赛博安全狗：IBM Concert操作系统命令注入漏洞CVE-2026-6715，CVSS评分9.8 (11.09)

赛博安全狗
赛博安全狗

赛博看门狗

2026年11月9日 22:07
浙江

去阅读

[ ROOT @ WATCHDOG ]

全网高价值安全威胁速递。包含高危漏洞、数据泄露与行业重点动态。

2026-11-09 · 10 条

今日重点

1.Iris Ohyama第三方云服务遭未授权访问，约770万人信息或泄露

2.IBM Concert操作系统命令注入漏洞CVE-2026-6715，CVSS评分9.8

3.微步在线声明拥有ARTEX渗透框架版权并收购项目，项目转向闭源

【一】行业和安全动态

行业动态

微步在线声明拥有ARTEX渗透框架版权并收购项目，项目转向闭源

据披露，微步在线声明拥有ARTEX渗透框架版权并收购该项目，原作者已关闭公共仓库，项目不再开源。ARTEX曾在9月的百度安全Agent+攻防能力挑战赛中夺冠。10月曾有黑客利用该框架攻击韩国金融机构。微步在线表示，基于原开源版分支、在遵守许可证要求的前提下可继续使用，但二次开发也应当开源；该项目将被集成到其商业版产品中。安全圈的点评认为，这是开源项目被商业化收购的典型案例，安全工具的双刃剑属性再次显现。

来源：SecurityHub · 11-08 19:00（北京时间）

行业动态

调查称消费级神经科技设备脑电数据被用于AI训练

文章调查了消费级神经科技设备对脑电数据的采集与使用情况：英国用户佩戴Muse睡眠头带后，其EEG数据被Interaxon用于训练brain foundation model，但隐私政策未明确告知。业内多家公司已积累数千万小时EEG数据并投入脑基础模型研发。文章指出，消费级EEG精度有限，但随AI分析能力提升，仍可能推断情绪、认知等敏感信息。全球57家相关公司的隐私政策存在缺失、表述宽泛、允许第三方共享和应执法要求提供数据等问题，收购后数据转移风险突出。智利、美国部分州已开始将神经数据纳入敏感个人信息保护，专家呼吁就AI模型训练单独取得明确同意。

来源：SecurityHub · 11-08 23:30（北京时间）

行业动态

SafetyPulse方法可在微调中监测模型安全漂移

文章介绍了一种名为SafetyPulse的方法，通过读取模型拒绝回路在微调过程中监测安全漂移。作者在Cohere Labs的Tiny Aya Global模型上用LoRA微调，发现仅使用无害的Alpaca指令微调，就会使HarmBench攻击成功率从14.3%升至25.2%。SafetyPulse先一次性标定拒绝方向和拒绝回路，再用50对提示计算回路完整性评分CIS，在保留测试中标记所有不安全检查点，并比可测量危害提前1至3个检查点发出告警。回路级评分与攻击成功率的相关性达到ρ=-0.80，优于方向漂移分数的-0.56。修复实验表明，恢复回路自身权重无效，因为回路读取但不存储漂移；SafeTune低秩恢复将攻击成功率降至12.3%，并把GSM8K从55.1%恢复到70.7%。作者指出CIS是筛查信号而非安全认证。

来源：SecurityHub · 11-08 18:49（北京时间）

【二】数据泄露与隐私事件

数据泄露与隐私

Iris Ohyama第三方云服务遭未授权访问，约770万人信息或泄露

日本制造商Iris Ohyama（运营Iris Plaza购物平台）披露，其使用的第三方云服务遭未授权访问后，约770万人的个人信息可能已被暴露。公司于上月末发现该事件并公开披露，同时宣布网站暂时停运。公司在本周早些时候的更新中表示，在Iris Plaza线上商店使用的外部云服务中发现可疑文件，确认第三方未授权访问，并于10月29日首次公告。调查显示，存储在该受影响外部云服务中的客户数据可能已被未授权者访问。公司仍在核实泄露记录数量和受影响人数，称影响范围至多涉及580万注册及前会员和190万非会员。可能暴露的信息包括姓名、住址、电话、邮箱、性别、出生日期和账户密码；在职注册会员的密码以加密形式存储。信用卡信息未存储在受影响云服务中。截至11月5日，Iris Plaza尚未收到信息被滥用或财务损失的报告。公司已于2026年10月29日通知日本个人信息保护委员会和警方。发言人称未收到攻击者的直接联络，也尚未查明肇事者。

来源：BleepingComputer · 11-08 23:43（北京时间）

数据泄露与隐私

Gnosis Pay披露自有卡业务遭未授权访问，卡号CVV等数据泄露

加密支付卡服务商Gnosis Pay披露，其于11月3日发现自有品牌卡业务系统遭到未经授权访问，安全团队在2小时内解决了问题。泄露信息包括完整卡号、有效期、CVV安全码、姓名、家庭住址及关联的加密钱包地址。Gnosis Pay表示用户资金未遭转移，其企业白标发卡平台未受影响。文章指出，姓名、住址与链上地址相互关联，可能引发更具迷惑性的针对性钓鱼和社会工程攻击，甚至对高净值用户构成物理威胁，建议受影响用户更换支付卡并监控钱包异常活动。

来源：SecurityHub · 11-08 19:00（北京时间）

【三】焦点漏洞与攻击预警

漏洞与攻击

IBM Concert操作系统命令注入漏洞CVE-2026-6715，CVSS评分9.8

CVE-2026-6715于2026年11月8日发布。根据漏洞描述，IBM Concert 1.0至3.0.1.1版本存在缺陷：攻击者可提供经构造的输入，这些输入在未经过充分验证或清洗的情况下被并入操作系统命令。成功利用后，远程攻击者能够以受影响服务的权限在底层操作系统上执行任意命令。该漏洞严重程度评级为9.8，属CRITICAL级别。这是漏洞描述中给出的潜在影响，属于漏洞披露信息；该条证据未说明是否已有在野利用或实际攻击发生的记录。

来源：cvefeed · 11-09 02:38（北京时间）

漏洞与攻击

IBM CockroachDB PostgreSQL for VPC被评严重级SSRF漏洞

据VulDB消息，IBM CockroachDB PostgreSQL for VPC最高至26.2.3/25.4.12/25.2.20版本中发现一个被评为严重级的漏洞，编号为CVE-2026-18546。该漏洞影响未知功能，攻击者通过操纵可导致服务器端请求伪造。该攻击可远程发起。目前尚无任何可用的漏洞利用代码，消息中也未提及是否已在野利用或造成实际攻击。

来源：vuldb · 11-09 02:29（北京时间）

漏洞与攻击

OpenEMR 8.3.0之前版本存在严重路径遍历漏洞CVE-2026-124490

据CVE信息，CVE-2026-124490于2026年11月8日发布，严重级别为9.4（严重）。OpenEMR 8.3.0之前版本中，oe-module-faxsms模块的RingCentral RCFaxClient disposeDocument()方法存在路径遍历漏洞，允许已认证攻击者通过file\_path参数读写任意文件。攻击者可利用action=download读取凭据和源代码，或通过action=setup配合base64内容写入可执行网页文件以实现代码执行。该漏洞为已披露的安全缺陷，属潜在影响，未提及是否已在野利用。

来源：cvefeed · 11-08 22:18（北京时间）

漏洞与攻击

Userplace WordPress插件1.2.0及之前版本未授权漏洞可致站点被完全接管

漏洞CVE-2026-110963已于2026年11月8日发布，涉及Userplace WordPress插件1.2.0及更早版本。该插件未对一个可供未认证用户访问的AJAX操作执行授权检查，并公开暴露了保护该操作的nonce，使未认证攻击者能够创建管理员账户或写入任意站点选项，进而导致整站被接管。官方评分为0.0（NA），尚未有在野利用的报告。

来源：cvefeed · 11-08 14:17（北京时间）

漏洞与攻击

Contact Form 7插件6.2至6.2.3被指存在未授权任意文件上传漏洞可致远程代码执行

据CVE信息，WordPress插件Contact Form 7在6.2.4之前的版本不校验通过表单文件字段上传的文件类型和扩展名，且临时文件清理存在缺陷，上传的文件会残留在磁盘上，允许未认证用户向站点上传任意文件。研究描述称，在默认列出目录内容并将.phar映射到PHP处理器的Debian或Ubuntu Apache典型配置下，存储的文件可被定位并执行，从而导致远程代码执行；在其他配置（包括启用.htaccess覆盖的nginx和Apache环境）下，该问题仅限于向uploads目录写入任意文件，该文件仍可能以HTML或SVG等主动内容形式从站点自身来源被提供。严重程度标为0.0（NA）。该信息为漏洞描述，未提及已发生的实际攻击或在野利用。

来源：cvefeed · 11-08 14:17（北京时间）

• -   -

- 极客视角 · 洞悉暗流 -