2026-11-01 01:42:57 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

安全419｜一周国际网安资讯：OVHcloud CLI供应链遭投毒，Lazarus率先启用后量子加密

原创

安全419
安全419

安全419

2026年10月28日 17:30
四川

去阅读

一周热点导读

本周（2026年10月21日至10月27日）全球网络安全领域攻防两端都出现了标志性事件。攻击侧，欧洲最大云服务商OVHcloud官方CLI工具遭遇供应链投毒，五个已发布版本被整体替换植入凭据窃取器； Lazarus集团被卡巴斯基披露成为首个在实战中使用NIST后量子加密标准的攻击组织；SafePay勒索组织被确认自2024年以来已侵害全球600余家关键基础设施机构。防御与产业侧，SentinelOne发布自主安全运营中心Singularity ASOC，CrowdStrike与NVIDIA将AI代理安全从软件扩展到芯片层，以色列SecOps初创Mave完成3400万美元融资。漏洞侧，CISA KEV目录单周新增多个在野利用漏洞，覆盖Plex Media Server（Plex2Shell）、Nextcloud Collabora、Arista VeloCloud等；印度CA机构eMudhra八个中间证书私钥被证明可推算恢复。以下为安全419整理的重点资讯。

一、漏洞预警

CISA警告Plex2Shell攻击链

CISA于10月21日发出警告，攻击者正在积极利用Plex Media Server中的四个漏洞，这些漏洞被统称为Plex2Shell。攻击者将SSRF、URL注入和任意文件写入等漏洞串联利用，可获取Plex服务器所有者的管理员令牌，并以提升后的权限执行任意代码，漏洞链整体严重程度评分高达9.8。安全研究显示，攻击者在攻破服务器后已部署加密货币矿工和代理恶意软件，表明攻击者将其视为可长期牟利的僵尸主机。受影响版本为1.43.3.10861之前的版本，Plex已发布修复补丁。

CISA勒令联邦机构修复遭利用的Siemens与SiteGuard漏洞

CISA于10月21日将多个漏洞加入已知被利用漏洞目录，除Plex2Shell四个漏洞外，还包括影响Siemens工业产品和日本IPUS株式会社SiteGuard网站防护产品的漏洞。SiteGuard是日本市场广泛部署的网站应用防火墙（WAF）产品，主要用于防御Web攻击和防篡改；Siemens漏洞则涉及工业控制系统相关组件。CISA依据BOD 26-04绑定操作指令，要求联邦民事行政部门在指定截止日期前完成修复。

eMudhra八个中间CA证书私钥可被推算

安全研究机构Kudelski Security于10月21日披露，因密钥生成过程中的严重缺陷，印度证书颁发机构eMudhra的八个中间证书颁发机构（CA）证书——包括六个TLS证书和两个代码签名证书——的私钥可以被第三方轻易推算恢复，漏洞编号为CVE-2026-111943。研究人员发现，这些中间CA证书使用的是P-384椭圆曲线密钥，但在密钥生成时错误地只依赖了八个有效位的随机性，导致私钥空间急剧缩小、可被暴力推算。如果攻击者成功恢复私钥，即可伪造任意网站的TLS证书，或为恶意软件签发看似合法的代码签名证书，从而完全破坏浏览器和操作系统的信任链。eMudhra已于10月18日吊销全部八个中间证书，苹果于10月19日在信任库中封禁，Mozilla和Google也跟进处理，Chrome等浏览器通过CRLSets机制屏蔽受影响证书。

攻击者利用Nextcloud漏洞植入Web Shell并搜寻密码库

CISA于10月23日将Nextcloud生态中Collabora Online组件的漏洞CVE-2026-110447加入KEV目录，确认该漏洞正在被野外利用。攻击者利用该漏洞在Nextcloud服务器上植入Web Shell后门，并在受害环境中搜寻密码管理器和加密货币钱包文件。由于Nextcloud通常部署在企业内网并连接云存储，一旦被植入Web Shell，攻击者可长期驻留、窃取文件并横向移动。CISA要求联邦机构在10月26日前完成修复。

VeloCloud存在9.9分SQL注入漏洞

CISA于10月23日将Arista Networks旗下VeloCloud Orchestrator中的SQL注入漏洞CVE-2026-114625加入KEV目录，该漏洞严重程度评分高达9.9分，确认已在野外被利用。SQL注入漏洞允许未认证攻击者操纵数据库查询，进而可能读取敏感配置、篡改网络策略或获取管理员权限。CISA要求联邦机构在10月26日前完成修复。部署VeloCloud的组织应立即更新Orchestrator，并审查近期管理日志和策略变更记录，确认是否存在未授权的配置篡改。

PHP两个严重漏洞于10月22日公开披露

澳大利亚网络安全中心（ACSC）于10月22日就PHP的两个严重漏洞公开发布安全预警，中国国家互联网应急中心（CNCERT）也在同日发布了针对PHP远程代码执行漏洞的分析及修复建议。这两个漏洞均涉及PHP核心组件，可能导致远程代码执行或拒绝服务，影响面覆盖全球数以百万计的Web服务器。安全专家建议所有运行PHP的组织立即确认版本是否受影响，并在测试环境中先行验证后尽快升级；对于无法立即升级的服务器，应至少在Web应用防火墙层部署临时防护规则，并密切监控异常的命令执行和文件写入行为。

二、安全事件与攻击

OVHcloud CLI遭供应链攻击

欧洲最大云服务商OVHcloud于10月21日披露一起严重的供应链攻击事件：攻击者劫持了一名贡献者的GitHub账户，于10月19日将该公司官方命令行工具（OVHcloud CLI）五个已发布版本（v0.11.0至v0.15.0）的下载归档文件整体替换，植入凭据窃取恶意软件（secret stealer），涉及macOS、Linux和Windows的x86\_64及arm64平台共六个文件。攻击窗口约94分钟，最终被一名客户意外发现——该客户在下载后执行构建时触发异常，比OVHcloud自己的检测更早。安全厂商Safeguard分析认为攻击与代号GlassWorm的恶意活动存在关联。OVHcloud随后发布修复版v0.16.0，并建议所有曾在攻击窗口内下载CLI的用户立即更换本机存储的所有API密钥和云凭据。该事件再次证明，开源工具链的供应链攻击已成为2026年最危险的入侵入口之一——攻击者不再直接攻击目标，而是污染开发者和运维人员每天都在使用的工具，实现\"一次投毒、批量感染\"的效果。企业应建立软件供应链完整性校验机制，对第三方工具和依赖实施哈希校验和来源验证。

Quest Diagnostics确认Quanum LSM系统遭未授权访问

美国第二大临床诊断公司Quest Diagnostics于10月22日确认，其Quanum实验室管理系统（LSM）于10月21日被发现遭到未授权访问，公司随即启动事件响应流程并将该系统下线隔离。据报道，受影响患者数量可能高达约1190万。Quest Diagnostics表示，客户服务仍正常运行，但Quanum LSM部分功能受限，目标于10月23日恢复全面服务。公司正在与外部取证专家和执法部门合作调查入侵范围、持续时间及攻击者初始入口，但尚未披露具体威胁行为者身份和攻击类型。这是继巴西爱因斯坦医院、日本福田医院之后，本周全球医疗健康行业第三起重大数据事件。医疗数据因其敏感性和高黑市价值，已成为2026年攻击者的头号目标，医疗机构需要把患者数据保护提升到与生命安全同等的优先级。

日本游戏巨头Capcom确认数据泄露

日本知名游戏开发商和发行商Capcom于10月22日确认发生数据泄露，超过1170万用户账户的个人信息受到影响，包括电子邮件地址、IP地址、出生日期等数据。Capcom表示，信用卡信息未受影响，但强烈建议用户警惕钓鱼邮件，并为Capcom ID启用多因素认证、更换使用相同密码的其他账户密码。这是继此前Capcom遭遇勒索软件攻击之后，该公司面临的又一起大规模用户数据事件。游戏行业用户数据在暗网市场中交易价值极高——玩家账户往往绑定支付方式、Steam/主机平台和大量社交关系，且玩家群体对安全事件响应速度的敏感性相对较低，是攻击者眼中的\"低风险高收益\"目标。

Everest勒索组织宣称攻击普华永道

勒索监控机构于10月22日记录到，Everest勒索软件组织在其泄露网站上列出全球四大会计师事务所之一普华永道，宣称窃取了590GB数据、共108,426份文件，据称来自PwC的内部人力资源和学习平台。勒索组织的单方声明并不等同于已确认的数据泄露，目前普华永道尚未公开确认该事件，安全社区提醒应等待官方回应，避免被勒索组织的宣传策略误导。普华永道作为全球顶级专业服务机构，服务大量《财富》500强企业和各国政府客户，其内部HR数据一旦确认真实泄露，将涉及员工薪酬、绩效、内部通讯等高度敏感信息，并可能成为针对PwC客户企业的二次钓鱼素材。

Rhysida勒索组织宣称攻击美国桑德斯律师事务所

勒索追踪平台HookPhish于10月23日记录到，勒索软件组织Rhysida将美国桑德斯律师事务所列入受害者名单。事件记录显示，该组织于10月23日20:17被公开点名。律师事务所因掌握大量客户机密信息、保密义务极强，被勒索后谈判筹码薄弱，往往面临公开客户隐私与支付赎金的两难选择。安全专家建议法律服务行业强化端点检测、加密敏感卷宗，并制定数据泄露事件下的客户通知预案。

Qilin勒索组织宣称攻击孟加拉Labaid癌症医院

勒索追踪平台HookPhish于10月23日记录到，勒索软件组织Qilin将孟加拉国Labaid癌症医院和超级专科中心列入受害者名单，攻击发生于10月23日16:26。本周已有巴西爱因斯坦医院、Quest Diagnostics、日本福田医院等多起医疗数据事件，孟加拉Labaid医院再次印证医疗行业已成为勒索攻击的\"全球重灾区\"，且不再局限于欧美，正在向亚太、拉美、南亚等地区扩散。

卡巴斯基披露Lazarus\"FlashHole行动\"

卡巴斯基全球研究与分析团队（GReAT）于10月21日发布Operation FlashHole（闪洞行动）研究报告，披露Lazarus集团在最新网络间谍活动中，使用了NIST标准化的后量子加密机制ML-KEM-1024，成为已知首个在实战攻击中部署后量子密码学的威胁行为者。Lazarus将ML-KEM-1024集成进升级版LPEClient恶意软件，用于与攻击服务器建立加密通信信道后再下载并直接在内存中运行载荷，以规避企业流量检测和中间人审查；恶意软件还通过修改内存保护属性等手段绕过安全监控。此外，该行动还利用AI技术辅助攻击。卡巴斯基指出，后量子加密被攻击者率先采用具有标志性意义——它使安全团队无法通过解密C2流量来获取情报，传统流量检测和SSL解密防线面临失效风险。安全专家建议企业加强对内存型恶意软件和加密隧道的检测能力，关注端点行为分析而非单纯依赖流量解密，同时认识到后量子时代的安全挑战已经提前到来。

三、产业与投融资

以色列安全运营初创公司Mave融资3400万美元

以色列安全运营初创公司Mave于10月22日宣布完成3400万美元融资，其中包括2800万美元A轮和此前未披露的600万美元种子轮。Mave的产品定位是\"智能体化SecOps平台\"：利用AI代理在企业现有系统中直接调查安全告警，而无需先把安全数据集中迁移到另一个数据湖，从而大幅缩短事件调查时间，也避免了传统SIEM/SOAR方案的数据迁移成本和延迟问题。公司宣称过去一年ARR增长率超过400%。

SentinelOne发布Singularity ASOC

SentinelOne于10月21日在OneCon 2026全球客户大会上发布Singularity ASOC和Singularity ADR（代理检测响应）。Singularity ASOC定位为自主安全运营中心，通过AI代理自动执行告警分诊、威胁调查和响应处置，让人类分析师专注于更高价值的决策；ADR则专门检测和阻断AI代理的恶意行为，覆盖AI代理滥用、越权访问和数据外渗场景。该发布标志着传统EDR厂商正式全面进军AI代理安全赛道，与CrowdStrike、微软、Palo Alto Networks的同类产品形成直接竞争。

CrowdStrike与NVIDIA扩大合作

CrowdStrike与NVIDIA于10月21日宣布扩大合作，将AI原生安全能力从软件层扩展到芯片层。双方将联合把CrowdStrike的AI代理安全能力下沉到NVIDIA的GPU和AI计算平台，使安全检测能够直接嵌入AI推理和训练的基础设施中，为运行在NVIDIA平台上的AI代理提供硬件层面的运行时保护。此前，双方已合作推出CrowdStrike Frontier Models（面向网络安全的专业模型）和SafeMind（首个面向防御者的智能体系统）。此次\"软件到芯片\"的扩展意味着，AI代理在执行模型推理时即可获得安全遥测和行为管控，而无需依赖单独的软件代理，检测延迟和性能开销显著降低。这一合作反映了行业共识：随着AI代理大规模接入企业系统和云资源，安全能力必须与AI算力基础设施深度集成，安全硬件化正在成为AI安全的新方向。

Kroll发布《2026数据泄露展望》

全球风险与咨询公司Kroll于10月22日发布《2026数据泄露展望》报告，基于2025年6月至2026年6月期间Kroll处理的事件数据，发现69%的数据泄露受害者是因第三方的泄露而受影响；在这些受害者中，79%的泄露源头来自科技行业，远高于金融（9%）、保险（6%）和医疗（5%）。报告指出，供应链信任关系已成为攻击者的核心攻击面——攻击者通过攻破SaaS服务商、IT外包商和云服务商的薄弱环节，一次性获取多家最终客户的敏感数据，实现\"攻破一点、席卷一片\"的效果。Kroll建议企业将第三方风险纳入董事会级治理框架，对关键供应商实施持续安全监控、合同层面的安全义务条款和数据泄露应急演练。

WTW发布全球网络风险调查

Willis Towers Watson（WTW）于10月21日发布的全球网络风险调查显示，70%的企业已将网络风险正式纳入董事会层面的风险治理框架，较往年显著提升；但只有55%的受访者认为自己对网络风险有充分了解，仅46%认为董事会理解网络安全投入的实际效果，反映出治理架构与认知深度之间存在明显落差。调查还显示，48%的企业已购买网络保险，另有19%计划在未来两年内投保；其中71%购买的是独立网络保险保单。在风险来源方面，钓鱼和社会工程攻击仍居全球网络风险首位。WTW指出，网络风险已从IT技术问题上升为董事会级治理议题，但多数董事会仍缺乏对安全投入ROI和安全态势的量化理解。

NAIC报告：大型企业网络保险索赔金额翻倍

美国全国保险监督官协会（NAIC）10月23日发布数据显示，2025年营收超过10亿美元的大型企业网络保险平均索赔金额达到440万美元，是2024年（220万美元）的两倍，自2021年以来累计增长586%。与此同时，大型企业提交的索赔案件数量反而下降，呈现\"案件更少但单案金额更高\"的趋势。NAIC将索赔金额的飙升归因于业务中断损失持续扩大，以及数据泄露和隐私相关诉讼成本不断上升。报告建议大型企业将网络保险纳入整体风险转移策略，同时通过加固关键系统、完善事件响应计划来压缩单案损失。对国内企业而言，这一趋势也提示，网络保险的定价机制正越来越依赖企业的实际安全成熟度，安全投入将直接转化为保费成本优势。

本周安全建议

1. 供应链治理：OVHcloud CLI投毒事件警示，企业应对所有第三方工具和依赖实施哈希校验、来源验证和软件物料清单（SBOM）管理，对开发与运维工具链设置独立的完整性监控。

2. 后量子威胁准备：Lazarus率先使用ML-KEM-1024后量子加密，企业应评估现有流量解密和检测体系对加密C2的盲区，转向端点行为分析和内存检测能力建设。

3. 医疗数据保护：Quest、Capcom等多起数据泄露表明，医疗健康数据是攻击者头号目标，医疗机构应强化离线备份、网络分段和患者数据加密，建立\"被加密也能恢复\"的底线能力。

4. 远程访问与基础组件修复：CISA KEV本周新增Plex2Shell、Collabora、VeloCloud等漏洞，优先修复互联网暴露的媒体服务器、云盘和SD-WAN编排器，并按BOD 26-04节奏排期。

5. CA信任链核查：eMudhra中间证书事件后，企业应核查自身证书签发链是否受受影响CA影响，并关注浏览器信任库更新，及时轮换受影响证书。

6. 第三方风险：Kroll报告显示69%泄露源自第三方，企业应将供应商安全纳入董事会级治理，对关键供应商实施持续监控和合同级安全义务约束。

免责声明

本周报内容由安全419编辑部基于公开资讯整理汇总，旨在为网络安全从业者提供参考信息，不代表安全419的立场和观点，我们已尽力确保信息的准确性和完整性，但不对信息的及时性、准确性、完整性做出保证，同时也不构成任何安全建议、法律意见或投资推荐。依据以上内容做出任何决策前，都应独立进行进一步核实和研究，对于因使用以上内容而导致的任何损失或损害，安全419概不负责。

END