2026-10-24 13:51:11 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

安全热点周报 | 一周网络安全大事件盘点（2026/10/19-2026/10/23）

中成信息
中成信息

中成信息

2026年10月23日 18:05
福建

去阅读

本周（10 月 19 日至 10 月 23 日）网络安全态势呈现「底层基础设施漏洞遭规模化利用、企业数据泄露集中爆发、汽车数据强标落地在即」三条主线。漏洞侧，潜伏约 14 年的 PHP 内核内存漏洞（PHP2Shell）被公开后数小时内即遭规模化在野利用，Drupal、Windows 等亦现高危利用；事件侧，开源数据库厂商 PingCAP 被声称窃取 10.6TB 数据、印度国家银行近 4000 条客户信息现身暗网、日本邮件服务商 Cuenote 约 900 万条记录被窃；政策侧，工信部就《汽车数据安全要求》等五项强制性国家标准公开征求意见，智能网联汽车「默认不收集个人信息、基础功能不捆绑授权」的刚性约束即将确立。

PART 1

漏洞情报

Windows Shell 安全功能绕过漏洞

Windows Shell 安全功能绕过漏洞是高危安全漏洞，影响多款 Windows 10/11 与 Windows Server 版本。攻击者可通过构造特制文件，在用户下载并打开时绕过系统「Mark of the Web（MotW）」安全警告机制，于不触发常规提示的情况下执行恶意文件，进而为勒索软件投放、数据窃取或横向移动提供初始落脚点；该漏洞已被确认在野利用，美国网络安全与基础设施安全局（CISA）已将其纳入已知被利用漏洞（KEV）目录。

Drupal Field UI 远程代码执行漏洞

Drupal Field UI 远程代码执行漏洞是严重安全漏洞，影响 Drupal 8.9.0 至 12.0.0-beta2 的多个受支持分支（不含已停止维护的更早版本）。攻击者在 field\_ui 模块启用、且某贡献或自定义模块将请求数据传入字段渲染行内 #region\_callback 的条件下，可通过构造请求执行任意 PHP callable，并利用原厂 PEAR 文件 gadget 链达成未认证远程代码执行，进而完全控制网站与底层主机、窃取数据或以此为据点进一步渗透。

PHP 远程代码执行漏洞（PHP2Shell）

PHP 远程代码执行漏洞（PHP2Shell）是严重安全漏洞，影响 PHP 5.4.0 至 8.5.11（含）的几乎所有存量版本，覆盖 Apache mod\_php、PHP-FPM、php-cgi、FrankenPHP、LiteSpeed LSAPI 等所有处理 Web 请求的形态。攻击者无需认证，只需发送携带 session upload-progress 等字段的特制 HTTP 请求，即可触发释放后重用（UAF）与内存破坏，以 Web 进程权限执行任意命令，进而控制服务器、窃取凭据与敏感数据；该漏洞潜伏约 14 年，披露后数小时内即出现规模化在野利用，波及 WordPress、Drupal、Magento 等大量默认配置站点。

PART 2

安全事件

PingCAP 遭大规模数据泄露，黑客声称窃取 10.6TB 数据

2026 年 10 月 19 日，开源分布式数据库 TiDB 背后的公司 PingCAP 在官网发布安全事件声明，确认内部系统于 9 月 9 日至 10 月 7 日期间遭未经授权访问，部分数据被复制、源代码遭窃取；10 月 21 日前后，安全威胁情报平台广泛披露称，黑客组织 FulcrumSec 声称已从 PingCAP 窃取约 10.6TB 数据，涉及约 18 万条租户组织记录、逾 11 万个客户 API Key（其中逾 4 万个被称仍有效）、约 2065 万条客户 SQL 语句及 413 个私有源代码仓库，并已公开首批约 200GB 数据。事件暴露云数据库控制平面、SQL 查询历史与运维日志等外围系统一旦失守即可能泄露大量客户信息与下游攻击线索的风险；PingCAP 表示已封堵访问路径、作废凭据，并仍在逐一确认受影响客户。

原文链接：

https://www.pingcap.com/trust-hub/security/security-update-october-2026/

日本邮件服务商 Cuenote 约 900 万条记录被窃取

2026 年 10 月 19 日，据威胁情报平台 TSN 报道，日本邮件分发服务商 Ymirlink 表示，黑客通过其旗下 Cuenote 邮件服务窃取了约 900 万条记录。Cuenote 为大量日本企业与机构提供邮件发送与营销基础设施，此次事件使依赖该服务的客户联系人、会员与营销数据面临泄露风险；Ymirlink 称正调查入侵路径并评估影响范围，目前尚在确认具体泄露字段与受影响主体。

原文链接：

https://tsnmedia.org/ransomware-cyber-attacks-hub

招聘软件 Bullhorn 遭网络攻击系统下线、强制改密

2026 年 10 月 19 日，据 TSN 报道，招聘与人力资源行业广泛使用的 Bullhorn 软件遭网络攻击，导致其服务中断下线，运营方被迫强制重置用户密码。事件具体的数据外泄范围仍在调查中，但凭据可能遭触及的风险已触发大范围密码重置；Bullhorn 服务于大量猎头与人力资源机构，其客户劳动关系、候选人等敏感业务数据集中，此类供应链式 SaaS 中断与潜在凭据风险再次凸显第三方人力资源系统的安全水位。

原文链接：

https://tsnmedia.org/ransomware-cyber-attacks-hub

印度国家银行（SBI）遭网络攻击，3897 条客户记录泄露

2026 年 10 月 21 日，印度资产规模最大的银行印度国家银行（State Bank of India, SBI）向交易所通报一起网络攻击事件，称暗网上出现包含其客户个人身份信息的记录，初步核查在约 37.5 万条暗网记录中确认 3897 条包含客户姓名、手机号码、出生日期、电子邮箱、住宅地址、网点与账户标识以及贷款记录等个人身份信息（PII）；一个名为「Siriusim」的黑客组织声称释放了相关数据。SBI 称已启动事件响应、聘请独立安全机构调查，并表示该事件不会对核心业务造成实质影响，但外界呼吁其直接通知受影响客户以防钓鱼与冒充。

原文链接：

https://www.thehindu.com/business/Economy/state-bank-of-india-investigates-exposure-customer-records-dark-web-october-21/article71606599.ece

PART 3

时事热点

工业和信息化部就《汽车数据安全要求》等五项强制性国家标准公开征求意见

2026 年 10 月 20 日，工业和信息化部装备工业一司组织全国汽车标准化技术委员会，就《汽车数据安全要求》等五项强制性国家标准（含智能网联汽车泊车组合驾驶辅助系统安全要求、自动泊车系统安全要求、车载无线广播接收系统等）形成征求意见稿并公开征求意见，意见反馈截止日期为 2026 年 12 月 19 日。其中《汽车数据安全要求》从安全保障、基本规则、技术规范三个层面设立要求，明确车辆出厂应默认设定为不收集个人信息、弹窗默认勾选同意不视为合规、未激活功能不得提前索取权限，并规定基础功能不得因用户拒绝授权而拒绝提供，同时配套个人信息分级、重要数据识别等附录，为智能网联汽车数据采集立下刚性规矩。

原文链接：

https://www.miit.gov.cn/jgsj/zbys/qcgy/art/2026/art\_0ea967f5be48474b9f50c3c6f7db8e1f.html

全国网安标委四项网络安全国家标准征求意见将于 10 月 25 日截止

全国网络安全标准化技术委员会就《网络安全技术工业控制网络监测安全技术要求及测试评价方法》《网络安全技术工业控制系统安全管理基本要求》《网络安全技术人工智能安全能力成熟度评估方法》《网络安全技术网络安全事件管理第 4 部分：协同》四项国家标准征求意见稿公开征求意见，征求意见期至 2026 年 10 月 25 日（该征求意见于 2026 年 8 月 26 日启动，本周处于征求意见窗口末期）。四项标准分别面向工控网络监测、工控安全管理、AI 安全能力成熟度评估，以及大规模个人信息泄露与重要数据事件下的跨单位、跨行业协同上报与风险通报，为企业数据安全风险治理与合规建设提供可落地的标准基线。

原文链接：

https://www.tc260.org.cn/portal/article/2/d0a9e0e6b027443881b26aa971fa558c

📌 本周防护提醒

• 针对 PHP2Shell（潜伏约 14 年的 PHP 内核内存漏洞，CVSS 9.2）：自托管 PHP 站点立即升级至 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35；暂不能升级的服务临时禁用 session.upload\_progress、限制请求体大小与字段数量，并重点监测携带异常 multipart boundary、触发内存耗尽型访问的畸形请求。

• 针对 Drupal Field UI 远程代码执行漏洞（CVE-2026-108097）：升级至 10.6.19 / 11.3.19 / 11.4.10 / 12.0.0-beta2；如暂不能升级，卸载 core Field UI 模块或限制 /admin/structure 等路由的访问来源，并对 region\_callback、call\_user\_func\_array 等异常参数做 WAF 拦截。

• 针对 Windows Shell 安全功能绕过漏洞（CVE-2026-96951，已入 CISA KEV）：本周内完成 Windows 全量补丁推送，修复绕过 Mark of the Web 的安全特性绕过漏洞，并排查 10 月 14 日微软补丁日其他在野利用项是否同步修复。

• 针对密集发生的数据泄露（PingCAP 控制平面与 API Key、SBI 客户 PII、Cuenote 邮件记录）：对身份证号、银行账号、API Key、客户 SQL 等敏感数据最小留存、加密存储并定期轮换凭据；将源代码仓库与云控制平面凭据纳入最小权限管理与异常数据导出监测，防止外围系统失守拖累下游客户。

• 依据本周数据安全政策动态（工信部《汽车数据安全要求》强标征求意见截止 12/19、网安标委四项国标 10/25 截止）：车企与车联网相关企业提前对照「默认不收集、基础功能不捆绑授权、个人信息分级与重要数据识别」要求开展差距分析；一般政企将《网络数据安全风险评估办法》要求的年度风险评估纳入合规日历滚动跟踪。

关于我们

漳州中成信息科技有限公司是一家专注于网络安全实战防护的创新型服务提供商。我们深刻理解网络安全的核心在于攻防对抗的持续较量，并以此独特视角为基石，致力于为客户构建动态、主动、智能化的纵深防御体系。区别于传统的被动防御，我们坚信“未知攻，焉知防”。公司汇聚了顶尖的渗透测试专家（红队）、应急处置精英（蓝队）及经验丰富的安全服务工程师，形成了一支具备完整攻防对抗能力的专业团队。我们的渗透测试团队模拟真实攻击者的思维与手段，深入挖掘系统、应用及网络中的深层次漏洞与风险点；应急处置团队则能在安全事件发生时快速响应、精准定位、有效遏制损失并溯源根因；安服工程师团队则致力于将攻防对抗中获得的宝贵经验转化为常态化的安全策略、加固措施与运营流程。

点击名片