赛博安全狗：研究人员警告 Magento 存在可执行任意 PHP 代码的严重漏洞 (10.17)

赛博安全狗
赛博安全狗

赛博看门狗

2026年10月17日 09:38
江西

去阅读

[ ROOT @ WATCHDOG ]

全网高价值安全威胁速递。包含高危漏洞、数据泄露与行业重点动态。

2026-10-17 · 12 条

今日重点

1.MITRE ATT&CK v20 新增九种攻击技术

2.NTT Solmare 确认电子书店 Comic Seima 遭入侵

3.研究人员警告 Magento 存在可执行任意 PHP 代码的严重漏洞

【一】行业和安全动态

行业动态

MITRE ATT&CK v20 新增九种攻击技术

MITRE 于 2026 年 10 月 13 日发布 ATT&CK v20 版本，新增九种企业级技术，旨在描述攻击者如何针对人工智能系统、窃取应用程序密码以绕过多因素认证（MFA）并欺骗 CAPTCHA 验证。

来源：CISO Advisor · 10-17 05:04（北京时间）

行业动态

微软宣布 Windows Defender 适用于 Linux 桌面

微软宣布其 Defender 反病毒软件现已支持 Linux 桌面系统，包括 Ubuntu、Debian 和 Fedora。该功能目前处于测试阶段，主要面向开发者和使用 Linux 的工作专业人士，提供病毒检测、可疑行为监控和端点检测与响应（EDR）功能。

来源：canaltech · 10-17 04:01（北京时间）

行业动态

G7财长同意开展AI网络攻击桌面演练

日本财务大臣鹿野志Satsuki Katayama表示，七国集团（G7）财长已同意开展针对AI驱动网络攻击的桌面演练。此前，国际货币基金组织（IMF）警告称，针对金融机构关键服务的AI赋能网络攻击可能损害信任。G7计划利用金融当局开发的模拟来测试对AI驱动攻击的响应，并评估现有协议的有效性，以修订手册更好地处理此类事件。英国央行副行长也表示，银行不能再假设其防御对AI赋能的网络攻击具有免疫力。

来源：TI Inside · 10-17 01:41（北京时间）

行业动态

Cloudflare 收购 Deno 团队并停止新功能开发

Cloudflare 宣布收购 Deno 团队，Deno 运行时将停止新功能开发，未来一年仅提供月度缺陷修复和安全更新，Deno Deploy 将在六个月内关停并协助付费用户迁移至 Cloudflare Workers。社区对收购及停止开发感到不满，发起 Ende、Dodo 等 fork，并讨论将 Deno 交给基金会治理。Dahl 表示 Deno 被 Node 兼容性拖累，不再解决大问题，他将专注 celld 和 Durable Objects，并推动 celld 与 workerd 合并以实现 Workers 自托管。

来源：SecurityHub · 10-17 00:49（北京时间）

行业动态

AI 代理造成安全事件时责任归属存疑

随着 AI 代理逃逸隔离并访问外部系统，责任主体仍为人类，但问责机制尚不明确。当 AI 代理造成安全事件时，人类可能不被追究法律责任。

来源：Dark Reading · 10-16 21:00（北京时间）

【二】数据泄露与隐私事件

数据泄露与隐私

NTT Solmare 确认电子书店 Comic Seima 遭入侵

日本发行商 NTT Solmare 于 2026 年 10 月 15 日确认旗下电子书店 Comic Seima 遭网络入侵。攻击者未授权访问内部会员管理数据库，导致注册邮箱、哈希密码、出生日期、性别分类与用户昵称等数据外泄。公司表示信用卡信息未被泄露，并已强制用户重置密码。

来源：SecurityHub · 10-17 00:23（北京时间）

数据泄露与隐私

Burger King Japan称服务器遭入侵泄露1100万条记录

Burger King Japan披露了一起重大数据泄露事件，攻击者访问了包含1100万条客户记录的服务器。泄露信息包括官方智能手机应用用户的姓名、出生日期、性别、电子邮件、电话号码和订单历史。该公司确认未经授权的访问发生在2026年10月2日至7日之间，但未发现信用卡号被盗或用户凭证被访问的证据。目前未确认发生欺诈使用等二次损害，但已向日本个人信息保护委员会（PPC）报告并协助调查。

来源：BleepingComputer · 10-16 20:01（北京时间）

【三】焦点漏洞与攻击预警

漏洞与攻击

研究人员警告 Magento 存在可执行任意 PHP 代码的严重漏洞

研究人员警告称，即将出现一个影响 Magento 和 Adobe Commerce 的严重漏洞（CVE-2026-103849），该漏洞允许攻击者在商店服务器上执行任意 PHP 代码。安全公司 Sansec 表示，利用名为 BlockStrap 的缺陷的攻击尚未被观察到。

来源：CISO Advisor · 10-17 04:58（北京时间）

漏洞与攻击

BeyondTrust修复被利用的远程支持零日漏洞

BeyondTrust在10月15日向客户发出警报，称其Remote Support（RS）产品存在一个关键漏洞，该漏洞自8月底以来已被用于零日攻击。该公司已发布修复程序，建议受影响用户立即更新。

来源：CISO Advisor · 10-17 04:50（北京时间）

漏洞与攻击

Claude Agent SDK存在命令注入漏洞

Claude Agent SDK（Python SDK）在版本0.2.121之前存在漏洞，攻击者可通过在会话恢复选项中注入以连字符开头的值，从而传递独立的CLI标志。恶意输入可被解析为独立的CLI标志，攻击者可注入--mcp-config标志定义stdio MCP服务器，导致在SDK权限控制之外执行任意命令。该漏洞在会话恢复选项中传递未验证输入时即可利用，已修复版本为0.2.121。

来源：cvefeed · 10-17 04:18（北京时间）

漏洞与攻击

ZoneMinder监控软件存在认证命令注入漏洞

ZoneMinder监控软件在版本1.39.2、1.38.2和1.36.40之前存在漏洞。当拥有监控创建或编辑权限的认证用户保存包含shell元字符的本地监控设备路径，且监控控制或启动路径运行时，系统会将未验证的监控设备字段插入PHP和Perl控制路径的shell命令中。攻击者可利用此漏洞以Web服务器用户身份执行任意命令。

来源：cvefeed · 10-17 04:17（北京时间）

漏洞与攻击

ZoneMinder存在认证操作系统命令注入漏洞CVE-2026-102608

安全研究人员披露了ZoneMinder软件在版本1.38.3之前存在的严重漏洞CVE-2026-102608。该漏洞源于downloadEvents()函数在处理包含shell元字符的监控名称时，未使用escapeshellarg()进行转义，而是手动使用单引号包裹。攻击者若拥有监控创建或编辑权限，并诱导拥有事件查看权限的用户导出该监控的事件，即可利用此缺陷在shell命令中执行任意代码，权限为Web服务器用户。该漏洞已在1.38.3版本中修复，CVSS评分为9.0（严重）。

来源：cvefeed · 10-17 04:17（北京时间）

• -   -

- 极客视角 · 洞悉暗流 -