2026-11-09 18:40:47 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

网络安全早报·11月08日

原创

安全早报
安全早报

Ncko

2026年11月9日 13:00
安徽

去阅读

2026 年 11 月 6 日–8 日 · 共 9 条

11 月 8 日（北京时间）没有新披露的网络安全事件，本期收录 11 月 6 日至 8 日要闻。

01高危OpenSSH SSHole 漏洞公布 9 小时后出现利用尝试，蜜罐被拿到 root

11 月 5 日，OpenSSH 发布 10.6p2，修复 CVE-2026-123158（CVSS 8.1）。漏洞代号 SSHole，源头是 2016 年为修复用户名枚举（CVE-2016-6210）引入的补丁：sshd 在密码哈希计算失败时，把结果当成表示“账户无密码”的星号（\），于是长度 257 至 1024 字节的任意密码可登录密码字段为 \ 的账户。11 月 6 日，威胁情报公司 Previdian 称 CVE 公布后不到 9 小时记录到首次利用尝试，共 8 次，来源 IP 89.116.89.18 地理定位为日本；在 Alpine Linux 加 OpenSSH 的蜜罐上确认取得 root，执行了 id、uname、hostname。

受影响：Alpine Linux 3.16 至 3.24 与 edge 的默认 openssh-server（musl、未启用 PAM），OpenWrt、Buildroot、Yocto 等同类构建；OpenSSH 10.6p2 之前版本。使用 glibc、通过 PAM 校验密码的系统与 Dropbear 不受影响。

官方处置：OpenSSH 建议升级至 10.6p2 并重启 sshd；Alpine 已发布 3.16 起的修复包，无法立即升级可关闭密码登录后重启 sshd；Alpine 建议排查 /var/log/messages 中本不应接受密码的账户出现的“Accepted password for”记录，无法排除登录的机器按已被入侵处理。

02高危Barracuda 邮件网关两漏洞串联，未登录可拿到 root

11 月 6 日，watchTowr 公布 Barracuda Email Security Gateway 的利用链。CVE-2026-116606 是授权绕过（CVSS 9.3）：修改密码失败时，设备返回低权限角色而不是终止请求，未登录者因此能调用备份恢复功能。CVE-2026-111560 是命令注入（CVSS 8.6），通常需要管理员账户，授权绕过正好把这个权限交了出去。恢复的备份含 timezone 字段，设备随后以 root 执行其中的 shell 命令；备份校验用的密钥硬编码在程序里，可伪造校验值。watchTowr 演示了以 root 向设备写入文件，未发布利用代码。两个 CVE 编号由 Mandiant 分配。

受影响：Email Security Gateway；命令注入还影响另外 5 款产品，在这些产品上仍需管理员账户。

官方处置：Barracuda 已于本周一发布补丁，Email Security Gateway 修复版本为 9.4.0.030 及更高；公告给出三步，逐个产品打补丁，无法立即修补时把管理界面限制在可信内网，关闭了自动更新的重新开启。

Barracuda Email Security Gateway 登录页，来源 The Hacker News，2026-11-06

03高危Veeam 内置 Linux 内核曝 9.8 分漏洞，备份设备需更新

11 月 6 日，Veeam 发布 KB4966，修复 CVE-2026-98432（CVSS 9.8）。漏洞是 Linux 内核 TCP/IPv4 连接建立过程中的释放后重用（use-after-free），可造成拒绝服务、内存损坏或系统运行中断。受影响的是产品中自带 Linux 内核的组件。

受影响：Veeam Software Appliance 13.1；Veeam Infrastructure Appliance 13.1，含备份代理、存储库、强化存储库、挂载服务器、网关、WAN 加速器；Cloud Connect 的 Linux 云网关与 WAN 加速器；Backup & Replication 13.1 与 12.3 部署的 Linux 助手设备；Agent for Linux 的恢复介质；AWS、Azure、Google Cloud 插件。Kasten for Kubernetes 镜像不含内核，不受影响。

官方处置：Software Appliance 与 Infrastructure Appliance 通过 Veeam Updater 安装修复内核 5.14.0-570.60.1+27.2.el9\_6\_ciq；Windows 版 Backup & Replication 13.1 使用 Linux 助手设备时，需先安装 13.1.2.57 再装私有修复；12.3 的助手设备私有修复在公告发布时尚未提供，Veeam 建议关注 KB4966 更新。

04高危Zyxel GS1900 交换机被利用的是另一个零日，约 1,000 台设备中招

11 月 5 日，SecurityWeek 报道 Binarly 的分析。此前被认为利用 CVE-2026-7273 的攻击，实际用的是当时未知的 CVE-2026-107441（CVSS 8.8）。漏洞在 GS1900 系列固件的 CGI 程序中，属越界写，未认证攻击者可通过特制 HTTP 请求执行操作系统命令，涉及 10 款型号。Binarly 称攻击者投放了 Jitterly 与 Sixzut 恶意软件的变体，入侵设备接近 1,000 台，且 6 月发布的 CVE-2026-7273 补丁对这批攻击无效。

受影响：Zyxel GS1900 系列 10 款交换机型号。

官方处置：Zyxel 于 10 月 23 日发布 v2.90 Patch 3 固件，11 月 3 日发布安全公告，建议升级至该版本或更高。Binarly 于 9 月 29 日通报，Zyxel 两周后确认漏洞。

05Chainalysis 遭 agentic 攻击，全部用户凭据泄露

11 月 6 日，Chainalysis 更新 10 月 30 日的安全事件说明：针对其系统的 agentic 攻击还泄露了全部用户的姓名、用户名、密码哈希和有效令牌。公司已切断 Reactor 与 Data Solutions 的访问，下线 KYT 用户界面与 API、地址筛查产品和登录页，并锁定了受影响账户。此前公司确认遭到“多线并进”的攻击，其中一次 on-path 攻击暴露了部分客户密码。

受影响：Chainalysis 全部用户的账号数据；Reactor、Data Solutions、KYT 与地址筛查服务暂时下线。

官方处置：Chainalysis 称恢复 KYT 与地址筛查需先提交可信 IP 加入允许列表，之后重置密码并轮换 API 密钥；公司表示目前没有证据显示调查数据被访问、归因数据被篡改。

Chainalysis 标识，来源 The Hacker News，2026-11-06

06DigiCert 内部系统暴露 17 个月，客户护照和驾照被读取

11 月 6 日，DigiCert 披露数据泄露。一个存放归档客户信息的内部系统在 2025 年 2 月迁移到不同网段时意外暴露到互联网；攻击者利用账户管理器中无需多因素认证的自助注册功能创建只读账户，在 6 月 27 日至 7 月 2 日读取归档数据。泄露内容为姓名、企业邮箱、电话和企业地址，部分记录含客户提供的驾驶证、护照、水电账单等身份证明文件。公司未公布受影响客户数量。

受影响：DigiCert 归档系统中的企业客户联系信息与部分身份证明文件；CA 系统位于独立安全网段，未受影响。

官方处置：DigiCert 称该账户不能写入记录、不能担任验证审批人、不能签发证书；公司已重置全部业务系统用户密码、停用自助注册、核查并移除非 DigiCert 账户，并从 10 月中旬起增加监控与告警。

07高危Windows Paint 远程代码执行漏洞修复只走应用商店

11 月 6 日，The Hacker News 报道微软已在 Microsoft Store 发布 CVE-2026-83844 的修复。漏洞是 Paint 中的越界读，CVSS 8.1，微软评级 Important；攻击者向受影响服务发送特制数据包即可执行代码，无需登录和用户交互，微软称成功利用需要深入了解目标系统。修复版本为 11.2609.401.0，只通过 Store 更新分发，不随 Windows 更新推送。CVE 记录与 NVD 条目仍把 11.2605.91.0 列为修复版本。截至 11 月 6 日，该漏洞不在 CISA KEV 目录。

受影响：Windows 上的 Paint 应用，低于 11.2609.401.0 的版本；每个用户账户和系统预置副本各自安装。

官方处置：MSRC 公告未提供临时缓解措施；微软建议通过 Store 更新或自动更新升级，并用 Get-AppxPackage -AllUsers 与 Get-AppxProvisionedPackage 检查所有用户副本与预置副本的版本。

08美国五部门要求加固制冷控制器，欧洲超市与血库此前被改温度

11 月 6 日，SecurityWeek 报道 CISA、FBI、HHS、USDA 与 DoT 联合发布建议，要求医疗、化工、食品和运输行业加固工业制冷与冷链监控系统。此前数周，攻击者入侵监控系统修改欧洲超市和血库的冷柜设置：10 月 11 日数百家超市冷柜被调到 50 摄氏度、冷冻柜进入化霜模式，造成食品损失并引发部分火灾；本周第二波攻击波及 100 多家超市和一家血库，法国血液机构 EFS 称员工处置及时，血液产品与样本未受损。Censys 数据显示，11 月 5 日仍有 3,124 台暴露在互联网的制冷控制器可访问，10 月 9 日为 6,695 台。

受影响：零售杂货与冷库设施中联网的电子温度控制器、商用制冷控制器，包括 Copeland/Dixell XWEB 与 Danfoss StoreView。

官方处置：上述机构称把控制系统移出互联网是首选；必须远程访问时应置于防火墙或边缘设备之后，隔离 OT 设备、仅允许可信身份访问、启用防钓鱼多因素认证，保留异地备份并开启日志与监控。

09日本公布 100 亿日元紧急网络安全对策

11 月 6 日，日本首相高市早苗在部长会议上公布紧急网络安全对策，规模 100 亿日元（约 6,300 万美元）。此前数十家企业和政府机构遭未授权访问，客户数据外泄。措施包括经济产业省在 11 月底前组建使用 AI 查找网络弱点的专家团队，设立公私联合的“网络救援队”为受害企业做初期响应，另设团队帮助防护薄弱的企业；政府还将强化对黑客服务器的访问能力，即 10 月合法化的“主动网络防御”。

官方处置：日本政府称该方案用于建立公私共享信息、快速支援受害方并从损失中恢复的体系，目标是把网络安全能力提升到世界前列。

The Hacker News（OpenSSH）https://thehackernews.com/2026/11/hackers-exploited-openssh-sshole-flaw.html

Alpine Linux https://alpinelinux.org/posts/2026-11-05-openssh-password-authentication-bypass/

OpenSSH Release Notes https://www.openssh.org/releasenotes.html

The Hacker News（Barracuda）https://thehackernews.com/2026/11/experts-demonstrate-barracuda-email.html

Barracuda Security Advisory https://trust.barracuda.com/security/pre-authentication-authorization-bypass-command-injection

Veeam KB4966 https://www.veeam.com/kb4966

SecurityWeek（Zyxel）https://www.securityweek.com/zyxel-switch-hacks-blamed-on-patched-flaw-actually-exploited-a-zero-day/

Zyxel Security Advisory https://www.zyxel.com/global/en/support/security-advisories/zyxel-security-advisory-for-out-of-bounds-write-vulnerability-in-gs1900-series-switches-11-03-2026

The Hacker News（Chainalysis）https://thehackernews.com/2026/11/chainalysis-breach-exposes-all-users.html

Chainalysis Blog https://www.chainalysis.com/blog/security-incident-october-30/

SecurityWeek（DigiCert）https://www.securityweek.com/digicert-data-breach-impacts-business-customer-information/

Mozilla Bugzilla https://bugzilla.mozilla.org/show\_bug.cgi?id=2084460

The Hacker News（Paint）https://thehackernews.com/2026/11/microsoft-paint-rce-fix-now-available.html

Microsoft MSRC https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-83844

SecurityWeek（制冷控制器）https://www.securityweek.com/us-agencies-urge-organizations-to-harden-refrigeration-controllers/