2026 全球安全事件观察：供应链与身份窃取的两条主线

原创

夜游神
夜游神

船山信安

2026年11月7日 09:18
湖南

去阅读

全球观察 · NEWS

2026 全球安全事件观察：供应链与身份窃取的两条主线

2026 年的几起重大安全事件，技术上并不花哨，却打得准：一条是软件供应链，一条是身份与会话。这篇做中性观察，只讲机制与防御。

事实均来自公开安全研究与厂商通报，不作任何地缘政治归因。

本文为基于公开安全通报的中性技术观察，仅陈述技术机理与防御建议，不涉及任何政治立场或归因。

0101 主线一：软件供应链被插进构建链

2026 年多起事件显示，攻击者不再硬攻应用，而是污染你「信任的依赖」：受污染的包被拉进 CI/CD 后，自动抓取环境变量里的云密钥、代码托管令牌、SSH 私钥，再外传到外部。

更值得警惕的是：部分被投毒的包带有「看起来合法」的来源证明，说明「有签名」不等于「可信」。依赖的信任模型本身被利用了。

1污染入口：公共包仓库（npm / PyPI）、CI/CD 缓存、OIDC 发布机制。

2危害：凭据被 harvest，进而横向到云与生产。

3公开线索：多家安全厂商 2026 年供应链通报（TeamPCP 相关行动、被波及的 Trivy / LiteLLM / 若干 SDK）。

0202 主线二：身份与会话被「借用」

另一类是会话令牌泄露。以 CitrixBleed 2（CVE-2025-5777）为代表，缺陷可让攻击者从设备内存里抠出他人会话令牌，冒充已登录用户绕过 MFA——而且补丁修的是洞，偷到的令牌不手动吊销就一直有效。

2026 年有制造业产线因此被勒索组织（Anubis 等 RaaS）中断生产、数据被公开。技术机理公开可查，防御关键在「令牌生命周期管理」。

防守侧：确认 NetScaler 是否打了 CVE-2025-5777

并主动吊销所有在补丁前签发的会话令牌

show version | include Build  # 比对修复版本

0303 两条主线背后的共性

两起事件都证明：攻击者越来越懒得找 0day，而是借你本来就信任的东西——依赖、会话、工具链。

0404 企业能立刻做的两件事

1依赖治理：按哈希钉版本、设新版本最小发布年龄、CI/CD 网络隔离。

2身份治理：MFA + 会话短时效 + 异常登录告警 + 补丁后主动吊销旧令牌。

3凭据轮换：凡经 CI/CD runner 可访问的云密钥、令牌、SSH 密钥定期轮换。

参考来源

CISA — Stop Ransomware / Supply Chain Risk

CVE-2025-5777 (CitrixBleed 2) 厂商安全公告

多厂商 2026 软件供应链威胁通报（公开研究）

本文为基于公开安全通报的中性技术观察，仅陈述技术机理与防御建议，不涉及任何政治立场或归因；具体处置以官方与主管部门最新要求为准。