焦点漏洞与攻击预警

漏洞与攻击

Wasmtime沙箱逃逸漏洞CVE-2026-115893获评9.9分，多分支版本已修复

WebAssembly运行时Wasmtime披露一个严重漏洞CVE-2026-115893，严重程度评级为9.9分（严重级）。在36.0.19、48.0.7和49.0.4之前的版本中，aarch64平台上的Cranelift编译器后端在编译目标数超过约256,000个的Wasm br\_table指令时，可能生成错误的条件分支目标，导致分支跳转到用户可控偏移处的任意其他代码，使用默认Cranelift后端的aarch64引擎上的恶意Wasm模块可借此逃逸沙箱。该问题已在36.0.19、48.0.7和49.0.4版本中修复。公告未提及该漏洞是否已被在野利用。

来源：cvefeed · 10-24 06:16（北京时间）

漏洞与攻击

Wasmtime修复Cranelift编译器静默溢出严重漏洞CVE-2026-115889

Wasmtime是WebAssembly运行时。据CVE-2026-115889披露，在36.0.19和43.0.0版本之前，Cranelift编译器后端对SSA值索引进行位打包时，在release构建中编译足够大或特制的含大量SSA值的Wasm函数时可能发生静默溢出。该溢出可导致Cranelift引用错误的IR值，造成任意错误编译、类型混淆及其他攻击者可控影响，可能在所有使用默认Cranelift后端的架构上逃逸Wasm沙箱。该问题已在36.0.19和43.0.0版本中修复。该漏洞严重程度评分为9.9，属严重级别。

来源：cvefeed · 10-24 06:16（北京时间）

漏洞与攻击

Laravel TokenGuard认证绕过漏洞CVE-2026-114509被评级为严重

Laravel内置的TokenGuard在配置为标准基于令牌的API守卫时，可能被绕过以在不知道用户有效API令牌的情况下认证为任意现有用户。在特定数据库配置（MySQL/MariaDB）下，攻击者可提交特制的非字符串凭据值，该值在认证查询中被错误处理，导致底层查询匹配到意外的用户记录而非认证失败。未认证攻击者可在受该守卫保护的任意路由上实现认证绕过和账户接管。该漏洞编号为CVE-2026-114509，被评级为critical，修复版本包括v12.68.0和v13.29.0。

来源：SecurityHub · 10-24 05:50（北京时间）

漏洞与攻击

eMudhra中间CA证书被攻破，Electron多版本发布屏蔽更新

由于一批eMudhra中间证书被攻破并正被浏览器及其他TLS客户端屏蔽，Electron发布更新，在Chromium网络栈及Node.js的tls、https和fetch中加入了同样的屏蔽。公告指出，在受影响早期版本上，持有经由这些中间证书签发证书并能拦截网络流量的攻击者可向应用冒充TLS服务器。仅当应用经攻击者可拦截的网络发起TLS连接时才受影响，不联网的应用不受影响。Go（CVE-2026-111943）和Firefox（CVE-2026-113470）等其他软件也已发布相同缓解措施。该漏洞编号CVE-2026-115570，严重性为高危，CVSS评分7.4。应用侧无临时解决办法，必须更新至已修复版本45.0.0-beta.6、44.9.1、43.8.1或42.11.16。

来源：SecurityHub · 10-24 04:53（北京时间）

漏洞与攻击

亚马逊Multi Model Server存严重漏洞且已停止维护，官方建议弃用

CVE-2026-115812于2026年10月23日发布，涉及亚马逊云服务Multi Model Server 1.1.11及更早版本。该漏洞为模型归档解压过程中的相对路径遍历问题，远程攻击者或可通过构造特制的模型归档执行任意代码，严重级别为危急，评分9.8。由于Multi Model Server已停止生命周期维护且没有可用修复版本，官方建议用户停止使用该产品，并迁移至受支持的模型服务方案。

来源：cvefeed · 10-24 02:17（北京时间）

• -   -

- 极客视角 · 洞悉暗流 -