每周网安资讯（10.28-11.2）| ApacheKylin远程命令执行漏洞

交大捷普

2026年11月2日 18:10
陕西

去阅读

2026

[ 每周网安资讯 ]

网安资讯

1.多地网信部门开展企业数据安全合规培训，聚焦数据分类分级、个人信息保护等内容，指导企业落实安全主体责任

公开资讯显示，本次培训梳理了数据收集、存储、共享流转环节中的高频合规风险。建议各单位全面梳理内部数据资产，规范数据访问审批流程，常态化组织内部安全自查，及时整改隐患。

安全情报

1.涉税类钓鱼邮件多发，伪装税务提醒、发票异常通知，附带恶意宏文档

近期安全情报显示，攻击者仿冒税务通知发送邮件，诱导接收者启用文档宏，窃取财务账套、凭证等敏感资料。建议收到涉税通知优先通过电子税务局、官方客服核验，邮件网关拦截宏附件，不要启用陌生文档宏功能。

2.公网无认证ES服务遭批量扫描，存在数据泄露、资源被非法占用风险

监测发现自动化流量持续探测未开启身份认证的Elasticsearch服务，入侵后可读取业务日志、客户数据，占用服务器算力资源。运维人员全面排查公网ES资产，开启账号认证，禁止对公网直接开放，配置可信IP访问白名单。

3.开源仓库存在仿冒恶意依赖包，引入后易造成密钥、源码泄露

安全厂商监测npm、PyPI仓库内存在名称仿冒正规工具的恶意依赖包，开发人员下载引入后，会被窃取代码仓库密钥、内网资产信息。研发团队引入第三方组件时校验包信息，使用私有制品库管控依赖，定期扫描开源组件风险。

4.仿运营商宽带报修钓鱼短信扩散，虚假链接骗取手机号、验证码

黑产批量发送宽带停机、故障维修类短信，附带高仿运营商页面链接，以核验身份为由骗取短信验证码。提醒全体员工，宽带报修、业务变更仅通过运营商官方渠道办理，不点陌生短信链接，不在外链页面提交验证码。

5.恶意组态工程文件在工控社群传播，打开后威胁操作员终端安全

监测发现攻击者伪装成项目调试工程文件在工控社群分发，工程师打开文件后会触发恶意行为，威胁生产终端安全。工控岗位人员不要打开来源不明的组态工程文件，工控工作站做好隔离，定期开展终端安全查杀。

6.办公应用授权钓鱼扩散，仿考勤插件诱导开放通讯录、文档权限

攻击者发布仿考勤、审批类第三方应用，诱导员工授权通讯录、云文档访问权限，批量导出内部资料。提醒员工新增应用授权前须由管理员审核，及时清理闲置、过期授权，按照最小权限原则管控开放范围。

漏洞预警

1.ApacheKylin远程命令执行漏洞（CNVD-2026-43132）

CNVD收录该高危漏洞，攻击者构造恶意请求可远程执行系统命令，接管大数据分析服务。使用该组件的单位尽快升级至官方安全版本，限制服务对公网暴露，部署WAF对异常请求进行拦截防护。

2.QNAPHBS3备份套件加密绕过漏洞

CNVD收录该高危漏洞，攻击者可绕过加密校验，读取备份内存储的业务文件、备份凭证。使用该套件的NAS设备及时更新固件，关闭外网管理入口，对备份文件设置独立权限管控，减少暴露面。

3.KubeflowPipelines信息泄露漏洞

CNVD收录该漏洞，未授权访问者可读取流水线配置、密钥、模型数据集。AI平台运维人员及时打补丁，限制访问来源IP，开启多因素认证，对配置文件内密钥信息做脱敏处理。

4.TOTOLINKX2000R路由器栈溢出漏洞

CNVD收录该高危漏洞，攻击者发送恶意数据包即可实现代码执行，接管网关设备。设备管理员尽快升级官方固件，关闭路由器外网管理端口，修改默认管理密码，降低被攻击风险。

5.IBMLangflowOSS越权访问漏洞

CNVD收录该越权漏洞，攻击者可跨租户查看用户会话、提示词与业务数据。使用该平台的单位升级安全版本，做好租户之间的访问隔离，收紧平台访问来源，避免数据越权泄露。

关于捷普

捷普作为一家国内先进的新时代网络信息安全产品和服务提供商，坚持以“全面安全 智慧安全”为产品理念，持续技术创新，为广大用户提供基础设施安全、数据安全、信创安全、工业互联网安全、云安全、物联网安全、国密安全等七大系列网络安全产品。并在风险评估、渗透测试等安全服务上占据优势，协助用户全面提升IT基础设施的安全性、合规性和生产效能，面向数字时代保障信息系统全面安全。

END