2026-10-16 12:51:57 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

Linux vhost 漏洞 PoC 公开，虚拟化边界需要重新核对

汇能云安全

2026年10月15日 10:40
广东

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

10月15日，星期四，您好！中科汇能与您分享信息安全快讯：

NGINX 三项漏洞曝光：先确认配置，再安排升级

F5 披露，NGINX Plus 和 NGINX 开源版存在三项安全缺陷，远程未认证攻击者可以通过构造 HTTP 请求导致工作进程崩溃；在特定配置下，内存错误还可能带来代码执行风险。F5 给出的摘要特别提到，这种代码执行情形与地址空间布局随机化（ASLR）被关闭有关，不能简单理解为所有 NGINX 实例都能被远程接管。NGINX 通常位于网站、API 和应用服务前方，既负责接收请求，也可能承担反向代理和流量分发，一旦工作进程反复崩溃，首先受到影响的可能是服务可用性；如果部署条件同时满足更严重的利用要求，风险就不止于短暂中断。当前应以 F5 公告确认受影响版本和具体修复信息，不要仅凭 “服务器还能访问” 判断系统安全。运维团队应盘点公网和内网中的 NGINX 实例，优先更新承载关键业务的节点，并确认修复已实际安装。补丁完成前，限制不必要的公网入口，核实系统启用了 ASLR，留意异常请求、工作进程重启和错误日志。使用集群或负载均衡的企业，也要验证故障切换是否有效。

curl 一次修复 24 项问题，别漏掉藏在依赖里的版本

curl 项目 10 月 14 日发布 8.23.0 版本，公告称修复 24 项安全问题，涉及凭据泄露、认证处理、命令注入以及可能干扰应用运行的缺陷。此次更新还移除了 SMB 和 SMBS 协议支持。这些信息值得企业关注，但不能把 24 项问题简单说成 24 种都能远程攻击的漏洞；每一项的受影响版本和触发条件，还需要依据项目发布说明逐项确认。curl 不只是管理员在终端里下载文件时会用到的工具，它的底层库 libcurl 可能被业务应用、自动化脚本、构建流水线和设备固件调用，也就是说，组织里即便没有人主动运行 curl 命令，相关组件仍可能作为依赖存在。若程序处理外部提供的地址、凭据或文件，组件中的缺陷可能影响应用行为，甚至造成敏感信息暴露。建议从软件物料清单、依赖扫描和终端资产管理中查找 curl 与 libcurl 版本，确认是否受影响，再按项目公告升级。由于 SMB/SMBS 支持被移除，升级前要检查是否有业务流程依赖这些协议，并在测试环境验证兼容性。完成更新后，复核下载、认证和自动化作业是否正常；若曾存在凭据暴露可能，应撤销旧令牌并更换相关密码。

Linux vhost 漏洞 PoC 公开，虚拟化边界需要重新核对

研究人员公开了 Linux vhost 漏洞 CVE-2026-74580 的概念验证代码。现有信息称，本地用户可能借此提升到 root 权限；在特定虚拟机配置下，还可能从客户机影响宿主机。该漏洞 CVSS v3.1 评分为 8.8，并已有修复版本。PoC 公开会降低研究和验证门槛，但不代表所有 Linux 主机都能被远程攻破，实际风险取决于内核版本、配置和攻击者已有权限。vhost 处于虚拟化 I/O 路径中。对于个人设备，风险可能体现为本地权限提升；对于承载多个客户或业务的虚拟化宿主机，问题还涉及不同工作负载之间的隔离。如果宿主机被影响，后果可能波及其上运行的虚拟机和业务，因此多租户环境应优先排查，而不能只关注普通服务器是否出现告警。运维人员应根据所用 Linux 发行版的安全公告，核对内核版本与修复状态，优先安排多租户和关键业务宿主机更新，并做好维护窗口与回滚准备。补丁尚未部署时，限制不可信用户创建或运行虚拟机，审查宿主机权限和虚拟化管理面访问。更新后检查内核日志及虚拟机隔离状态，并将 PoC 信息用于授权环境验证，不要在生产系统上直接运行未知利用代码。

仿冒 WatchGuard VPN 下载站窃取账号，安装真软件也不等于安全

攻击者搭建了仿冒 WatchGuard VPN 下载页面，诱导用户先填写 VPN 服务器地址、用户名和密码，之后才提供真正的、带数字签名的 VPN 安装程序。这个手法容易让人误以为下载过程没有问题：软件确实能运行，签名也可能正常，但账号信息在输入假页面时已经泄露。风险核心不是安装包被替换，而是登录凭据被提前交给攻击者，VPN 账号往往连接企业远程接入入口，若密码被盗，且账户没有多因素认证、权限又较宽，攻击者可能尝试登录并进一步探测内网。现有摘要没有提供受影响人数，也没有说明每个被收集的账号都已被成功利用，因此处置时应先核实证据，不应将潜在风险直接说成已发生大规模入侵。企业应通过官方站点、书签或受管软件门户分发 VPN 客户端，避免员工依赖搜索广告和陌生下载页。曾在可疑页面输入凭据的用户，应从可信设备立即修改密码，撤销已有会话和令牌，并检查近期登录来源、设备及异常时段。安全团队应排查 VPN 登录记录和后续内网访问；同时启用多因素认证、限制账号权限，并对异常登录设置告警。

FAMOUS CHOLLIMA 笔记本农场被查，远程入职核验不能只看视频

美国联邦调查局在 9 月下旬采取行动，拆除了若干被朝鲜关联组织 FAMOUS CHOLLIMA 用于支持虚假远程雇员活动的美国境内笔记本电脑农场。CrowdStrike 于 10 月 13 日披露，这些设备为假冒远程工作者进入美国企业提供了基础设施，行动切断了部分支撑环节，但并不能证明相关人员、账号或其他设备已全部清除。这类活动利用的是正常招聘与远程办公流程。攻击者试图让身份、设备位置和实际操作者之间出现错位，一旦通过招聘进入组织，可能接触公司账号、代码仓库或内部资料。企业不能只依赖视频面试，也不能把一份身份文件当作完整核验；设备管理、身份验证和权限审批需要相互印证。招聘、IT 和安全团队应采用一致的身份核验流程，对高权限岗位进行更严格的背景与入职审查。公司设备应统一配置并纳入设备管理，账号启用多因素认证、设备合规检查和最小权限。对于近期新入职的远程员工，可复核设备注册、登录地点、账号创建和访问行为是否一致；发现异常时先暂停高风险访问，再保全终端、邮件和身份平台日志。执法行动是重要进展，企业仍要自行确认账号及设备是否受影响。

AI 代理协助构建 Chrome 攻击链，浏览器补丁窗口可能更紧

安全团队 XBOW 称，其利用 AI 代理在六天内构建出一条 Chrome 完整攻击链，并获得 Google 25 万美元漏洞奖励，项目披露估算计算成本约 4 万美元，使用了公开可用的 GPT-5.6 Sol。Google 已修复相关漏洞。这个案例说明，AI 可以辅助研究人员更快进行漏洞探索、测试和攻击链验证，但不应被夸大为 “AI 已经能攻破所有浏览器”，报道也没有表示这条攻击链曾被用于真实入侵。对防守方而言，值得留意的是漏洞研究与验证的周期可能缩短。浏览器处理网页、脚本、媒体和文档内容，是用户身份和企业业务的重要入口；当补丁发布后，如果终端长期未更新，暴露窗口可能成为攻击者优先利用的机会。研究者获得奖励与厂商完成修复，是负责任披露机制发挥作用的表现，不能与在野攻击混为一谈。企业应通过浏览器管理策略核对 Chrome 稳定版实际运行版本，尽快部署 Google 已发布的安全更新，并优先覆盖处理敏感业务、长期离线或无法自动更新的终端。安全团队可关注官方漏洞公告和终端告警，尤其是浏览器异常崩溃、可疑子进程和非预期文件写入。确有业务原因暂缓升级时，应设置明确的完成期限，并通过应用隔离、限制高风险网站和加强终端监测降低风险。

SmartScreen 本地提权漏洞已修复，别把 “需要本地访问” 当成低风险

微软已修复 Windows SmartScreen 漏洞 CVE-2026-85851，评分为 CVSS 7.8。问题与释放后使用内存错误有关，攻击者在具备本地访问条件时，可能借此获得更高权限，它不是可以从互联网直接匿名攻入设备的远程漏洞，但如果恶意程序已落地、用户账号已被钓鱼，或者多人共用一台终端，本地提权就可能成为攻击链中把有限权限扩大的一步。微软称该问题影响若干 Windows 11 版本，具体设备范围和受影响版本应以官方安全公告为准。企业管理环境中常见的误区，是只看更新任务是否下发，却没有确认终端实际安装状态。若高风险办公设备仍未修复，攻击者可能在已有初始访问后继续尝试扩大控制范围。建议尽快部署 2026 年 10 月安全更新，并通过终端管理平台核验补丁实际落地情况。日常办公账号不应长期拥有管理员权限；无法立即更新的设备，应限制本地账号权限，强化对异常提权、进程链和安全功能变化的监控。若发现设备出现可疑权限提升，应先隔离终端、保全安全日志，再检查是否存在新建管理员账户或异常持久化。启用 SmartScreen 不能替代系统更新与最小权限。

Coruna 与 DarkSword 瞄准旧版 iPhone，浏览器访问也要纳入风险管理

Coruna 与 DarkSword 两套 iPhone 利用工具包显示，在设备系统版本较旧且满足利用条件时，访问恶意或遭入侵的网站，可能触发多个漏洞串联，越过浏览器限制并触及 iOS 更深层区域。现有摘要指出风险取决于设备软件版本和具体工具包，没有给出所有受影响机型、漏洞编号或当前活跃感染规模，因此不能据此说所有 iPhone 访问网页都会中招。这类事件提醒用户，浏览器访问可能成为移动设备攻击的起点。若设备长期停留在旧系统，已经修复的缺陷可能继续暴露；而手机往往保存邮箱、工作资料、身份验证器和登录会话，一旦设备安全边界被突破，影响可能不止是浏览器本身。个人用户应尽快将 iPhone 更新到苹果仍支持的最新 iOS 版本，开启自动安全更新，并删除不再使用的旧设备和陌生配置描述文件。企业可通过移动设备管理设定最低系统版本，对未达标设备限制企业邮箱、文件和身份系统访问。遇到可疑链接不要继续输入账号或安装描述文件；若设备出现异常跳转、未知应用或账号安全提醒，应使用另一台可信设备修改重要密码，并联系 IT 核查登录记录。漏洞细节和修复版本以苹果官方公告为准。

Meta GitHub 仓库遭入侵：员工凭据泄露可能牵连代码与个人信息

Meta 确认，攻击者利用员工被盗凭据访问了部分 GitHub 代码仓库，窃取产品源代码以及与约 1500 人相关的个人信息。Meta 于 10 月 13 日开始通知受影响人员，现有摘要称，相关个人多数是 Meta 在美国的员工，但没有说明全部仓库范围、数据字段或凭据最初来源，因此不能推断整个 GitHub 组织或所有产品代码都已泄露。代码平台通常连接开发者身份、项目资料和自动化构建流程。员工账号失窃不仅可能造成源代码和个人信息暴露，还可能给攻击者进一步访问其他服务、修改代码或滥用流水线提供机会。事件具体影响仍应以公司通知和后续调查为准，但凭据失窃后的访问审计与令牌撤销应尽快完成，企业应撤销可疑会话和访问令牌，轮换相关凭据及可能复用的密钥，检查仓库访问审计、克隆活动、分支保护设置和 CI/CD 工作流变更。对于受影响个人，应按通知内容评估数据类型并提供必要支持。日常防护上，应强制多因素认证，缩小个人访问令牌权限并设置有效期，将密钥扫描纳入代码提交和仓库监控。重置密码后还要追查凭据被盗的初始路径，防止攻击者通过残留令牌重新进入。

Windows Shell 零日可绕过安全标记，10 月补丁应优先核验

微软已在 2026 年 10 月安全更新中修复 Windows Shell 零日漏洞 CVE-2026-96951，该问题被报告为正在遭利用，可绕过 Mark of the Web 安全标记。这个标记通常用于提示系统文件来自互联网；如果相关保护被绕过，用户对下载文件的安全判断可能受到影响。现有摘要给出的 CVSS 评分为 8.8，评级为 Important，但没有说明具体投递手法、攻击规模和受影响系统清单。由于漏洞已被报告在攻击中利用，组织不宜将其简单排入普通补丁队列。攻击者通常需要让目标接触某种文件或内容，实际防护还取决于终端补丁、用户行为和其他安全控制，不能据此认定所有未更新设备均已遭入侵，但延迟修复会让已知风险持续存在。企业应核对 Windows 设备是否安装 10 月安全更新，优先覆盖办公终端、共享设备以及经常处理外部文件的主机。补丁部署前，加强邮件和网页下载管控，提醒员工谨慎处理来源不明的压缩包、快捷方式和文档，并监控可疑文件启动脚本或异常子进程。暂时无法更新的高风险设备应限制外部文件流入，必要时隔离处理。更新后继续检查终端告警和异常登录，确认实际补丁状态，而不是只依赖任务下发成功记录。

信息来源：人民网国家计算机网络应急技术处理协调中心国家信息安全漏洞库今日头条 360威胁情报中心中科汇能GT攻防实验室安全牛 E安全安全客 NOSEC安全讯息平台火绒安全亚信安全奇安信威胁情报中心 MACFEESy mantec白帽汇安全研究院安全帮卡巴斯基安全内参安全学习那些事安全圈黑客新闻蚁景网安实验室 IT之家IT资讯黑客新闻国外天际友盟