【热点安全风险】10月10日｜日本云服务商遭勒索攻击，495 家企业与地方政府数据或无法恢复

华顺信安威胁情报中心

2026年10月10日 07:30
湖南

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

PART.01

风险汇总‍‍‍

风险一：日本云服务商遭勒索攻击，495 家企业与地方政府客户数据或难以恢复

IDC Frontier 于 10 月 8 日发布第三份公告，说明旗下 IDCF 云服务部分系统遭外部人员未授权访问并检测到勒索软件，故障自 10 月 7 日凌晨持续。公告确认，东日本区域 1 的 tesla、henry、pascal、joule 四个可用区出现虚拟服务器停止、无法重新启动等异常，受影响契约方达 495 家，涵盖企业与地方政府。官方明确指出，上述可用区中保管的客户数据「取出与恢复均较为困难」，按其当前判断，数据只能依靠客户自行持有的备份恢复，且暂未给出恢复时间表；公司已将东日本区域 1 从网络断开并停止管理控制台，同时暂停全部区域的控制台访问以开展安全检查，区域外未发现未授权访问，并已向主管省厅与警视厅报告。该事件表明，云服务的可用性与数据可恢复性并不等同，企业即便已上云，仍需自行确认备份是否完整、能否在其他环境读取并使用。

建议排查

1. 确认业务系统是否部署在 IDCF 云东日本区域 1 的受影响可用区。
2. 核查自身备份的完整性、覆盖范围与恢复可用性，并做一次恢复演练。
3. 检查与云平台管理控制台、运维通道关联的账号是否出现异常登录。

加固建议

1. 对关键数据实行异地、离线备份，避免备份与生产环境同时失陷。
2. 将管理控制台、运维接口收敛至受信网络或专线，不直接暴露于互联网。
3. 把云服务商纳入供应链风险管理，明确数据恢复责任与响应时限。

参考来源

https://www.idcf.jp/news/topics/20261008001

风险二：FortiBleed 凭据窃取行动持续，FortiGate 防火墙与 SSL VPN 网关面临失陷

美国联邦调查局与美国特勤局于 10 月 6 日发布联合安全公告，指出 FortiBleed 凭据窃取行动仍在持续针对互联网暴露的系统，目标为 Fortinet FortiGate 防火墙与 SSL VPN 网关。公告说明，该行动并不依赖某一特定软件漏洞，而是利用口令复用或历史泄露的凭据，配合设备遗留的 SHA-256 口令存储方式，实现认证数据的批量窃取与破解，因此单纯升级固件无法消除风险。公告同时指出，攻击者会在设备上创建新的管理员账户以维持访问，并出现删除或修改原有管理员口令、导致机构自身无法登录设备的情形，使处置难度明显上升，受影响面覆盖大量分布于多个国家的联网设备。此类设备处于网络边界，凭据一旦被掌握，攻击者可据此进入内部网络、进行域内枚举与横向移动，并被用作勒索攻击的入口。公告给出了可供排查的异常登录来源地址、信标端口与常见恶意账户名，并要求在发现失陷迹象时隔离设备、保留日志与证据。

建议排查

1. 逐一核对 FortiGate 与 SSL VPN 的管理员、VPN 账户是否均为本人创建。
2. 按公告给出的来源地址与端口检索日志，排查异常登录与信标通信。
3. 确认原有管理员能否正常登录，排查是否存在被新建或被删除的账户。

加固建议

1. 终止全部管理员与 SSL VPN 会话，重置所有管理员与 VPN 口令。
2. 启用抗钓鱼的多因素认证，并将管理员口令改用 PBKDF2 方式存储。
3. 关闭或收紧设备的互联网管理入口，边界管理统一经受信通道。

参考来源

https://www.ic3.gov/CSA/2026/261006.pdf

风险三：AWS AI 智能体平台曝满分漏洞，攻击者无需认证即可接管智能体控制面（CVE-2026-103956 等）

AWS 于 10 月 2 日发布安全公告，修复其开源 AI 智能体编排平台 Loom for AWS 的三枚漏洞。其中 CVE-2026-103956 评分 10.0，成因是认证依赖缺失关键功能认证（CWE-306、CWE-1188）：在未配置身份提供者的部署中，任何网络客户端只需向应用 API 发起请求，即可取得智能体控制面的完整管理权限，包括注册工具服务器、读取其中已存储的集成凭据、改写受管智能体角色所绑定的 IAM 角色策略，该问题已在 1.6.1 修复。CVE-2026-103957（8.2）与 CVE-2026-103958（8.3）均为出站请求处理缺陷：持有 mcp:write 或 a2a:write 权限的已认证用户，可令后端把 OAuth2 客户端密钥或其他用户的访问令牌发往外部端点，或读取任意内网地址的响应并取得容器角色的临时云凭据，两者已在 1.7.0 修复。该平台集中编排智能体的工具、模型与云上权限，控制面一旦被接管，攻击者可借其所掌握的凭据与 IAM 角色策略横向进入云环境。

建议排查

1. 清点在用的 Loom for AWS 部署及其版本，确认是否低于 1.7.0。
2. 核查部署是否已配置身份提供者，未配置的实例应视为直接暴露。
3. 检查应用 API 访问日志与工具服务器、远程智能体注册记录，排查异常配置与凭据读取。

加固建议

1. 升级至 1.7.0，并同步修补自建的 fork 与衍生代码。
2. 对外提供服务前先配置身份提供者，并轮换集成凭据、OAuth2 客户端密钥与访问令牌。
3. 以最小权限约束智能体角色的 IAM 策略，并开启控制面操作审计。

参考来源

https://aws.amazon.com/security/security-bulletins/2026-124-aws/

风险四：IBM 身份认证平台曝多枚未认证代码执行与认证绕过漏洞，攻击者可接管统一认证中枢（CVE-2026-78401 等）

IBM 于 10 月 7 日发布安全公告，修复 IBM Verify Identity Access 与 IBM Security Verify Access 的多枚漏洞。其中 CVE-2026-78401、CVE-2026-78406 评分均为 9.8，成因是不安全地反序列化不可信数据（CWE-502），未认证的远程攻击者可借此在系统上执行任意代码；CVE-2026-16823、CVE-2026-19491 评分 9.1，属认证机制缺陷，远程攻击者可绕过认证与安全限制；CVE-2026-16916 同为 9.1，属保护机制失效，需已认证身份方可触发。受影响版本为 IBM Security Verify Access 10.0 至 10.0.9.2 与 IBM Verify Identity Access 11.0 至 11.0.3，两者的容器版本同样受影响；官方已在 10.0.9.3 与 11.0.3.1 中完成修复，且未提供临时规避手段。该平台承担企业统一身份认证与访问控制，通常作为对外登录入口部署，一旦被未认证接管，攻击者可绕过认证、窃取凭据与令牌，并以此为跳板进入已接入的下游系统。

建议排查

1. 清点 IBM Security Verify Access 与 IBM Verify Identity Access 实例（含容器部署）及其版本。
2. 核查上述身份平台的登录入口与接口是否直接暴露于互联网，确认实际可达范围。
3. 检查认证与审计日志中是否存在认证绕过、反序列化异常与异常的凭据读取行为。

加固建议

1. 将平台升级至 10.0.9.3 或 11.0.3.1，容器版本按官方说明同步更新。
2. 升级前先收敛实例的对外暴露面，认证与登录入口不直接暴露于互联网。
3. 对身份平台启用多因素认证与最小权限，并轮换其中保存的凭据与令牌。

参考来源

https://www.ibm.com/support/pages/node/7291628

风险五：微软多枚满分与严重漏洞获修复，云服务与业务平台面临未认证代码执行（CVE-2026-96207 等）

微软于 10 月发布的安全更新中修复多枚严重级别漏洞，涉及身份、预约、云托管与数据平台。其中，Microsoft Partner Center 存在证书校验不当问题（CVE-2026-96207），CVSS 3.1 高达 10.0，未认证攻击者可经网络提升权限；Microsoft Bookings 存在基于用户可控键值的授权绕过（CVE-2026-94510），评分 9.9，未认证攻击者同样可越权提升权限。此外，Azure App Service 存在关键功能缺失认证问题（CVE-2026-77900），Microsoft Dataverse 存在不可信数据反序列化问题（CVE-2026-88131），评分均为 9.8，未认证攻击者可经网络执行代码。上述组件分别对应合作伙伴运营入口、对外预约服务、应用托管平台与业务数据底座，覆盖对外服务与内部数据两条链路；未认证即可触发意味着无需任何凭据即可尝试，一旦成功可直接执行代码或取得更高权限，进而读取业务数据、篡改配置并作为进一步渗透的落脚点。

建议排查

1. 核对 Partner Center、Bookings、Azure App Service 与 Dataverse 的更新状态。
2. 检查上述服务的访问日志中是否存在来源异常、格式异常的请求。
3. 核查云平台与业务系统内的账号、角色与权限是否出现非授权变更。

加固建议

1. 按官方更新指引为上述组件安装对应安全更新。
2. 对云服务与业务平台启用多因素认证，并收敛管理接口的暴露面。
3. 对受管平台实施最小权限与操作审计，及时发现权限异常。

参考来源

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-96207

风险六：思科许可管理平台曝未认证任意文件写入与口令重置，攻击者可直接接管账号（CVE-2026-76454/CVE-2026-20328）

思科于 10 月 7 日发布安全公告，修复 Cisco License On-Prem（原 Cisco Smart Software Manager On-Prem）的多枚漏洞，整体安全影响级别为严重。其中，管理 API 中的 Cisco Smart Licensing Utility 接口存在输入校验不当与认证缺失问题（CVE-2026-76454，CVSS 9.1），未认证的远程攻击者可借此向底层系统写入任意文件、修改系统文件或造成拒绝服务；口令重置流程存在校验不当问题（CVE-2026-20328，CVSS 9.1），未认证攻击者可重置任意账号口令，包括高权限管理员账号，进而取得平台访问权限。另有两枚问题（CVE-2026-76437、CVE-2026-76452，各 4.9）需具备管理员凭据方可触发。该平台集中管理整个网络产品体系的许可证，是设备授权与分发中枢，一旦被接管，攻击者不仅可读取其中的许可与配置信息，还可借其管理能力影响下游设备，权限价值高于一般业务系统。官方已发布修复版本，未提供可行的临时规避手段，并说明厂商尚未获悉这些漏洞被公开利用。

建议排查

1. 确认在用的 Cisco License On-Prem 版本是否低于公告列出的修复版本。
2. 检查管理 API 与口令重置接口的访问日志，排查异常请求与账号变更。
3. 核查平台内是否存在非本人创建或权限被提升的账号。

加固建议

1. 按公告将平台升级或迁移至 10-202609 等指定修复版本。
2. 将管理 API 与界面收敛至受信网段，禁止直接暴露于互联网。
3. 重置管理员口令并启用多因素认证，审计账号权限变更。

参考来源

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ssm-access-nttb2dhE

PART.02

总体处置建议‍‍‍

总结

本期六条风险延续两条主线。一是业务系统与数据面的直接失陷：日本云服务商 IDC Frontier 遭勒索攻击，波及 495 家企业与地方政府，客户数据或难以恢复。二是身份、边界与平台侧的高危漏洞：AWS 开源 AI 智能体编排平台 Loom for AWS 曝满分漏洞，在未配置身份提供者的部署中任何网络客户端即可接管智能体控制面；IBM 身份认证平台曝多枚未认证代码执行与认证绕过漏洞；FortiBleed 行动持续针对 FortiGate 防火墙与 SSL VPN 网关；微软与思科亦有满分或严重漏洞获修复。整体看，未认证可达且后果直达管理权限的漏洞仍是本期处置重点，其中 AI 智能体平台的控制面权限尤其值得关注。

整体风险处置建议

1. 以「未认证可达 + 后果直达高权限」为最高优先级，先行处置边界设备、身份认证与许可管理等平台组件。
2. 对自建与外网暴露的管理平台、边界设备统一收敛访问入口，管理与 API 接口不直接暴露于互联网。
3. 将云服务商、软件供应方与个人信息受托方纳入供应链风险管理，明确数据恢复、事件通报与审计责任。
4. 对关键数据实行异地与离线备份，并定期开展恢复演练，避免备份与生产环境同时失陷。
5. 对涉及个人信息与凭据的系统落实最小权限、日志留存与定期口令轮换，降低泄露后的撞库与横向风险。

合规说明

以上内容基于公开信息整理，仅用于网络安全防护与管理决策参考，具体影响范围与修复方式请以厂商官方公告为准。