马来西亚召开跨部门安全会议，应对网络攻击与地缘政治风险

SOC
SOC

赛欧思安全研究实验室

2026年11月5日 09:30
河南

去阅读

• 哈佛大学数据泄露事件导致85.1万个账户的信息遭泄露

2025年11月入侵哈佛大学校友事务与发展系统的黑客窃取了与超过85万个唯一电子邮件地址相关的数据。此次数据泄露涉及850500个账户的信息，包括姓名、电子邮箱地址、出生日期、电话号码、实际地址、社交媒体个人资料等。

来源: BleepingComputer
* 俄罗斯联邦统计局遭网络攻击，黑客声称窃取含战争伤亡数据

2026年11月初，俄罗斯联邦国家统计局（Rosstat）遭遇大规模协同网络攻击。黑客组织“沉默乌鸦”与白俄罗斯“网络游击队”宣称攻入Rosstat中央及地区机构基础设施，窃取约23TB数据，并称其中包含与俄军在乌克兰损失有关的信息。

来源: CN-SEC 中文网
* 深入解析XCPE：将130万台机顶盒变为代理服务器的僵尸网络

谷歌及其合作伙伴摧毁了一个名为XCPE的后门，该后门曾将超过130万台机顶盒纳入僵尸网络。该恶意软件被用于广告欺诈，秘密将设备加入住宅代理网络，并安装其他恶意软件。谷歌表示，他们高度确信Videostrong是蓄意创建、传播并运营该后门的。

来源: Security Affairs
* Revolve信用卡数据泄露事件：150万人可能受到影响

在线时尚零售商Revolve Group表示，客户的支付卡号和有效期遭窃。受影响的数据包括客户姓名和联系方式、支付卡号以及卡片有效期。我们在该网站搜索Revolve时，发现返回的数据中显示了1515073这一数字。

来源: MalwareBytes Blog
* 新型 ChatGPT 钓鱼工具包利用轮换的 WordPress 网站窃取支付信息和一次性密码

一项冒充 OpenAI 的网络钓鱼活动正利用一次性 WordPress 网站和攻击者的实时监控，窃取支付卡信息，并可能获取一次性密码。虚假的 ChatGPT Plus 账单邮件会警告订阅付款失败，并引导收件人前往伪造的结账页面。

来源: GBHackers
* 攻击者利用加密支付网关中一个未修复的漏洞，该漏洞可能导致钱包凭证泄露

CryptoPayment Gateway WordPress 插件1.2.1至1.2.2版本在AJAX端点上未进行授权检查，未经身份验证用户可删除任意文件、覆盖支付网关配置并获取明文钱包凭据。该漏洞编号CVE-2026-81648，CVSS评分10.0，目前尚无已知修复方案。

来源: The Hacker News
* Barracuda 的漏洞可能被串联利用，从而绕过授权并获得根权限

如果将这两个漏洞串联利用，攻击者可能绕过授权控制，并获得易受攻击设备的root权限。这两个漏洞分别为认证前授权绕过漏洞和命令注入漏洞，分别被分配了CVE-2026-116606（CVSS评分：9.3）和CVE-2026-111560（CVSS评分：8.6）。

来源: The Hacker News