2026-10-15 12:44:00 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

安全热点周报：SonicWall SMA1000 最高严重级别漏洞已被用于实际攻击

奇安信 CERT

2026年10月10日 17:07
北京

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

安全资讯导视
• 中国人民银行《金融信用信息基础数据库管理办法》公开征求意见
• 国产鱼缸智能插排遭黑客攻击断电：观赏鱼或大量死亡官方致歉
• 美国防部重大数据泄露：数百万军人敏感信息被窃取

PART01

漏洞情报

1.Handlebars.js validateAstNode原型链绕过远程代码执行漏洞安全风险通告

10月9日，奇安信CERT监测到Handlebars.js validateAstNode 原型链绕过远程代码执行漏洞(CVE-2026-106446)，该漏洞源于4.7.9 为修复 CVE-2026-33937（AST 类型混淆导致 JavaScript 注入）而引入 validateAstNode。但该校验器仅遍历节点的自有可枚举属性（Object.keys），而代码生成器使用普通属性访问，会沿原型链读取字段。攻击者将整个恶意 Program AST 挂载到传入 compile() 的对象的原型上，即可令校验器看到“空对象”而跳过，编译器却照常读取并执行恶意字段。目前该漏洞PoC与技术细节已公开。鉴于该漏洞影响范围较大，建议客户尽快做好自查及防护。

2.Atlassian多款产品任意文件读取漏洞安全风险通告

10月8日，奇安信CERT监测到官方修复Atlassian 多款产品任意文件读取漏洞(CVE-2026-21589)，该漏洞源于共享库 atlassian-plugins-webresource 中 webresource 路由器的双重 URL 解码缺陷以及对“::”序列到“/”的反转义处理，导致绕过 Tomcat 的 URI 规范化检查。攻击者无需认证即可通过构造特殊路径的请求，读取 Web 应用根目录下（包括 WEB-INF 目录）的指定文件。成功利用可导致配置文件、凭据（JDBC 连接串、密码、API Token、私钥等）泄露，进而实现权限提升、账户接管或横向移动。目前该漏洞PoC和技术细节已公开。鉴于该漏洞影响范围较大，建议客户尽快做好自查及防护。

PART02

新增在野利用

1.SonicWall SMA1000 服务器端请求伪造漏洞(CVE-2026-102255)

10月9日，攻击者正在利用 SonicWall SMA1000 设备中的一个最高严重性漏洞（CVE-2026-102255），该漏洞已于三天前进行了修补。

该漏洞编号为 CVE-2026-102255，会影响 SMA1000 6210、7210 和 8200v 型号上的 Appliance WorkPlace 接口，但不会影响 SMA 100 系列产品线或在 SonicWall 防火墙上运行的 SSL-VPN。SonicWall解释说称，通过滥用此路径，未经身份验证的远程攻击者可能会利用此漏洞，指示设备代表他们发出请求，从而访问内部功能并执行未经授权的操作。

虽然 SonicWall 尚未在其公告中将此漏洞标记为已被积极利用，但 Previdian 创始人兼安全研究员 Ryan Dewhurst 称，该公司的蜜罐网络已检测到与 CVE-2026-102255 漏洞一致的利用尝试。这些请求的目标是 WorkPlace Extraweb 界面，攻击者使用精心构造的 OPTIONS 请求来访问设备内部的 CouchDB 服务，地址为 127.0.0.1:5984。有效载荷试图访问 CouchDB 设计文档并调用其 rewrite 函数，同时提供了一个包含凭据 admin:admin 的 HTTP 基本授权标头。它影响的是与2026年7月和9月披露的 SSRF 漏洞相同的 WorkPlace 界面。但是，10月份的漏洞使用了不同的利用技术。虽然这种活动与积极的攻击尝试相符，但 Previdian 尚未确定“这些尝试是否已成功入侵任何系统”。

虽然互联网威胁监督机构 Shadowserver 目前追踪到400多台暴露在网上的 SMA1000 设备，但尚无信息表明其中有多少是蜜罐，或者有多少已经针对 CVE-2026-102255 攻击进行了修补。

SMA1000 企业级安全远程访问网关经常成为攻击目标，因为托管服务提供商 (MSSP)、许多大型企业和政府机构使用它们进行 VPN 访问以访问内部应用程序和企业网络。

参考链接：

https://www.bleepingcomputer.com/news/security/max-severity-sonicwall-sma1000-flaw-now-exploited-in-attacks/

2.Citrix NetScaler 内存破坏漏洞(CVE-2026-88779)

10月9日，Citrix 已警告 IT 管理员立即修补系统，以应对影响 NetScaler ADC 网络设备和 NetScaler Gateway 安全远程访问解决方案的新型严重漏洞。该漏洞编号为 CVE-2026-107406，源于内存溢出弱点，攻击者可以利用该弱点在目标设备上获得远程代码执行 (RCE) 权限，或触发拒绝服务状态，从而导致崩溃。

要使 NetScaler ADC 和 NetScaler Gateway 设备存在漏洞，必须将其配置为安全断言标记语言 (SAML) 身份提供商 (IdP) 或服务提供商 (SP)。该公司表示，强烈建议受影响的客户查看此安全公告，并尽快将受影响的 NetScaler 实例升级到推荐版本。截至公告发布之时，Citrix 尚未发现任何针对此漏洞的未缓解利用。

Citrix 建议客户将存在漏洞的 NetScaler ADC 和 NetScaler Gateway 设备升级到：NetScaler ADC 和 NetScaler Gateway 14.1-73.46 及更高版本；NetScaler ADC 和 NetScaler Gateway 13.1-64.29 及更高版本的 13.1；NetScaler ADC 14.1-FIPS 14.1-73.46 FIPS 及更高版本的 14.1-FIPS；NetScaler ADC 13.1-FIPS 和 13.1-NDcPP 13.1.37.283 及更高版本的 13.1-FIPS 和 13.1-NDcPP。

互联网威胁监督机构 Shadowserver 追踪了超过21,000个在互联网上暴露的 NetScaler 指纹 IP 地址（包括1,500多个 Gateway 实例和近20,000个 NetScaler ADC 设备）。然而，目前尚无信息表明有多少是蜜罐，有多少已被修补，或者有多少存在漏洞配置。

安全团队应优先检查配置为网关或启用了 SAML 身份验证的 AAA 虚拟服务器的设备，受影响的组织应应用修复版本。如果无法立即升级，则应应用 Citrix 的临时缓解措施。

参考链接：

https://www.bleepingcomputer.com/news/security/citrix-warns-admins-to-patch-new-netscaler-rce-flaw-immediately/

3.Fortinet FortiMail 路径遍历漏洞(CVE-2026-104286)

10月1日，Fortinet 警告客户注意 FortiMail 的一个严重漏洞（编号为 CVE-2026-104286），该漏洞正被积极用于零日攻击，以在易受攻击的设备上执行未经授权的代码或命令。该漏洞被评为严重级别，CVSS 评分为9.8，会影响 FortiMail 管理界面。

Fortinet 在一份安全公告中表示，路径名对受限目录的限制不当（路径遍历）[CWE-22] 和空字节或空字符的中和不当 [CWE-158] 漏洞可能允许未经身份验证的攻击者通过精心构造的 HTTP 或 HTTPS 请求在底层系统上写入任意文件。

Fortinet 产品安全团队的 Gwendal Guégniaud 在内部发现了该漏洞，该漏洞影响 FortiMail 8.0.0 至 8.0.1、FortiMail 7.6.0 至 7.6.6、FortiMail 7.4.0 至 7.4.8 以及 FortiMail 7.2.0 至 7.2.9。Fortinet 表示该漏洞正被积极利用，并敦促客户在安装安全更新之前使用共享的变通方法。

Fortinet 还公布了与这些攻击相关的入侵指标 (IOC)，其中包括在被入侵的系统上添加或修改的几个文件。Fortinet 还列出了 79[.]141.169.187 与 45[.]129.0.192 这些攻击相关的 IP 地址。该建议还包括管理员可以用来识别可能已被入侵的设备所需的日志条目。

其中一条记录显示，一个名为 ` 的归档帐户 archive234 是通过命令行配置的，79.141.169.187 远程服务器为，/uploads 远程目录为`。这可能表明攻击者已将受感染的 FortiMail 设备配置为将归档数据发送到远程服务器。其他日志条目包括执行与此相关的命令的 cron 作业 /migadmin、管理员注销事件、由于 Base64 编码无效导致的 IBE 解密错误以及登录尝试失败。

Fortinet 尚未透露该漏洞何时首次被利用、有多少系统受到攻击，以及幕后攻击者是谁。建议受影响用户尽快更新至不受影响的版本。FortiMail 7.2 用户可以通过升级到 7.4 或更高版本来修复此漏洞。对于受影响的 FortiMail 7.4、7.6 和 8.0 版本，目前尚无安全更新可用，Fortinet 已将 FortiMail 7.4.9、7.6.7 和 8.0.2 列为即将发布的包含此修复程序的版本。在修复版本发布之前，Fortinet 表示管理员可以通过以下命令禁用 IBE 功能支持来缓解此漏洞。作为替代方案，管理员可以禁用从 Internet 访问 FortiMail 管理界面，或者将访问限制在受信任的专用网络中。

参考链接：

https://www.bleepingcomputer.com/news/security/fortinet-warns-of-critical-fortimail-flaw-exploited-in-zero-day-attacks/

PART03

安全事件

1.国内超70万设备感染内置后门的恶意软件，CNCERT发布风险提示

10月9日CNCERT消息，国家互联网应急中心（CNCERT）监测发现，“荐片播放器”Windows端应用程序内置后门功能，可在用户不知情的情况下采集终端信息、下载运行其他程序，并接收服务端指令执行任意代码，存在终端被远程控制、个人信息泄露等安全风险。目前，境内已监测到超70万台设备感染。该恶意软件的所谓官方网址未在国内合法备案。CNCERT建议广大用户和有关单位参考防范建议提示，积极识别风险、排查处置。

原文链接：

https://www.secrss.com/articles/94548

2.国产鱼缸智能插排遭黑客攻击断电：观赏鱼或大量死亡官方致歉

10月8日IT之家消息，国庆期间，贵州、广东等地的多位鱼友在网上发帖称，沃尔达科技的鱼缸智能插排出现故障，自动关停设备，也无法通过小程序重新打开，导致观赏鱼成批死亡。根据网友晒出的沃尔达官方通告，9月30日20:30左右，沃尔达智能插排服务器系统遭遇恶意黑客入侵攻击，导致部分用户设备远程异常断连、无故断电。沃尔达官方向全体受到影响的用户致歉。通告还称，本次为黑客的恶意网络攻击，非产品质量问题、非操作问题，是不可抗拒的外部因素导致。

原文链接：

https://mp.weixin.qq.com/s/4pQ5xB1hfS7xyVDs8\_rEOA

3.数百万用户手机收到黑客勒索通知，英国一上市公司股价闪崩逾10%

10月6日The Record消息，英国在线时尚零售商、上市公司ASOS遭网络攻击，旗下移动APP被攻击者推送数据勒索通知，可能有数百万用户收到消息，公司当天股价闪崩逾10%。该公司后续披露称，APP弹窗是未授权的第三方发送，客户姓名、联系方式等基础个人信息可能遭到泄露。该公司此前声称拥有约1650万活跃用户。据悉，攻击者通过社工获取了ASOS员工账号的访问权限，登录某个内部服务并下载了客户数据。攻击者称控制了该公司的Snowflake数据基础设施实例，但没有给出任何证明。

原文链接：

https://www.secrss.com/articles/94553

4.丹麦全国公民身份数据全部泄露：因人口系统遭异常访问

10月5日The Record消息，丹麦政府披露，正在调查一起针对该国国家人口登记系统（CPR）的数据泄露事件。据悉，CPR系统的某家合作方私企遭到攻击，攻击者利用其合法访问权限对该系统发起大规模自动化查询，导致约880万民众的CPR编号等个人信息泄露。CPR编号类似于我国身份证号，以个人出生日期开头，被广泛用于丹麦医疗、银行及政府服务。由于CPR编号通常终身不变，受影响人员可能长期面临风险。该事件发生在9月，丹麦官方直到10月2日才发现异常活动，官方尚未透露攻击者的可能身份。

原文链接：

https://www.secrss.com/articles/94517

5.美国防部重大数据泄露：数百万军人敏感信息被窃取

9月29日CNN消息，据媒体曝光，美国国防部人力数据中心（DMDC）遭网络入侵，超300万军人的个人身份信息遭窃取，包括276万名“在世人员”和29.4万名“已故人员”。其中，“在世人员”可能包括现役和退役国防人员及其家属。泄露的信息因人而异，可能包括社会安全号码（SSN）、姓名、联系方式及军人职业信息等。DMDC在致受影响人员的通知信中称，该机构文件共享系统的一个未知漏洞被少数未授权用户利用了长达9个月，直到今年7月其发现并修复漏洞。尽管官方称暂未发现公开滥用迹象，但国家安全专家称可能造成反情报风险。

原文链接：

https://www.secrss.com/articles/94418

PART04

政策法规

1.中国人民银行《金融信用信息基础数据库管理办法》公开征求意见

9月30日，中国人民银行起草了《金融信用信息基础数据库管理办法（征求意见稿）》，拟替代现行的《个人信用信息基础数据库管理暂行办法》，现公开征求意见。该文件共6章50条，其中第4章为安全管理，明确对运行机构和接入机构在数据安全保护、共同处理信息、用户管理、异常监测、应急处理和灾备机制等方面要求。该文件要求，运行机构和接入机构应当建立征信用户管理台账，完整、准确记录征信用户操作行为，建立信息处理活动风险监测机制，对系统运行和征信用户操作的风险进行有效监测和预警，及时发现问题、排除隐患。

原文链接：

https://www.secrss.com/articles/94443

2.中国气象局公布《气象数据管理办法》

9月29日，中国气象局公布《气象数据管理办法》，自今年11月1日起施行。该文件共7章38条，以“激励供给、促进流通、规范治理”为主线，构建了覆盖数据供给、数据流通利用、数据安全保障、监督管理、法律责任等全链条的制度框架。该文件明确要求把安全贯穿数据供给、流通、使用全过程，通过统筹发展和安全加强数据安全治理，明确数据流通监管平台功能和气象数据处理者的安全主体责任，建立重要数据目录制度和安全风险评估机制，通过鼓励数据安全技术创新，防范化解风险，并明确气象等有关部门的监管职责以及约谈整改、行政检查等监管措施，对违反数据流通秩序、危害数据安全的违法行为设定罚则。

原文链接：

https://www.secrss.com/articles/94410

【已复现】Atlassian 多款产品任意文件读取漏洞(CVE-2026-21589)安全风险通告

安全热点周报：两个未修补的 Citrix NetScaler 远程代码执行零日漏洞正被积极利用

本期周报内容由安全内参&虎符智库&奇安信CERT联合出品！