2026-10-18 01:18:34 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

Apache Log4j2 新问题曝光：不是所有 RCE 都普遍，但窄场景也不能忽略

汇能云安全

2026年8月28日 10:07
广东

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

8月28日，星期五，您好！中科汇能与您分享信息安全快讯：

Adobe Campaign Classic 优先级更新：营销系统被打穿，客户数据和投放链路都危险

Adobe 发布Adobe Campaign Classic 的 Priority 1 安全更新，修复三个可能导致未认证远程代码执行的关键漏洞。这个事件对企业营销和会员运营团队尤其重要，因为 Campaign 类系统通常连接客户资料、邮件模板、短信通道、投放名单和自动化流程，如果攻击者能在营销自动化系统上执行代码，影响不会停留在服务器本身，它可能进一步接触客户数据、投放内容、访问令牌、数据库连接和外发渠道。更糟的是，攻击者可以利用真实企业域名和营销系统发送钓鱼邮件或恶意链接，让受害者更难分辨真假。对金融、零售、教育和大型会员体系来说，这类系统其实处在客户信任链上。建议仍在本地部署 Adobe Campaign Classic 的企业立即核对版本，优先升级到 Adobe 发布的修复版本。升级前后要检查应用服务器日志、异常脚本执行、陌生管理员账号、模板被篡改和异常批量发送记录。营销系统不应直接暴露在公网管理，后台访问应限制来源并启用强认证；同时要轮换数据库、邮件网关和第三方 API 凭据，避免漏洞修完后攻击者仍握着旧钥匙。

Veeam ONE 13 关键漏洞：备份监控系统也可能变成凭据攻击入口

Veeam 披露 Veeam ONE 13 中的关键漏洞 CVE-2026-65641，CVSS v4.0 评分 9.3。根据公告，受影响版本包括 Veeam ONE 13.1.0.7034 及更早版本，未经认证的远程攻击者可能诱导产品服务账号发起 SMB 认证。这个风险点值得重视，因为备份和监控系统通常拥有很高的环境可见性，也经常和域账号、服务器清单、备份任务、告警系统绑定。很多企业把备份产品当成 “最后一道保险”，但它本身如果暴露出身份认证问题，就可能反过来变成攻击者获取凭据、摸清资产和扩大权限的入口。尤其是服务账号权限过大、网络访问范围过宽时，被诱导的 SMB 认证可能带来 NTLM 相关风险，后续还可能被用于横向移动或离线破解。建议使用 Veeam ONE 13 的企业尽快核对版本并应用官方修复。短期内要限制 Veeam ONE 管理界面和相关服务的网络访问范围，检查服务账号权限是否过大，避免使用高权限域账号长期运行服务。日志侧重点看异常 SMB 认证、陌生主机连接、服务账号登录失败和备份平台对外连接行为。备份系统越关键，越不能放在安全例外区。

Microsoft SQL Server RCE 进入 CISA KEV：老漏洞被利用，说明补丁债还在收利息

CISA 将 Microsoft SQL Server 远程代码执行漏洞 CVE-2019-1068 加入已知被利用漏洞目录，说明这不是纸面风险，而是已经出现在攻击活动里的真实入口。这个漏洞影响 SQL Server，攻击者在满足条件时可能以 SQL Server 数据库引擎服务权限执行代码，虽然编号来自 2019 年，但它今天重新进入视野，恰恰说明很多企业的数据库补丁、资产盘点和暴露面治理仍然存在旧账。数据库系统处在业务数据和内部权限的核心位置，一旦被打穿，攻击者拿到的不是普通服务器入口，而是连接账号、业务表、备份、报表和应用服务的关键节点，更现实的问题是，老版本 SQL Server 常常部署在历史系统、内部应用或 “没人敢动” 的生产环境里，补丁迟迟不上，反而给攻击者留下稳定目标。建议企业先查清是否仍有受影响 SQL Server 实例，尤其是公网可访问、跨网段开放或运行高权限服务账号的数据库。能升级的尽快按微软建议修复；短期不能升级的，要限制访问来源、关闭不必要服务、降低服务账号权限，并重点排查异常 SQL 执行、可疑进程创建、数据库服务账号外连和历史 Web 入口被串联利用的迹象。

AWS 警示被盗云凭据攻击链：云上的钥匙一旦丢了，攻击者就是 “合法用户”

AWS 围绕被盗云凭据展示了攻击者如何把一个泄露的访问密钥或会话令牌，扩展成更大规模的云上入侵。这里的风险不在于某个单点漏洞，而在于云环境的信任模型：攻击者只要拿到有效凭据，就可能以 “被批准的用户” 身份进入控制面，枚举资源、读取存储、创建持久化权限，甚至发起数据转移或修改安全策略。很多企业对云安全的误判，是把重点放在服务器有没有被入侵，却忽略了API Key、临时 Token 和自动化账号本身就是高价值入口，开发机、CI/CD 日志、公开仓库、容器镜像、第三方 SaaS 集成都可能成为凭据泄露点。影响范围取决于凭据权限大小，一把过度授权的钥匙，可能直接连接数据库、对象存储、密钥管理和计算资源。建议立即梳理 AWS 访问密钥使用情况，停用长期未轮换或归属不明的 Key，给自动化账号按最小权限拆分授权。发现异常时不要只删 Key，要同步检查 CloudTrail、IAM 策略变更、异常区域调用、S3 批量读取、角色信任关系和新建访问密钥。云上安全的关键不是 “有没有密码”，而是每一把钥匙丢了以后，能不能把影响限制在最小范围。

Nutex Health 披露数据泄露：医疗机构被入侵，影响往往不止一台服务器

美国医疗机构 Nutex Health 披露一起网络安全事件，称有未知第三方未经授权访问其计算机网络，并根据初步调查从公司服务器中外传了信息。该公司已在 8 月 24 日提交给美国证券交易委员会的 Form 8-K 文件中披露事件，虽然公开信息尚未说明具体数据类型和受影响人数，但 “网络访问 + 数据外传” 已经足够说明风险不只是系统中断，而是可能涉及患者、员工或业务相关敏感信息。医疗行业的安全事件特别棘手，因为系统里往往同时存在身份信息、病历、账单、保险、联系方式和内部运营数据。攻击者拿到这些数据后，不只可能勒索机构，还可能针对患者实施诈骗，或者用真实医疗信息绕过身份核验。对医院和连锁医疗机构来说，分支多、老系统多、第三方接口多，都会放大入侵后的排查难度。建议相关医疗机构第一时间完成受影响服务器隔离、取证和日志保全，确认攻击入口、访问范围和数据外传路径。对外要按监管要求进行披露和通知，对内则应轮换可能暴露的账号和 API 凭据，检查远程访问、EDR 告警、异常压缩打包和大流量外传记录。患者侧如果收到异常账单、保险申请或身份验证请求，也要提高警惕。

企业高管社保号在暗网低价流通：身份数据泄露不是换张卡就能解决

Rapid7 披露的威胁情报显示，企业高管的社会安全号码等敏感身份数据正在暗网市场被低价出售，甚至低到 25 美分一条，这个事件真正麻烦的地方，不是 “价格便宜” 本身，而是这类身份数据不像银行卡，可以挂失、换卡、止损。社会安全号码一旦流出，可能长期被用于身份冒用、贷款欺诈、商业邮箱诈骗和针对公司管理层的社工攻击。对企业来说，高管身份信息泄露往往不只是个人隐私问题。攻击者拿到姓名、职位、社保号、联系方式后，可以更容易伪造背景调查、供应商沟通、财务付款或账号恢复流程。影响范围主要集中在企业管理层、财务负责人、HR 和法务等高价值目标，后续风险会沿着 “身份验证” 和 “内部信任” 继续扩散。建议企业把高管身份数据当成长期风险资产处理：启用信用监控和欺诈预警，收紧账号恢复流程，重要付款和权限变更必须走独立复核；HR、财务和行政部门要特别警惕看似掌握大量真实信息的邮件或电话。已经确认信息外泄的人员，应尽快更换可更换凭据，并建立异常申请、异常登录和异常付款的专项监控。

攻击者伪造 Google Drive 页面：钓鱼正在绕开附件，直接偷在线账号

研究人员披露，网络间谍活动正在使用伪造 Google Drive 页面和外交主题诱饵，诱导目标交出在线账号访问权限。它的危险点不是附件里藏了一个明显恶意文件，而是把用户带到看起来熟悉的云存储页面，再配合外交邀请、会议资料等场景，让受害者主动完成登录或授权，对经常处理跨境沟通、政府事务和外部合作的组织来说，这类诱饵很容易贴近真实工作流,现在的钓鱼已经不满足于骗一个静态密码，攻击者更希望拿到会话、OAuth 授权、邮箱访问权或云盘权限，因为这些东西能绕过一部分传统安全检查。只要在线账号被接管，后续就可能读取邮件、搜索附件、冒充本人继续发信，甚至以真实账号向同事和合作方扩散。影响范围主要集中在外交、政府、智库、科研和跨国业务人员。建议企业不要只靠 “有没有附件” 判断钓鱼风险。对 Google Drive、Microsoft 365 等云服务，应启用条件访问、设备合规检查和异常地理位置告警；员工点击外部分享链接后，若被要求重新登录或授权第三方应用，要通过独立渠道确认。安全团队应重点排查异常 OAuth 授权、陌生设备登录、邮箱规则变更和云盘大批量下载。

Apache Log4j2 新问题曝光：不是所有 RCE 都普遍，但窄场景也不能忽略

Apache Log4j2 披露一个新的安全问题，攻击者在特定部署条件下可能绕过反序列化 allowlist 并远程执行代码，该问题被标记为 Log4j2 #4255，影响的是那些通过网络可访问的 Java 反序列化路径接收序列化 Log4j 事件的应用。它不像当年的 Log4Shell 那样天然覆盖海量场景，但 “范围窄” 不等于 “可以不管”，因为符合条件的系统往往处在日志集中、运维平台或内部消息链路里。这个事件提醒企业，日志组件不是简单的输出工具，一旦它参与网络接收、对象反序列化和跨系统传输，就会进入高风险区域。攻击者如果能把恶意序列化对象送进处理链，就可能绕过原本用于限制类加载的安全检查。影响范围需要结合具体部署判断，重点是是否接收网络传入的序列化 Log4j 事件，而不是只看项目里有没有 Log4j2 依赖。建议开发和安全团队先排查应用是否存在相关网络反序列化入口，特别是日志收集器、远程日志接收端、内部调试接口和历史运维组件。能升级或调整配置的应尽快按 Apache 社区建议处理；无法确认的系统，要先限制相关端口访问来源，关闭不必要的序列化接收能力，并在 WAF、主机和应用日志中关注异常类名、反序列化错误和可疑网络请求。

SLEEPWALKER 后门藏进 ESET Agent：最安静的后门，可能等一包网络指令才醒

安全研究人员披露一种名为 SLEEPWALKER 的 Windows 后门，它通过 DLL 侧载方式隐藏在可信管理进程中，并不会频繁主动连接固定控制服务器，而是等待攻击者发送特制网络包后再被唤醒。这个设计对防守方很不友好，因为传统检测常常依赖 “谁在持续外连”“谁访问了 C2 域名”，而 SLEEPWALKER 刻意减少网络噪音，把自己藏在看起来正常的进程上下文里。DLL 侧载的本质，是让合法程序加载攻击者准备的恶意库。对终端环境来说，如果攻击者能把恶意 DLL 放到合适路径，就可能借可信进程逃避一部分安全产品和人工排查。影响范围主要是 Windows 终端和服务器，尤其是存在软件目录权限不当、历史管理工具残留、终端代理版本混乱的环境。建议企业不要只看进程名是否 “眼熟”，还要校验模块加载路径、文件签名、哈希和创建时间。对安全代理、管理工具和远程运维组件所在目录，应收紧写入权限，避免普通用户或被攻陷账号能够投放 DLL。检测侧重点放在异常模块加载、罕见网络监听、特制数据包触发后的进程行为变化，以及可信进程突然执行命令、读取凭据或访问敏感目录的情况。

AnonyMousKIT 盯上丢失 iPhone 用户：AI 语音和短信一起骗 Apple ID

AnonyMousKIT 钓鱼即服务平台正在把被盗或丢失的 iPhone 变成账号盗取入口。它会针对正在寻找丢失设备的用户，发送看似来自找回流程的邮件、短信、WhatsApp 消息，甚至配合 AI 生成语音电话，诱导受害者输入 Apple ID 和双因素验证码。攻击者的目标很直接：拿到凭据后移除 Activation Lock，让被盗设备重新具备转卖价值。这类攻击之所以有效，是因为它抓住了用户丢手机后的焦虑状态。受害者本来就在等待 “设备找回通知”，看到带有设备信息、定位提示或客服口吻的消息，更容易放松警惕。风险类型不只是单个 Apple ID 被盗，还可能连带影响 iCloud 照片、通讯录、支付信息、邮件恢复入口和其他账号的找回链路。建议用户丢失 iPhone 后，只通过 Apple 官方 “查找” 应用或icloud.com进入找回流程，不要点击短信、邮件和聊天软件里的所谓定位链接。任何索要 Apple ID 密码、验证码或要求关闭查找功能的页面，都应视为高风险。企业如果给员工配发苹果设备，应提前开启 MDM 管理、远程锁定和擦除策略，并教育员工：客服不会要求把双因素验证码发给对方，更不会通过陌生链接解除激活锁。

信息来源：人民网国家计算机网络应急技术处理协调中心国家信息安全漏洞库今日头条 360威胁情报中心中科汇能GT攻防实验室安全牛 E安全安全客 NOSEC安全讯息平台火绒安全亚信安全奇安信威胁情报中心 MACFEESy mantec白帽汇安全研究院安全帮卡巴斯基安全内参安全学习那些事安全圈黑客新闻蚁景网安实验室 IT之家IT资讯黑客新闻国外天际友盟