2026-11-01 02:06:23 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

微软紧急调整 eMudhra 证书信任：证书链出问题，终端不能只查杀毒库

汇能云安全

2026年10月29日 10:29
广东

去阅读

10月29日，星期四，您好！中科汇能与您分享信息安全快讯：

TeamViewer 修复高危漏洞：远程运维入口不能只盯登录密码

据 10 月 28 日报道，TeamViewer 已为三项高危漏洞发布安全更新，涉及 TeamViewer Remote、Tensor 和 ONE 使用的客户端组件。相关缺陷可能导致恶意代码执行、远程桌面客户端崩溃，或在苹果电脑上取得系统最高权限，具体后果取决于漏洞与使用场景。报道提到的最高严重性评分为 8.8，但不能据此认定所有安装该软件的设备都能被直接远程接管，这类工具经常连接员工电脑、服务器和外包运维人员，客户端一旦失守，可能把正常维护通道变成进一步入侵的跳板。只要求账号启用多因素认证，并不能替代客户端补丁。原有摘要没有列出完整受影响版本和全部利用前提，企业应以厂商安全公告逐项比对，避免拿一个版本号覆盖所有平台。建议立即清点各部门和供应商使用的客户端，将更新纳入统一分发，并确认升级实际完成。暂时无法升级的终端，应暂停不必要的远程会话，限制可连接对象及操作权限。同步检查近期异常会话、陌生连接对象和权限变更；如发现可疑活动，应先隔离终端、保全日志，再排查远程会话期间接触过的账号与文件。

Chrome 一次修复 52 项漏洞：浏览器更新后还要真正重启

据 10 月 28 日报道，谷歌发布 Chrome 稳定版安全更新，共修复 52 项漏洞，其中四项被列为严重级别，涉及文件系统、文件接口、图形处理和页面布局等组件。报道列出的更新版本为 Windows 和 Mac 平台 156.0.8078.73 或 156.0.8078.74，Linux 平台为 156.0.8078.73。更新将分批推送，尚未收到自动更新提示，不代表设备已经没有风险。浏览器每天接触外部网页，也是企业邮箱、在线文档和业务系统的共同入口。漏洞出现在底层处理组件时，风险未必表现为明显的异常弹窗。另一方面，严重级别不等于已经发生在野利用，现有摘要也没有证实这批漏洞已被用于实际攻击，不能把补丁公告写成正在爆发的入侵事件。建议用户进入浏览器的关于页面检查版本，完成更新后重新启动浏览器，避免安装包已下载但旧进程仍在运行。企业应通过终端管理平台核查升级覆盖率，对长期不关机、共享工位和远程办公设备单独追踪。使用受管浏览器或其他发行版本的单位，应核对对应厂商公告，不要直接套用 Chrome 版本号。对可疑网页下载、扩展安装和异常子进程，也应保留必要的告警与审计。

Veeam 修补关键授权绕过：备份平台也要按核心系统防守

据 10 月 28 日报道，Veeam 为 Backup & Replication 发布安全修复，处理一项涉及持续数据保护协调服务的关键授权绕过漏洞。报道将其标识为 CVE-2026-108142，严重性评分为 9.1，并指出 Windows 部署和 Veeam 软件设备均可能受到影响。该缺陷允许未登录的攻击者绕过相关服务的访问检查，但摘要没有给出全部受影响版本，也不能直接推导为攻击者已经能够加密或删除所有备份。备份系统的特殊之处，在于它承担生产环境出事后的恢复任务，如果备份控制面缺乏隔离，即使业务服务器自身已有防护，恢复流程仍可能遭到干扰。授权检查失效也意味着，不能仅凭管理账号设置了复杂密码，就判断该服务足够安全。建议管理员依据厂商公告核对部署形态、版本和修复要求，优先安排补丁，并验证相关服务确实运行在修复后的状态。补丁落地前，应将服务端口限制在必要的管理与业务网络，清理无关访问路径。同步审查近期管理操作、备份策略调整和异常连接，抽查恢复任务是否可用。离线或不可变备份应与日常管理权限隔离，避免生产和恢复体系共用一套高权限凭据，让单点失守演变为无法恢复的业务中断。

Telegram 贴纸被指存在零点击攻击链：研究演示不等于大规模攻击

据 10 月 28 日报道，安全研究人员 Saifeldeen Aziz 称，在 Telegram 贴纸处理过程中发现新的零点击缺陷，并将其串联，在苹果手机系统上实现代码执行。报道还提到，研究者声称绕过了 Telegram 服务端检查。现有摘要提供的是研究者披露与演讲信息，没有列出完整受影响版本、补丁状态或已确认受害者，不能把它扩大解释为所有用户正在遭到攻击。零点击风险值得重视，是因为用户可能不需要主动打开链接或运行文件，应用处理内容的过程就可能触发缺陷。即便如此，单个解析漏洞与完整设备接管之间通常仍有其他条件，不能只凭零点击三个字就断言手机中的全部数据都会泄露。建议用户从官方渠道更新 Telegram 和手机操作系统，关注厂商后续公告，并核查应用是否仍处于受支持状态。企业对高敏感岗位应明确即时通信工具的使用边界，不把生产凭据、客户资料或运维密钥长期留在聊天记录里。对设备出现异常重启、陌生登录或其他可疑行为的情况，应结合专业检测排查，而非仅凭耗电增加作出感染结论。未经官方确认的所谓专用修复包、检测工具和清毒链接，同样应避免下载安装。

Cloudflare 图像功能被串联利用：有内容安全策略也要检查真实边界

据 10 月 28 日报道，Searchlight Cyber 研究人员披露了针对 Cloudflare 图像功能的一条缺陷组合链，并展示跨站脚本效果：在原本应当阻止相关脚本运行的站点上执行 JavaScript。研究由多处问题串联而成，不能简化成所有使用 Cloudflare 的网站都已被攻破。现有摘要没有给出完整适用配置、修复覆盖范围或真实受害站点名单，网站运营者需要结合原始研究与服务商说明判断关联性。内容安全策略本来用于约束浏览器能够加载和执行什么，但它不是上线后就可以放任不管的一道永久屏障。图像处理、资源代理等功能如果改变了内容来源或响应方式，就可能影响原本的信任假设。跨站脚本一旦在业务页面中成立，可能干扰页面内容、诱导用户操作，甚至触及当前会话能够访问的数据，实际影响仍取决于站点权限与其他防护。建议网站团队先盘点图像转换、代理和缓存相关配置，确认是否符合研究描述，再核查官方修复或缓解要求。测试应在授权环境完成，不要对第三方站点直接尝试利用。同步复查脚本来源白名单、上传内容的隔离方式，以及敏感页面是否依赖过宽的同源信任。对高权限后台，还应收紧账号权限并保留异常脚本与页面行为的审计证据。

FortiBleed 2.0 报告称配置泄露明文秘密：防火墙口令也可能牵出域账号

据 10 月 28 日报道，名为 FortiBleed 2.0 的调查在暴露的 FortiGate 配置材料中发现 40,573 条明文秘密记录，其中包括 37,076 条本地用户密码记录及 1,576 条活动目录 LDAP 绑定记录。这里统计的是研究样本中的记录条目，不能等同于独立受害企业、唯一账号或当前仍然有效的密码数量,现有摘要也不足以证明这些材料都来自某个新漏洞，不能仅凭报告名称认定发生了新的通用远程攻击。配置泄露的危险不止是防火墙自身。目录绑定账号负责让网络设备与内部身份系统通信，如果相关凭据泄露且权限过大，风险就可能从边界设备延伸到企业内部。只在门户页面更改管理员密码，可能遗漏配置中保存的其他账号、共享秘密和历史备份副本。建议企业清查配置导出文件、运维报告及共享目录，移除不必要的公开访问，核对是否有材料曾进入外部工单或存储空间。一旦确认暴露，应按凭据类型轮换密码与密钥，撤销不再使用的账号，并审查异常远程接入和目录认证。目录绑定账号应采用最小权限，避免兼任管理用途。后续导出配置时，应先脱敏、限制接收范围并设置保留期限，而不是把完整配置当作普通附件反复流转。

微软紧急调整 eMudhra 证书信任：证书链出问题，终端不能只查杀毒库

据 10 月 28 日报道，微软在发现八个可恢复的 eMudhra 中间证书颁发机构私钥后，发布紧急 Windows 信任更新，并通过 10 月 26 日的带外更新从信任列表移除七张证书。报道明确，问题涉及 eMudhra 证书体系，并非微软自身系统遭到入侵。八个私钥与七张移除证书是不同统计口径，不应混写成全部问题证书均已用同一种方式处理。证书承担证明网站或签名身份的作用,如果中间证书机构私钥落入不当控制，攻击者可能伪造原本看起来可信的证书或签名内容，具体能力仍受证书用途、校验规则和其他安全机制约束。这类风险并不一定体现为终端已发现恶意文件，依赖旧信任列表的设备仍可能作出错误信任判断。建议管理员核查微软官方更新要求，确认受管设备已经应用相应信任变更，并特别检查长期离线、更新受限和使用独立信任库的系统。业务团队应盘点自身证书链是否关联受影响机构，提前测试必要的替换与兼容性。若更新后出现业务访问异常，不应简单恢复已被移除的信任或关闭证书验证，而应查明证书链与依赖组件，联系服务方更换合规证书，防止为恢复连接重新打开安全缺口。

Oracle EBS 出现漏洞试探流量：看到攻击请求，不等于已确认入侵

据10月28日报道，威胁情报公司 Defused 称，于 10 月 27 日在诱捕系统上观察到针对 Oracle E-Business Suite 关键漏洞的探索性利用请求。相关缺陷可能允许未认证攻击者执行命令，Oracle 在这些观察出现之前已经提供补丁。但报道同时强调，这些流量不能证明客户系统已经遭到成功入侵，也没有在摘要中给出完整受影响版本，不能把试探行为写成已确认的大规模失陷。企业资源管理平台通常连接财务、采购、人力和其他业务流程，一旦命令执行漏洞被成功利用，影响可能超出网站本身。真正需要加快处置的理由，是攻击者已经开始寻找可用目标，而不是等待更多受害者被公开点名。仅部署访问拦截规则，也不能保证后台组件和所有入口都已受到覆盖。建议运维团队依据 Oracle 公告核对版本、组件及补丁前提，优先修复对外开放的实例，并验证升级结果。无法立即维护时，应通过网络访问控制限制非必要入口，为补丁争取时间。同步检查异常请求、陌生进程、计划任务与新增文件，发现可疑痕迹时先保全证据，再开展隔离与恢复。对接业务平台的服务账号也应审查权限与近期使用情况，避免系统修复完成后，遗留凭据仍被继续滥用。

假法院通知投递 XWorm：紧急法律邮件也不能跳过附件核验

据 10 月 28 日报道，攻击者正向哥伦比亚的组织发送伪造法院通知，并借助隐藏的 Windows 脚本安装 XWorm 远程控制工具。邮件外观模仿正式法律函件，利用收件人担心错过期限或承担责任的心理，诱导其处理附件。现有摘要没有提供完整受害数量或具体机构名单，因此不能扩大为当地所有企业或司法系统已遭入侵，也不应把收到邮件等同于终端已经感染。远程控制工具进入电脑后，可能让攻击者操纵设备、访问文件并继续寻找其他目标。法律通知之所以具有迷惑性，在于它会把正常核验流程变成一种看似耽误事情的障碍。财务、行政和法务人员尤其容易接触这类材料，但防线不能仅靠提醒员工提高警惕，更需要邮件与终端的技术控制共同生效。建议收到相关通知时，通过独立查找的官方联系方式核实，不使用邮件中附带的电话或链接完成自证。企业应显示文件完整扩展名，限制非必要脚本执行，并监测邮件附件触发脚本解释器等异常进程链。已经运行可疑附件的设备，应立即断开网络并交由安全人员保全证据，排查持久化和凭据风险；不要只删除附件后继续办公。对同批收件人开展关联检查，也有助于发现尚未暴露的感染终端。

政府和学校子域名被用于推广非法赌博：主站正常不代表域名安全

据 10 月 28 日报道，两起互不相关的行动滥用政府和学校域名，通过修改域名解析记录建立未经授权的子域名，用于推广非法赌博网站，而相关机构主网站仍可正常运行。攻击者借用机构域名的信誉吸引访问和搜索流量。现有摘要没有明确全部受影响机构、数量及初始入侵方式，不能断言所有情况都源于同一种漏洞，也不能把它与普通网页内容被篡改混为一谈。域名解析决定用户访问一个名称时最终被带到哪里。主站页面没有变化，并不代表其下新增的子域名都经过授权。如果日常巡检只检查首页可用性，就可能长期漏掉这些分散入口。除声誉受损外，类似控制能力还可能被用于后续钓鱼和冒充服务，不过这些属于潜在风险，不是现有摘要已经确认发生的后果。建议域名管理员导出并核对解析记录，重点检查陌生子域、异常委派和未登记的外部指向，对比变更日志确认来源。发现未授权记录后，应保全证据、停止相关解析，撤销可疑会话并轮换可能暴露的管理凭据或接口密钥。注册商、解析平台及代维单位的权限也应一并审查，启用多因素认证和变更告警。后续把子域名新增、权限调整和异常解析纳入持续监控，不能只靠主站是否能打开判断安全。

信息来源：人民网国家计算机网络应急技术处理协调中心国家信息安全漏洞库今日头条 360威胁情报中心中科汇能GT攻防实验室安全牛 E安全安全客 NOSEC安全讯息平台火绒安全亚信安全奇安信威胁情报中心 MACFEESy mantec白帽汇安全研究院安全帮卡巴斯基安全内参安全学习那些事安全圈黑客新闻蚁景网安实验室 IT之家IT资讯黑客新闻国外天际友盟