2026-11-01 18:08:57 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

安全热点周报 | 一周网络安全大事件盘点（2026/10/26-2026/10/30）

中成信息
中成信息

中成信息

2026年10月31日 09:00
福建

去阅读

本周（10 月 26 日至 10 月 30 日）网络安全态势呈现「底层系统与运行时库高危漏洞集中爆发、跨国数据泄露多点开花、个人信息保护与智能信息服务治理同步加码」三条主线。漏洞侧，Linux 内核提权/容器逃逸漏洞（CVE-2026-98260）获多家实验室本周复现，Node.js Brotli 解码库「Node2Shell」越界写漏洞（CVE-2026-111497）在披露后数日即出现在野利用流量；事件侧，日本 GMO/Onamae、索尼 So-net、美国土安全部、韩国金融业及美国医疗机构接连曝出大规模数据泄露；政策侧，中央网信办通报 84 款 App 违规收集个人信息、国家网信办就《互联网信息服务管理办法》修订草案再次征求意见、工信部公示 62 项行业数据安全标准计划。

PART 1

漏洞情报

Linux 内核 POSIX CPU 定时器释放后重用漏洞

Linux 内核 POSIX CPU 定时器释放后重用漏洞是高危安全漏洞（CVE-2026-98260，CVSS 7.8 分），影响 Linux 内核 5.7 及以上版本，覆盖服务器、云容器与 Android 终端。攻击者在获取普通本地权限或容器内权限后，可借由非 leader 线程调用 execve() 时定时器清理时机不当所引发的释放后使用（UAF）缺陷，触发内核内存破坏，进而造成系统拒绝服务、本地权限提升至 root，甚至实现容器逃逸。

Node.js Brotli 解码器越界写漏洞（Node2Shell）

Node.js Brotli 解码器越界写漏洞是严重安全漏洞（CVE-2026-111497，CVSS 9.2 分），影响 Node.js 22.x、24.x、26.x 等多个分支，以及集成同一 Google Brotli 解码库的其他软件（如 Python、.NET、Bun、Envoy 等）。攻击者在应用对不可信 Brotli 数据进行解压（如自动解压 Content-Encoding: br 的请求体或响应）时，可借由非法块切换被误判为「需更多输入」触发的越界写入破坏进程内存，进而造成进程崩溃、内存信息泄露，并在特定条件下实现远程代码执行。

PART 2

安全事件

GMO Internet 旗下 Onamae Desktop Cloud 遭入侵，最高 26,739 台客户服务器被植入恶意程序

2026 年 10 月 20 日，日本 GMO Internet 集团确认其面向 VPS 与虚拟桌面的 Onamae Desktop Cloud 基础设施遭第三方未授权入侵，攻击者在客户服务器环境中安装恶意程序，可能影响多达 26,739 台客户服务器。GMO 于 10 月 21 日起逐步关停相关客户服务器以控制影响，并称攻击者随后索要约 50 万美元（约合 8 亿日元）赎金、并公开了部分公司与客户数据。该事件属典型的供应商基础设施级入侵，意味着租用该平台的所有客户工作负载无论自身安全状况如何均处于泄露风险之中，建议相关租户将存于受影响服务器的凭据一律视为已泄露并立即轮换。

原文链接：

https://www.kaseya.com/blog/the-week-in-breach-news-10-28-26/

索尼旗下 So-net / Plala 客户数据外泄，涉 258 万条记录与 5.4 万余个邮箱口令

2026 年 10 月 27 日，索尼旗下 Sony Network Communications 通报，其 So-net 与 Plala 会员数据库于 10 月 19 日遭未授权访问，经确认泄露 2,585,481 条客户记录（含姓名、出生日期、性别、电话、邮箱、用户 ID 与互联网连接 ID），另有 54,401 个邮箱地址与邮箱口令配对、16 条银行账户记录一并暴露。公司已于 10 月 27 日强制重置相关邮箱口令并向日本个人信息保护委员会报告，称暂未确认二次损害。会员账户口令本身未泄露，但 5.4 万余个仍然有效的邮箱口令一旦被复用，可被用于重置其他关联账户，凸显邮箱作为账户恢复通道的链式风险。

原文链接：

https://www.tech-quire.com/articles/sony-so-net-breach-2-59-million-records

美国土安全部逾 4 万雇员信息遭公开，敏感岗位人员身份曝光

2026 年 10 月 28 日，非营利泄密网站 Distributed Denial of Secrets 称已公开美国土安全部（DHS）逾 4 万名雇员个人信息，数据据称源自自称「和平部」（Department of Peace）的组织从 DHS 使用的 Okta 单点登录系统获取。泄露字段涵盖移民与海关执法局、海关与边境保护局、网络安全与基础设施安全局（CISA）等下属机构雇员的姓名、电话、邮箱、职务与邮件群组，并标明了从事特种行动、监控、计算机取证及卧底工作的人员身份。DHS 表示已知悉该疑似泄露事件并正积极处置，但部分数据涉及未公开的内部组织架构，对相关人员构成现实安全与冒充风险。

原文链接：

https://www.cna.com.tw/news/aopl/202610290098.aspx

韩国金融业遭 AI 辅助攻击波及近 20 家机构，大信证券 3.8 万客户信息泄露

2026 年 10 月 26 日至 28 日，韩国金融监管部门接连披露多起疑似 AI 辅助网络攻击：大信证券（Daishin Securities）确认 38,490 名客户的个人与信贷信息遭泄露（含姓名、邮箱、住址、账户与手机号，部分加密），加密货币交易所 Bithumb 内部移动群件系统遭未授权访问致员工信息外泄，未来资产（Mirae Asset）等亦发现异常访问。金融监督院称自 10 月 17 日发现大信异常访问以来已确认波及近 20 家金融机构。监管方提示部分攻击流量来自被指认的朝鲜 IP 区间，但强调 IP 可伪造，并呼吁金融机构董事会将 IT 安全列为保护客户资产的核心责任。

原文链接：

https://www.koreatimes.co.kr/amp/business/banking-finance/20261028/cover-story-bithumb-mirae-asset-daishin-join-growing-list-of-cyberattack-victims

美国新墨西哥大学医疗系统遭勒索攻击，患者救治与 3.6 万系统受影响

2026 年 10 月 27 日，美国新墨西哥大学健康科学中心（UNM Health）通报遭受网络攻击，导致系统停机、门诊手术与预约暂停、救护车分流至周边医院。新出现的勒索团伙 Byod 宣称已攻陷主校区与医院环境中多达 36,000 个系统，包括 Active Directory 林、Entra 租户与 Oracle 数据库，并声称可访问学生与员工个人数据（含社保号、工资与学籍记录、内部邮件、研究数据、患者预约与病历信息）。校方称核心电子系统已恢复、影响限于部分终端而非核心服务器，但仍提醒相关人员警惕钓鱼与冒充，并建议核查有无异常通信。

原文链接：

https://www.bleepingcomputer.com/news/security/unm-health-ransomware-attack-disrupts-patient-care-surgeries/

PART 3

时事热点

中央网信办通报 84 款 App 违法违规收集使用个人信息

2026 年 10 月 26 日，国家网络安全通报中心发布通报，依据中央网信办、工信部、公安部联合部署的 2026 年个人信息保护系列专项行动，经国家计算机病毒应急处理中心检测，84 款移动应用存在未明示告知隐私政策、强制或频繁索取非必要权限、未完整列明收集情况、未提供有效注销功能、未尽安全技术保护义务等 10 大类违规，涉东方甄选、国信证券、贵阳银行等。相关应用检测时间为 2026 年 9 月 4 日至 10 月 15 日，运营者须于通报发布之日起 15 个工作日内完成整改并报备，上期通报的 82 款中仍有 24 款复测不合格已被下架。

原文链接：

https://big5.cctv.com/gate/big5/news.cctv.com/2026/10/26/ARTIJf4xvGwl9SRcWlGSwsz4261026.shtml

国家网信办就《互联网信息服务管理办法（修订草案征求意见稿）》再次公开征求意见

2026 年 10 月 26 日前后，国家互联网信息办公室会同工信部、公安部再次就《互联网信息服务管理办法（修订草案征求意见稿）》公开征求意见。该办法自 2000 年施行以来首设「智能信息服务」专节，围绕发展促进、数据模型、算法应用、终端适配、智能体管理、风险处置等环节作出制度安排，推动治理体系从适配传统互联网、移动互联网进一步向适配智能化升级，对规范大模型与智能体服务、提升行业治理能力具有重要意义。

原文链接：

https://www.toutiao.com/article/7700796012222267914/

工信部公示《工业互联网平台数据安全保护要求》等 62 项行业标准计划

2026 年 10 月 26 日，工业和信息化部发布公示，对《工业互联网平台数据安全保护要求》等 62 项拟立项行业标准计划项目公开征求意见（公示期 2026 年 10 月 17 日至 11 月 15 日）。其中工业互联网数据安全类拟明确平台数据分类分级、重要工业数据保护、访问权限管控、数据全生命周期安全管理和数据泄露应急处置要求；个人信息保护类聚焦工业场景员工与供应链主体信息的最小必要采集、加密存储与出境管控；人工智能安全类规范工业 AI 训练与生产的权限边界。

原文链接：

https://news.qq.com/rain/a/20261026A01N3X00

📌 本周防护提醒

• 针对 Linux 内核 CVE-2026-98260（本地提权/容器逃逸，CVSS 7.8）：将内核升级至 6.6.158 / 6.12.112 / 6.18.54 / 7.2.8 及以上修复版本并重启生效，重点排查容器宿主与云主机，同时监测可疑本地提权行为。

• 针对 Node2Shell（CVE-2026-111497，Node.js Brotli 解码越界写，CVSS 9.2）：将 Node.js 升级至 22.23.4 / 24.22.1 / 26.12.1，排查 Express/body-parser 自动解压 br 请求体的服务；暂不能升级时，在边界拦截含 Content-Encoding: br 的入站请求并监控解压失败日志。

• 针对密集发生的供应链与大规模数据泄露（GMO/Onamae 最高 26,739 台客户服务器被植入恶意程序、索尼 So-net 258 万条记录与 54,401 个邮箱口令、美国土安全部 4 万余名员工资料、韩国金融业近 20 家机构）：立即轮换所有存于受影响平台/第三方系统中的凭据与 API Key，对邮箱、云、金融、代码仓库等高危账户启用防钓鱼多因素认证，并排查邮件转发规则与异常 OAuth 授权。

• 针对 So-net 等邮箱口令泄露：强制重置并弃用已泄露邮箱口令，核查密码重置邮件与转发规则，防范据此发起的客服冒充与账户接管。

• 依据本周政策动向（84 款 App 通报、互联网信息服务管理办法修订、工业互联网 62 项数据安全标准公示）：App 运营方对照「最小必要」与未成年人保护要求开展隐私合规自查；涉及工业数据的企业提前跟进《工业互联网平台数据安全保护要求》等标准草案，规划数据分类分级与全生命周期安全管理。

关于我们

漳州中成信息科技有限公司是一家专注于网络安全实战防护的创新型服务提供商。我们深刻理解网络安全的核心在于攻防对抗的持续较量，并以此独特视角为基石，致力于为客户构建动态、主动、智能化的纵深防御体系。区别于传统的被动防御，我们坚信“未知攻，焉知防”。公司汇聚了顶尖的渗透测试专家（红队）、应急处置精英（蓝队）及经验丰富的安全服务工程师，形成了一支具备完整攻防对抗能力的专业团队。我们的渗透测试团队模拟真实攻击者的思维与手段，深入挖掘系统、应用及网络中的深层次漏洞与风险点；应急处置团队则能在安全事件发生时快速响应、精准定位、有效遏制损失并溯源根因；安服工程师团队则致力于将攻防对抗中获得的宝贵经验转化为常态化的安全策略、加固措施与运营流程。

点击名片