每周网安资讯（10.9-10.12）| D-Link路由器命令注入高危漏洞

交大捷普

2026年10月12日 18:10
陕西

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

2026

[ 每周网安资讯 ]

网安资讯

1.第十届“强网杯”全国网络安全挑战赛正式启动，聚焦实战化网络攻防演练

公开资讯显示，第十届“强网杯”全国网络安全挑战赛于近期官宣开赛，赛事围绕关键信息基础设施防护、AI新型网络攻击、漏洞挖掘等方向设置实战赛题，汇聚国内多支专业攻防队伍同台竞技。建议各单位可参考赛事实战攻防思路，开展内部安全自查与人员安全能力培训，完善应急处置预案。

安全情报

1.黑产利用求职招聘主题钓鱼邮件实施社工攻击，窃取企业人员信息与业务账号

近期安全情报显示，攻击者伪装猎头、应聘人员发送简历附件，文档内嵌恶意代码。一旦打开附件可触发木马，窃取员工账号、内部通讯录。建议人事部门重点留意陌生求职邮件，外来简历文件必须经过沙箱查杀。

2.车载终端相关恶意探测行为增多，攻击者扫描车载设备管理接口尝试入侵

监测发现大量扫描流量瞄准联网车载设备，攻击者尝试利用弱口令登录，篡改车辆配置、窃取车辆运行数据。拥有车联网业务的单位，需隔离车载管理端口，修改设备默认密码，开启访问日志审计。

3.云对象存储Bucket未授权访问事件频发，大量业务配置失误造成数据泄露

不少企业云存储桶对外开放，无需凭证即可下载业务文档、客户资料。建议运维人员全面梳理云上存储资产，关闭匿名访问权限，最小化配置存储访问策略，定期开展云上资产巡检。

4.虚假网盘解压密码钓鱼在社交群组传播，诱导用户运行恶意解密工具

黑产在社群分享压缩包资源，附带虚假解压工具，工具运行后窃取本地文件与浏览器凭证。提醒员工不要下载来源不明压缩包，拒绝运行陌生的解压、破解类程序。

5.物联网摄像头弱口令爆破持续活跃，大量公网摄像头被批量抓取访问权限

自动化扫描脚本持续探测联网摄像头，尝试默认账号密码登录，窃取监控画面。建议对公网暴露摄像头修改默认密码，限制外网直接访问，开启设备异常登录告警。

漏洞预警

1. WordPress插件文件上传高危漏洞

发布时间10月9日，CNNVD收录WordPress插件高危漏洞。未经身份验证攻击者可上传恶意脚本，获取网站服务器权限。使用该插件的网站尽快升级至安全版本，限制后台管理地址公网访问。

2. Zabbix监控系统远程命令执行漏洞

发布时间10月10日，CNNVD收录Zabbix高危RCE漏洞。攻击者构造恶意请求可执行系统指令，接管监控服务器。运维人员升级补丁，监控平台禁止直接暴露公网，启用强认证。

3. D-Link路由器命令注入高危漏洞

发布时间10月10日，CNNVD收录D-Link多款家用/企业路由器命令注入漏洞。攻击者可远程执行指令，获取路由器管理权限。尽快更新固件，关闭路由器远程管理功能。

4. Node-RED低代码平台文件读取漏洞

发布时间10月11日，CNNVD收录Node-RED路径遍历漏洞，远程攻击者读取系统敏感配置文件。使用该平台的业务系统，限制访问来源IP，升级修复版本。

5. Grafana面板信息泄露高危漏洞

发布时间10月11日，CNNVD收录Grafana漏洞，未授权用户可读取面板数据源账号密码。尽快升级，关闭匿名访问，开启面板访问鉴权。

6. PostgreSQL数据库权限绕过漏洞

发布时间10月11日，CNNVD收录PostgreSQL高危漏洞，特定条件下攻击者越权查询数据库数据。数据库管理员升级安全补丁，落实数据库最小权限访问。

关于捷普

捷普作为一家国内先进的新时代网络信息安全产品和服务提供商，坚持以“全面安全 智慧安全”为产品理念，持续技术创新，为广大用户提供基础设施安全、数据安全、信创安全、工业互联网安全、云安全、物联网安全、国密安全等七大系列网络安全产品。并在风险评估、渗透测试等安全服务上占据优势，协助用户全面提升IT基础设施的安全性、合规性和生产效能，面向数字时代保障信息系统全面安全。

END