文章总结： 2026年7月9日安全简讯涵盖六大事件:Ubiquiti修复七个严重漏洞含命令注入;皇家山大学遭黑客窃删数据影响近两万人;NPM与PyPI现17个支付诈骗包窃取开发者密钥;墨西哥金融遭ClickFix攻击植入PowerShell木马;语音钓鱼诱骗M365用户注册攻击者控制的通行密钥;AssuranceAmerica数据泄露690万驾照信息被盗。建议立即更新软件、轮换密钥并警惕钓鱼攻击。 综合评分： 75 文章分类： 数据泄露,恶意软件,漏洞预警,社会工程学

安全简讯（2026.07.09）

启明星辰安全简讯

2026年7月9日 16:33 北京

在小说阅读器读本章

去阅读

1. Ubiquiti修复七大漏洞，严防命令注入攻击

7月8日，网络设备厂商Ubiquiti近日发布安全更新，修复了UniFi OS中七个严重安全漏洞，其中最严重的是CVE-2026-50746，该漏洞位于UniFi Connect应用程序（3.4.16及更早版本）中，可被攻击者利用于命令注入攻击。UniFi Connect是一套用于统一管理商业建筑智能设备（包括LED照明和电动汽车充电器）的软件套件。Ubiquiti解释称，拥有网络访问权限的恶意攻击者可利用该应用程序的不当访问控制漏洞，在主机设备上执行恶意命令，公司建议用户升级至3.4.20或更高版本以规避风险。此外，本次修复还涵盖了UniFi Talk、UniFi Access、UniFi Protect及多款路由器、网关和NAS系统中的六个高危漏洞（编号CVE-2026-50747等）。尽管Ubiquiti未透露这些漏洞是否已被在野利用，但确认其中六个可被低复杂度攻击且无需用户交互。据Censys监测，目前互联网上暴露着超过10万个UniFi OS实例，其中近半数位于美国，但尚不清楚已修复的比例及蜜罐数量。

https://www.bleepingcomputer.com/news/security/ubiquiti-warns-of-new-max-severity-unifi-os-vulnerability/

2. 皇家山大学遭黑客窃删数据，近两万师生受影响

7月8日，加拿大卡尔加里的皇家山大学（MRU）近日披露，其网络系统6月17日遭黑客入侵，已聘请外部网络安全专家及技术团队展开调查并推进恢复工作。此次事件严重扰乱了该校的在线服务、互联网接入及多个内部系统。经调查确认，攻击者非法访问并盗取了存储于学生和员工共用的“H盘”特定文件夹中的数据，涉及现任及前任学生、员工，以及未明确类别的“其他人员”的信息，具体泄露内容因个人而异。同时，攻击者还删除了另一个存储部门数据的“J盘”，但暂未发现该盘数据被复制或窃取的证据，校方正努力恢复已删文件，但坦言可能无法完全复原。由于原始数据被清除，校方难以迅速精准评估每位受影响者的风险，需耗时逐一核查，后续将通过个性化通知联系相关个人。MRU已向阿尔伯塔省信息和隐私专员办公室及执法部门报案，并为所有现任员工及过去五年内受聘者提供为期两年的信用监控和身份盗窃保护服务。此次攻击由威胁组织CMD Organization认领，该组织公布了护照扫描件等数据样本作为佐证，并向校方勒索30枚比特币（约合190万美元），限时六天回应，否则将公开全部被盗信息。

https://www.bleepingcomputer.com/news/security/mount-royal-university-confirms-breach-as-hackers-claim-attack/

3. NPM与PyPI现17个支付诈骗包，窃取开发者密钥

7月8日，近期，Node包管理器（npm）和Python包索引（PyPI）上被发现存在17个恶意软件包，专门针对Paysafe、Skrill和Neteller等支付平台的开发者和用户，旨在窃取凭证与访问令牌。这三个支付平台应用广泛，Paysafe常用于电商、游戏、旅游及SaaS领域，而Skrill和Neteller则多服务于在线博彩、加密货币及外汇交易。攻击者将恶意包伪装成合法支付SDK，公开预期API但返回虚假成功响应，实则内嵌窃密模块，将盗取的数据回传至亚马逊AWS上的命令与控制服务器。其中，13个npm包发布了1.0.0至1.0.3共四个恶意版本，4个PyPI包仅发布1.0.0版。窃取目标包括Paysafe API密钥、AWS密钥、GitHub令牌、npm令牌、主机名、用户名及API使用元数据。npm包的窃密模块仅在检测到Paysafe API密钥时激活，而PyPI包在初始化时便自动运行。恶意代码还具备基础反分析能力，若发现CPU核心少于2个或环境含虚拟化线索则会停止执行。建议开发者立即轮换所有受感染机器上的密钥，搜索依赖树并拦截相关包名请求，同时在CI系统日志中排查“PAYSAFE_API_KEY”与列名包的组合出现情况。

https://www.bleepingcomputer.com/news/security/fake-paysafe-skrill-sdks-on-npm-and-pypi-steal-credentials/

4. 墨西哥金融遭ClickFix攻击，植入PowerShell木马

7月8日，近期，Elastic Security Labs发现代号为REF6045的银行恶意软件活动，正针对墨西哥的银行、金融科技公司、支付处理商及加密货币交易所客户发起攻击。该攻击利用ClickFix社交工程技巧，通过伪装成合法安全检查的虚假验证码页面，诱导受害者复制恶意命令并粘贴至Windows运行对话框，从而启动多阶段感染。完成验证后，攻击者会显示伪造的Windows更新界面以分散注意，同时安装基于PowerShell的SCMBANKER工具包，建立持久性、监控网银会话、截屏、记录键盘、篡改剪贴板、重定向浏览器至钓鱼网站，并可部署商业远程控制软件以完全接管设备。研究还发现，攻击者借助大型语言模型辅助开发部分代码，但质量参差且留有AI生成痕迹。此活动主要影响墨西哥境内的个人及组织，尽管地域性强，但其ClickFix诱饵、虚假验证码及PowerShell传播手法正日益普遍，未来可能被调整用于攻击其他地区。

https://securityboulevard.com/2026/07/scmbanker-malware-targets-mexicos-financial-sector-using-clickfix-lures/

5. 语音钓鱼诱骗M365用户注册攻击者控制的通行密钥

7月8日，近期，威胁行为者利用基于语音的虚假安全请求，针对食品饮料、科技、医疗保健、汽车、建筑和航空等多个行业的组织，诱骗Microsoft 365用户注册新的Entra通行密钥。攻击者滥用微软于5月向管理员开放的“密码注册活动”功能，自4月起通过电话联系目标用户，以安全升级为由说服其注册受攻击者控制的通行密钥，并将受害者引导至模仿合法微软密码注册流程的钓鱼工具包。该工具包为操作员控制的PHP面板，采用1秒心跳轮询机制，能根据受害者的多因素认证（MFA）要求（如TOTP、推送通知、短信验证码）实时调整流程，受害者输入的凭据和MFA响应被传递给攻击者，用于验证并接管账户。受害者以为在注册新密码，实则攻击者注册了其控制的密钥，随后钓鱼网站还会展示伪造的密码注册页面，提示保存无实际作用的BIP-39恢复短语以分散注意。此次攻击由Okta追踪的O-UNC-066行为者实施，该组织运营名为Pink的勒索行动，与去中心化威胁网络The Com有关，以语音钓鱼和IT身份冒充收集凭证及MFA代码著称，获取访问权限后迅速从SharePoint和OneDrive窃取数据，并于5月31日推出勒索网站发布样本施压。

https://www.bleepingcomputer.com/news/security/entra-passkey-enrollment-vishing-targets-microsoft-365-users/

6. AssuranceAmerica数据泄露，690万驾照信息被盗

7月8日，美国保险公司AssuranceAmerica近期证实发生重大数据泄露事件，约690万人的个人信息及驾驶执照号码遭窃，成为今年已知规模最大的驾照信息泄露事件之一。该公司成立于1998年，为全美十多个州提供汽车和租赁保险，处理大量客户及投保人的敏感资料，包括姓名、联系方式、驾照号码、汽车保单、账户信息、驾驶员及车辆详情和索赔记录。攻击者于3月17日入侵其系统，通过窃取一名员工的凭证进入网络，公司于6月15日完成调查并禁用被盗凭证，但未说明凭证具体窃取方式。目前尚无证据表明公司与黑客接触或支付赎金。受影响的个人将在7月10日收到通知。此事件是近期多起涉及驾照等身份文件泄露的一部分，例如德克萨斯州公园和野生动物部门也曾被窃取数百万驾照信息。随着各国推行年龄验证法律，更多网站要求上传身份证明，此类泄露风险持续上升。

Another massive data breach exposed millions of driver’s license numbers

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：启明星辰安全简讯 《安全简讯（2026.07.09）》