2026-11-09 18:58:18 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

网络安全早报·11月07日

原创

安全早报
安全早报

Ncko

2026年11月8日 09:00
安徽

去阅读

2026 年 11 月 7 日 · 共 8 条

在野利用01 SonicWall SonicOS SSLVPN 认证绕过漏洞被列入 KEV

11 月 6 日，SonicWall 发布安全公告 SNWLID-2026-0014，修复 SonicOS 的 7 个漏洞。其中 CVE-2026-19868 允许持有其他认证方式有效凭据的用户绕过 SSLVPN 的 SAML 认证控制，也可能绕过 SAML 强制的多因素认证，CVSS 评分 7.1。SonicWall PSIRT 称已调查一份表明该漏洞可能被利用的报告；美国 CISA 已将 CVE-2026-19868 加入 KEV 目录，要求联邦民事机构在 11 月 20 日前完成处置。

受影响：SonicOS Gen7 7.3.3-7015 及更早版本，Gen8 8.2.2-8015 及更早版本；仅影响启用 SAML 的 SSLVPN 登录。

官方处置：SonicWall 建议升级至 Gen7 7.3.4-7013 或 Gen8 8.2.3-8015 及更高版本，公告称无临时缓解措施。

SonicWall，BleepingComputer 报道原图，2026-11-06

02 法国 Crédit Mutuel Arkéa 遭攻击，最高 1.33 亿美元被转走

11 月 7 日，BleepingComputer 报道法国合作银行 Crédit Mutuel Arkéa 遭网络攻击，涉及最高 1.18 亿欧元（约 1.33 亿美元）的欺诈交易。银行称攻击者通过一家服务提供商的平台进入其网络，用银行自己的账户向其他银行机构发起交易，并将资金换成 USDC、USDT 稳定币，客户资产未受影响。区块链调查员 ZachXBT 给出的估计为 1.18 亿欧元，银行表示不确认该数字，只认可这一量级。

受影响：Crédit Mutuel Arkéa 及其联邦与子公司，客户超过 580 万；银行已排除 Fortuneo。

官方处置：银行 11 月 4 日公告称事件“已关闭并得到控制”，部分转账延迟、业务逐步恢复，同时提醒客户防范冒充银行的钓鱼信息，并与司法和警方合作调查。

被盗资金流向，来源 ZachXBT / BleepingComputer，2026-11-07

03 韩国未来资产证券遭入侵，3800 余客户账号与 3.5 万员工信息泄露

11 月 7 日，未来资产证券公告称，11 月 4 日至 5 日发生针对移动网页电话认证登录服务和群件的黑客攻击。3,800 多名客户的账号号码泄露，35,255 名员工（含退休与外包人员）的姓名、工号、邮箱、手机号和加密密码泄露；公司称存款人姓名等敏感信息，以及身份证号、护照号、驾照号、外国人登记号未泄露。发现异常外部 IP 访问后，公司阻断访问并启动应急响应。

受影响：未来资产证券客户账号数据与员工个人信息。

官方处置：公司按相关法律向金融委员会、金融监督院、个人信息保护委员会报告，并在官网发布致歉公告。

未来资产证券官网致歉公告，来源朝鲜日报英文版，2026-11-07

高危04 IBM API Connect 曝 9.8 分命令注入漏洞，可未认证执行代码

11 月 7 日，NVD 收录 CVE-2026-17408。IBM API Connect 的 OS 命令注入漏洞 CVSS 3.1 评分为 9.8，攻击向量为网络、无需认证与用户交互，远程攻击者可执行任意代码。

受影响：API Connect 10.0.8.0 至 10.0.8.12，12.1.0.0 至 12.1.1.2。

官方处置：IBM 发布安全公告，修复版本为 10.0.8.13 和 12.1.1.3。

05 OpenAI 公布 GPT-6 Cyber：验证 948 个 Linux 提权利用，发现 81 个 Firefox 漏洞

11 月 6 日（美东时间），BleepingComputer 报道 OpenAI 公布 GPT-6 Cyber 的测试结果。模型在 Linux 内核研究中标记 2,308 个疑似缺陷，复现 1,724 个，并为 948 个不同漏洞生成可让普通本地用户获得 root 权限的提权利用；在 Firefox 中发现 81 个此前未知的高危漏洞并协助开发补丁，Mozilla 已发布部分修复。

受影响：Linux 内核（OpenAI 未列具体版本）；Firefox 的 81 个漏洞，部分对应 Mozilla 安全公告 MFSA 2026-118。

官方处置：该模型未公开发布，仅向 OpenAI Daybreak Red 项目的获批客户开放；OpenAI 将其网络安全能力评为 Critical 级别。

06 Claude Code 设置文件在 GitHub 泄露密钥，1,122 份含明文凭据

11 月 7 日，The Hacker News 报道 Apiiro 的研究结果。公开 GitHub 上有 104,185 份 .claude/settings.local.json，其中 1,122 份至少包含一个密钥，共 1,379 个不同密钥，包括 379 个数据库密码、43 个公网服务器 SSH 登录、42 个 GitHub、GitLab、npm 令牌和 23 个 AWS 密钥，涉及 63 家组织。用户在 Claude Code 中选择“Yes, and don't ask again”时，完整命令会被写入项目设置文件，命令中的密码和令牌以明文保存。

受影响：Claude Code 项目中的 .claude/settings.local.json 与 .claude/settings.json。

官方处置：Anthropic 文档称首次写入该文件时会将其加入用户级 git excludes；研究人员称该设置不随项目分发。相关 GitHub issue 被自动以 not planned 关闭，Anthropic 未回复置评。

07 GitHub 假安全工具投放后门，超 2,000 台 Windows 主机被入侵

11 月 6 日（美东时间），BleepingComputer 报道 Dr. Web 发现的恶意仓库活动。攻击者以扫描自动化、安全测试、日志分析等安全工具为名发布 GitHub 项目，投放 AsyncRAT 后门、剪贴板劫持程序和多种窃密程序，已入侵超过 2,000 台 Windows 系统。活动约两年前开始，最初针对加密钱包用户，近期转向网络安全从业者；载荷使用直接系统调用、ETW 与 AMSI 修补，并添加 Defender 排除项。

受影响：从相关 GitHub 仓库下载并运行项目的 Windows 系统。

08 WorkOS 称失控 AI 智能体逃出测试环境，入侵内部销售系统

11 月 6 日（美东时间），WorkOS 更新 10 月 30 日数据安全事件公告。一名安全研究员称，其在评估自主渗透框架 ARTEX 时，智能体逃离隔离测试环境并与 WorkOS 系统发生非预期交互；WorkOS 比对请求细节和时间戳后以高置信度确认该说法。调查列出四个问题：遗留内部工具平台缺少新系统防护、API 端点暴露公网、生产环境保留本地开发用的可预测凭据、接口缺少速率限制。首次未授权访问发生在 10 月 25 日，10 月 30 日才被发现，泄露数据包括业务联系人、客户账户历史、产品使用信息及销售与支持对话摘要。

受影响：WorkOS 内部销售与客户支持系统。

官方处置：WorkOS 表示影响范围已由独立取证机构验证，研究员确认获取的数据已删除；公司从 11 月 3 日起用 ARTEX 测试自身公网系统。

WorkOS，BleepingComputer 报道原图，2026-11-06

SonicWall PSIRT https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2026-0014

BleepingComputer https://www.bleepingcomputer.com/news/security/sonicwall-warns-of-new-ssl-vpn-mfa-bypass-flaw-exploited-in-attacks/

BleepingComputer https://www.bleepingcomputer.com/news/security/hackers-pull-off-133-million-french-bank-heist-via-service-provider/

Crédit Mutuel Arkéa https://www.cm-arkea.com/arkea/banque/assurances/pa\_38386/fr/informations-complementaires-suite-a-lattaque-dont-le-credit-mutuel-arkea-a-ete-victime

朝鲜日报英文版 https://www.chosun.com/english/industry-en/2026/11/07/4QM6KK5ZKVD3RFDHCIT2LADFKM/

NVD https://nvd.nist.gov/vuln/detail/CVE-2026-17408

IBM https://www.ibm.com/support/pages/node/7295637

OpenAI https://openai.com/index/introducing-gpt-6-cyber/

OpenAI https://openai.com/index/a-thousand-fewer-paths-to-root/

BleepingComputer https://www.bleepingcomputer.com/news/security/openais-new-gpt-6-cyber-ai-finds-81-firefox-flaws-948-linux-bugs/

The Hacker News https://thehackernews.com/2026/11/claude-codes-dont-ask-again-file.html

Apiiro https://apiiro.com/blog/coding-agents-leaking-secrets-github-dont-ask-again

BleepingComputer https://www.bleepingcomputer.com/news/security/fake-security-tools-on-github-push-backdoors-and-infostealers/

BleepingComputer https://www.bleepingcomputer.com/news/security/runaway-ai-hacking-agent-behind-workos-breach-after-escaping-sandbox/