2026-11-01 17:55:15 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

网络安全早报·10月31日

原创

niuko
niuko

Ncko

2026年11月1日 12:58
安徽

去阅读

2026 年 10 月 31 日 · 共 8 条

01在野利用Ivanti Connect Secure 三个漏洞串成一条链，无需认证即可拿到 root

10 月 30 日，CISA 把 CVE-2026-111357（CVSS 8.8，关键功能缺失认证，本地已认证用户可提权）和 CVE-2026-118527（CVSS 4.3，可预测标识符，远程已认证用户可把任意内容上传到磁盘已知位置）列入 KEV 目录，两份公告均写明已在野利用。这两个漏洞与认证绕过漏洞 CVE-2026-104935（CVSS 8.6）构成一条完整利用链，Volexity 本月早些时候披露，利用者是一个此前未被记录的行为体 UTA0576。三洞串联后可在无需认证的情况下获得 root 级代码执行。

Volexity 记录的利用行为与常规不同：没有部署 Webshell，主要动作是窃取凭证、拿有限的 Active Directory 元数据、做主机侦察，并搜索管理员密码和 BitLocker 恢复密钥。

受影响：Ivanti Connect Secure 25.1.1.2 及更早版本、22.8R2.5 及更早版本。

官方处置：Ivanti 已发布覆盖全链的补丁，修复版本为 25.1.1.3 与 22.8R2.6。FCEB 机构须在 2026 年 11 月 2 日前完成 CVE-2026-111357 的修复，11 月 13 日前完成 CVE-2026-118527 的修复。

FreeBuf 报道配图，2026-10-31

02高危WordPress 核心更新流程存在 RCE，24 小时内拦截 60471 次攻击

Wordfence 的威胁情报快照显示，其防护规则在 24 小时内拦截了 60471 次针对 WordPress Core 远程代码执行漏洞的攻击尝试。该数据只统计被拦截的请求，不代表已确认的入侵。这个漏洞没有 CVE 编号，CVSS 评分 8.1，影响 Core 4.7 至 7.1.3，WordPress 于 10 月 28 日发布 7.1.4 版本，同批修复 22 个安全问题。

成因是完整包升级时把更新文件解压到可预测的暂存目录，该目录在数秒内可被公开访问，攻击者无需登录即可访问这个临时安装程序并把它连到自己的数据库，随后在服务器上执行代码。WordPress 的修复改动了三处：临时目录名加 16 位随机字符、恢复 index.php 的防护、禁止从工作目录复制 wp-config.php。

受影响：WordPress Core 4.7 至 7.1.3；修复版本为 7.1.4、7.0.8、6.9.11，向后移植覆盖到 4.7.39，4.6 及更早版本已停止接收安全更新。

官方处置：WordPress 官方公告要求管理员立即更新到修复版本；Wordfence 的 Premium、Care、Response 订阅客户在 10 月 28 日已收到防护规则，免费用户按 30 天延迟规则在 11 月 27 日获得。

FreeBuf 报道配图，2026-10-31

03币安称已补回 90% 被盗资产，提现定在 11 月 1 日重开

10 月 29 日，币安热钱包遭未授权访问，约 63 亿美元代币资产被转出，平台随即暂停充值与提现。Tether 与 Circle 配合在链上冻结约 30 亿美元。10 月 31 日，币安发布事件更新：公司用自有资金购入新代币，把受影响资产的覆盖率提高到 90%，此前为 80%；已拨出超过 63.4 亿美元公司资金，剩余 10% 为受影响资产中排名前十之外、流动性较低的代币。

币安计划在当地时间 11 月 1 日重新开放用户提现，并把 SAFU 紧急储备金补充到约 10 亿美元，期货保险基金已完成再平衡。TRM Labs 与 Chainalysis 将攻击归因于朝鲜关联行为体，攻击者在约 20 分钟内从涉及 10 条区块链网络的币安钱包转出资产。币安此前表示，初步调查指向一名负责开发运维的工程师的笔记本电脑，后续调查又发现其他可能的入侵点，完整攻击路径仍在查明。

受影响：币安平台用户资产与提现功能；不涉及任何客户端版本。

官方处置：币安称由 SAFU、期货保险基金与公司自有资金承担全部损失，剩余代币继续通过公开市场与场外交易分批买入，直至覆盖率达到 100%。

04Chainalysis 承认内部工具被“进攻性代理技术”打入，客户身份数据被读走

10 月 30 日下午（美东时间），Chainalysis 发布安全事件披露并附上发给受影响客户的邮件全文：本月早些时候，公司检测到外部行为者使用“进攻性代理技术”（offensive agentic techniques）未经授权访问其系统与内部工具。

被访问的数据包括用户 ID、全名、邮箱地址，以及在平台上配置的组织角色标签；公司称调查内容、认证凭证和会话令牌没有遭到未经授权的访问。Chainalysis 表示正在修补相关漏洞并加固系统。

受影响：配置在 Chainalysis 平台上的客户账号及其所属组织。

官方处置：Chainalysis 公告口径为“正在修补漏洞并加固系统”，未公布具体补丁、版本或缓解措施。

05苹果向 99 个国家的 iPhone 用户推送雇佣兵间谍软件威胁通知

安全研究员 Costin Raiu 于 10 月 30 日披露，苹果正在推送新一轮威胁通知，与 8 月那一轮覆盖 110 个国家的预警无关，对应一批新发起的攻击。苹果通知原文写明：“本轮通知面向 99 个国家的受定向攻击用户，截至目前，我们累计已向超过 150 个国家的用户发送过同类预警。”

苹果没有披露攻击者身份、涉事间谍软件产品、投递方式或具体漏洞，也未将本轮预警与特定地区关联。上述数字只对应收到通知用户所在的国家数量，不等于受害者规模，也不等于已确认的设备感染数。

受影响：收到通知的特定 iPhone 用户，苹果指引中的典型对象为记者、社会活动人士、政客与外交官。

官方处置：苹果建议收到通知的用户先把设备更新到最新系统，再在支持该功能的设备上开启锁定模式；苹果同时说明，真正的威胁通知不会要求安装应用、安装描述文件或索要密码与验证码。

FreeBuf 报道配图，2026-10-31

06Polymarket 第三方监控脚本被替换，710 个钱包损失约 270 万美元

10 月 29 日，Polymarket 国际站在用户报告钱包资金被未经授权转出后暂停交易。问题出在 DebugBear 提供的网站性能监控脚本：攻击者把运行在 Polymarket.com 上的这段代码替换为恶意版本，在短期内打开站点的用户会话里卖出持仓并把资金转出钱包。Betting Intelligence 与 Polysights 估算，约 270 万美元从 710 个钱包流出。智能合约未被攻破，美国站不受影响。

10 月 31 日的报道确认，Polymarket 已向 95% 受影响钱包退款，合计返还 390 万美元：270 万美元为被盗资金，120 万美元用于补偿交易暂停期间的损失。平台清除了恶意代码、重置了登录会话，并将事件移交英国执法部门。

受影响：Polymarket.com 国际站；所有在前端嵌入 DebugBear 实时用户监控（RUM）产品的站点。

官方处置：DebugBear 承认事件并要求使用其 RUM 产品的客户移除嵌入代码；Polymarket 公告称已识别符合条件的钱包并从链上与交易数据中完成退款，用户无需提交申请或工单。

07高危一条分享出去的 ChatGPT 链接，能在打开者的登录会话里跑攻击者代码

安全公司 Parameter 的研究人员披露，恶意构造的 ChatGPT 公开分享链接可在打开者的已登录会话中运行攻击者代码，读取私密对话。研究人员于 10 月 18 日通过 OpenAI 漏洞赏金计划上报，OpenAI 在 8 天后修复，把评级从 P2 上调到最高的 P1，并支付 5000 美元赏金。

受害者无需安装软件、无需加入工作区、也不需要通过攻击者的链接登录。最稳定的版本只需打开链接并点击一次 Preview 按钮；后续版本让页面自动触发 Preview，打开链接即完成攻击。代码运行后可以列出近期对话、打开从未分享过的私聊，并把片段外传到研究者服务器。

链条由三处设计叠加：共享对话的 Preview 页面沙箱本身有效，但同一对话里的交互图表会在主页面加载 MathLive；MathLive 的消息监听不校验消息来源，且允许消息携带原始 HTML；这些 HTML 能在主页面里建出一个继承 chatgpt.com 身份的未沙箱帧，最后由 YouTube 域名的脚本补上代码。目前没有在野利用报告，测试在独立账号之间完成。

受影响：ChatGPT Web 前端，截至 10 月 26 日的两个前端版本均已修复；用户无需安装组件。

官方处置：OpenAI 已在服务端推送修复，两个前端版本到 10 月 26 日均已拦截攻击所依赖的恶意消息，用户在客户端无需任何操作。