赛博安全狗：微软Entra设备注册权限提升漏洞CVE-2026-109469，评分10.0 (11.07)

赛博安全狗
赛博安全狗

赛博看门狗

2026年11月7日 09:17
浙江

去阅读

[ ROOT @ WATCHDOG ]

全网高价值安全威胁速递。包含高危漏洞、数据泄露与行业重点动态。

2026-11-07 · 10 条

今日重点

1.Chainalysis称数据泄露事件暴露全部客户的凭据和有效令牌

2.日本宣布100亿日元紧急网络安全计划应对大规模数据泄露浪潮

3.巴西ECA数字法生效，平台须将儿童保护纳入产品开发全流程

【一】行业和安全动态

行业动态

日本宣布100亿日元紧急网络安全计划应对大规模数据泄露浪潮

日本政府周五宣布一项紧急网络安全计划，包括使用人工智能和网络救援队伍，此前大量企业和政府机构接连遭遇大规模数据泄露。首相高市早苗在部长会议上表示，在AI生成攻击的时代，对潜在攻击的快速响应至关重要，并敦促政府机构和公司加强防范。该计划规模为100亿日元（约6300万美元），旨在构建公私部门共享信息、迅速援助受影响者并恢复损失的韧性社会。措施包括增强政府接入黑客服务器的\"主动网络防御\"能力（已于10月合法化）、部署由防卫省、警察厅和网络安全办公室官员组成的支持团队；经济产业省将在11月底前组建使用AI对抗黑客和检测网络系统弱点的\"顶尖\"专家团队；此外还将组建由公私部门专家构成的\"网络救援队\"，为受网络攻击影响的企业提供初始响应，并设立另一支队伍帮助脆弱企业强化防御。

来源：SecurityWeek · 11-07 02:28（北京时间）

行业动态

巴西ECA数字法生效，平台须将儿童保护纳入产品开发全流程

巴西《儿童和青少年数字法规》（ECA Digital，第15.211/2025号法律）自2026年3月17日起生效。该法适用于面向儿童和青少年或其很可能接触的信息技术产品与服务，社交网络、电子游戏、应用商店、视频平台、电商市场和流媒体服务均在适用范围内，仅以使用条款声明限18岁以上不足以豁免。法律要求有效的年龄核验、默认开启的保护性配置、家长监督工具，并禁止对未成年人进行用于商业广告定向的画像分析，第20条还禁止面向儿童或青少年及可能被其接触的电子游戏中的随机奖励宝箱机制。巴西司法部已请求ANPD监控未实施年龄核验的相关游戏。执法由被转为国家数据保护局的ANPD负责，其2026年3月公布了分阶段监管时间表。第35条规定的处罚重于LGPD：最高可达集团在巴西营业额10%、每项违规上限5000万雷亚尔的罚款，以及按注册用户每人10至1000雷亚尔计算的罚款，还包括暂停或禁止活动的处罚。文中观点来自律师Calza Neto。

来源：TI Inside · 11-07 05:47（北京时间）

行业动态

英国押注本土AI与网络投资推进技术主权，安全负责人质疑资金碎片化

据DarkReading报道，英国正押注本土人工智能和网络投资，以减少对美国技术的依赖，但安全负责人质疑相关资金是否过于碎片化且为时已晚。该报道背景涉及英国AI政策的变化。报道内容较为简短，仅概述了英国在技术主权方向上的投入及安全负责人对资金规模与时机方面的疑虑，未提供具体的资金金额、项目名称或相关官员的详细评论。

来源：Dark Reading · 11-07 05:27（北京时间）

行业动态

事件记录被厂商用于AI训练，给企业带来新风险

Dark Reading指出，安全事件记录正越来越多地被厂商用于训练其AI模型，这给企业带来了新的风险。输入仅提供了这一简短观点，未包含具体厂商、案例、数据或攻击事件的细节，因此无法进一步展开。企业事件档案在用于模型训练时的具体风险形式、涉及的数据类别以及已有影响，输入材料中均未说明。

来源：Dark Reading · 11-07 02:27（北京时间）

行业动态

SpecterOps解析多租户应用注册与服务主体隐藏风险

SpecterOps研究者Lee Robinson发文解释Microsoft Entra ID中应用注册与服务主体的区别：应用注册是应用的定义并保存凭据，位于其home tenant；服务主体是应用在每个使用它的租户中的安全主体，承载实际被授予的权限。多租户应用使供应商持有应用注册及凭据，客户租户只有服务主体，因此供应商凭据泄露后攻击者可登录各客户租户中的服务主体并继承已授予权限。文章以ConnectWise Cloud Backup（原SkyKick Backup）事件为例：据Huntress 2026年10月16日报告，未知威胁者利用该供应商凭据登录各受影响租户的服务主体，当时已见100+租户沦陷。文章还讨论攻击者窃取或添加凭据、利用Application.ReadWrite.All与AppRoleAssignment.ReadWrite.All提权，并给出审计第三方服务主体、限制同意、监控服务主体登录等防御建议。

来源：SecurityHub · 11-07 01:00（北京时间）

【二】数据泄露与隐私事件

数据泄露与隐私

Chainalysis称数据泄露事件暴露全部客户的凭据和有效令牌

区块链情报公司Chainalysis表示，近期对其系统和内部工具的攻击暴露了全部客户的凭据和有效令牌。该公司为客户提供加密货币交易追踪和欺诈、勒索软件、洗钱等犯罪调查工具，客户包括全球执法机构、政府部门、金融机构、保险公司和加密货币企业。上周五公司曾披露攻击者使用AI工具通过\"攻击性代理技术\"获取客户姓名、电子邮箱、用户ID和组织角色标签，最初称影响有限，随后更新确认在\"路径中间人攻击\"中所有客户的用户名和密码哈希被暴露。公司表示目前尚无证据表明调查数据被访问或区块链归因数据被篡改。为防范风险，Chainalysis已锁定账户、要求用户重置密码，并在发现更多异常活动后将登录门户及Reactor、Data Solutions、KYT界面和API、地址筛查产品线下处理，要求客户提供可信IP地址以重新获得访问权限。

来源：BleepingComputer · 11-06 22:17（北京时间）

【三】焦点漏洞与攻击预警

漏洞与攻击

微软Entra设备注册权限提升漏洞CVE-2026-109469，评分10.0

CVE编号CVE-2026-109469于2026年11月6日发布，涉及Entra设备注册（Entra Device Registration）中的权限提升漏洞。根据漏洞描述，该漏洞属于通过用户可控密钥实现的身份验证绕过（Authorization bypass through user-controlled key），允许未授权攻击者通过网络提升权限。严重程度评分为10.0，级别为严重（CRITICAL）。该信息来自cvefeed漏洞数据库条目，更多细节如CVSS详情、受影响产品、时间线等需访问原始链接获取。条目中未说明该漏洞是否已被在野利用或是否有可用补丁。

来源：cvefeed · 11-07 07:17（北京时间）

漏洞与攻击

圣保罗Smart Sampa再曝漏洞 权益组织吁调查并暂停项目

巴西权益组织网络权利联盟（CDR）于11月5日向圣保罗检察院提交申诉，要求紧急调查市政视频监控项目Smart Sampa，并评估是否暂停该计划。此前UOL于11月3日披露，约1.7万家合作企业摄像头经由Monuv平台接入该项目的传输链接可无认证访问，传输地址与合作伙伴信息暴露至少五天；这些链接在10月30日停止工作。此前10月20日的报道还发现接入超5.8万枚摄像头的系统凭据与技术信息在互联网上暴露约11个月，但凭据暴露本身不能证明设备已被访问。圣保罗市政府否认链接公开可用，称未发现外部攻击，并表示该链接表格是Prodam网络安全分析的产物，被不当流向媒体，市政自有2万余枚摄像头不在其中；Monuv称自身有认证与传输保护控制。国家数据保护局已要求市政府作出说明。目前无公开证据表明全部传输被犯罪者窃取。

来源：Minuto da Seguranca · 11-06 01:29（北京时间）

漏洞与攻击

JupyterLab Desktop一击令牌泄露漏洞可致远程代码执行

跨平台桌面应用JupyterLab Desktop被披露漏洞CVE-2026-86044，严重程度评分为9.6（严重）。在4.6.2-1之前的版本中，应用向渲染进程暴露getServerInfo时未确认当前页面仍具有本地Jupyter服务器源。在使用4.4.8之前JupyterLab的本地受管会话中，攻击者可在不受信任的笔记本中放置特制MathJax链接；受害者打开笔记本并点击链接后，渲染器导航至攻击者控制的站点但仍保留对preload bridge的访问。该站点可调用getServerInfo获取本地服务器URL与认证令牌，再通过Jupyter REST API创建并信任一个以受害者身份执行任意代码的笔记本。环境已使用JupyterLab 4.4.8或更高版本的用户不受影响，因为修正后的链接处理破坏了攻击链的第一步。该漏洞已在4.6.2-1版本修复。

来源：cvefeed · 11-07 05:17（北京时间）

漏洞与攻击

Chartbrew默认CB\_SECRET可被伪造JWT接管账户

开源数据可视化应用Chartbrew被披露漏洞CVE-2026-85295，评分9.8（严重）。在5.2.3之前版本中，四个认证助手接受使用CB\_SECRET签名的会话令牌，包括已知、弱或出厂默认值。易受攻击面是server/modules/verifyToken.js、verifyUser.js、getUserFromToken.js和socketManager.js中API与socket层的会话JWT回退验证。使用原始源码或仓库Docker Compose部署时保留已知、弱或默认CB\_SECRET，攻击者可提交解码为目标用户ID的伪造HS256令牌；掌握对称密钥即可让旧版回退验证在无需目标用户密码或双因素认证的情况下将其认作目标用户。伪造会话可在整个API与socket层冒充所选用户并行使该用户的Chartbrew权限；CB\_SECRET未定义的裸容器不受此回退路径影响。该问题已在5.2.3版本修复。

来源：cvefeed · 11-07 05:17（北京时间）

• -   -

- 极客视角 · 洞悉暗流 -