赛博安全狗：Google Chrome Skia组件被指存在高危释放后使用漏洞CVE-2026-126846 (11.12)

赛博安全狗
赛博安全狗

赛博看门狗

2026年11月12日 12:57
浙江

去阅读

[ ROOT @ WATCHDOG ]

全网高价值安全威胁速递。包含高危漏洞、数据泄露与行业重点动态。

2026-11-12 · 11 条

今日重点

1.贝克天利会计师事务所通报第三方平台数据泄露事件

2.Google Chrome Skia组件被指存在高危释放后使用漏洞CVE-2026-126846

3.安全专家提出CVSS、EPSS与KEV三层漏洞优先级分层模型

【一】行业和安全动态

行业动态

安全专家提出CVSS、EPSS与KEV三层漏洞优先级分层模型

文章讨论CVSS、EPSS和CISA KEV三种漏洞优先级信号，指出三者分别回答严重性、未来30天被利用概率以及是否已被攻击者利用的问题。作者建议采用分层模型：先将KEV漏洞列为最高优先级，再用EPSS对剩余积压排序，并以CVSS在同一优先级带内衡量影响，同时结合资产暴露面和关键性调整。文章强调应记录降级理由、定期验证修复效果，以满足PCI DSS 6.3.1和ISO/IEC 27001:2022控制8.8的审计要求，并提醒不要将CVSS与EPSS相乘生成单一分数。文中还列举常见失败模式，如只看CVSS、忽略资产上下文、把KEV当作完整清单以及使用过期EPSS快照。

来源：SecurityHub · 11-12 01:42（北京时间）

行业动态

电子数据鉴定专家郭弘回顾26年取证生涯与标志性案件

文章以电子数据鉴定专家郭弘的第一人称视角，回顾其26年从业经历和电子数据取证实践。文中介绍智能电表被批量强制断电案：攻击者利用权限漏洞绕过安全校验，批量下发控制指令，造成近千户居民停电，鉴定意见成为定罪关键；还介绍新能源车动力电池ID被克隆、篡改案，同一电池ID异地复现，取证团队固定后台、BMS和读写日志并还原篡改链。郭弘还推动电子数据鉴定标准建设，主持或参与7项国家标准和40多项行业标准，并参与全国最大非法获取公民个人信息案等案件取证。文章强调数字取证对司法公正的价值。

来源：SecurityHub · 11-12 00:00（北京时间）

【二】数据泄露与隐私事件

数据泄露与隐私

贝克天利会计师事务所通报第三方平台数据泄露事件

美国大型会计师事务所Baker Tilly Advisory Group正在通知客户，一次数据泄露已危及其部分本人及受抚养人的个人信息。公司表示，暴露的数据存储在其用于服务客户的第三方服务提供商运营的平台上。Baker Tilly于2026年9月6日获悉此事，并于10月28日完成对受影响数据的审查。公司称未经授权的行为者获取了部分客户数据。通知未给出受影响客户数量、未点名该服务提供商，暴露数据类型留空。据德克萨斯州总检察长办公室数据，仅该州就有10456人受影响，暴露数据类型包括社会安全号码、全名、地址等。公司称已采取遏制措施、聘请外部专家调查并通报执法部门，其自身网络目前没有未经授权活动的证据，也未收到与该事件相关的身份盗窃或欺诈报告，并为客户提供24个月的Experian信用与身份监控。BleepingComputer未发现勒索软件组织宣称此次攻击。

来源：BleepingComputer · 11-12 07:01（北京时间）

数据泄露与隐私

Notion披露供应商Fireworks AI安全事件暴露少量AI聊天记录

数字工作平台Notion披露，其AI基础设施供应商Fireworks AI发生的安全事件导致少量工作区的Notion AI聊天记录被暴露。Fireworks AI此前确认，攻击者于10月23日通过第三方云提供商访问其开发环境，窃取了资源元数据、账单信息、模型权重和部分客户数据集；10月初该公司还曾发生另一起事件，攻击者访问了存储API密钥和令牌的环境变量。Notion于11月2日收到Fireworks警报后切断流量、删除供应商系统中的所有数据并停止训练；11月8日Fireworks确认客户数据被访问，其中包括Insights功能数据集中的Notion AI聊天记录。Notion表示绝大多数受影响工作区的记录无法归属到具体用户，受影响用户不足其用户的1%，并建议受影响用户轮换在聊天中输入的密码、API密钥等凭据。

来源：BleepingComputer · 11-12 04:54（北京时间）

数据泄露与隐私

Railway披露入侵事件：被盗凭据产生约74万美元欺诈性AI费用

云托管平台Railway表示，黑客利用其基础设施漏洞窃取客户认证密钥并产生约74万美元的欺诈性AI使用费用，最多可能影响约10万个工作区（占1.85%，为潜在上限而非确认数字）。攻击始于10月20日，黑客利用一个未知漏洞逃逸构建隔离环境获取内部凭据，进而取得内部源代码，随后利用第二个配置不当的信任关系漏洞获得解密客户环境变量的凭据。攻击者重点搜索AI服务商凭据，据称用于转售或模型蒸馏。被盗凭据还被用于产生约74万美元未经授权的AI使用。1,852名用户的GitHub OAuth令牌等关联账号令牌被暴露并已重置。10月21日攻击者被完全清除，漏洞已修复。该事件被关联到Wiz所称针对AI开发平台的\"Black October\"攻击浪潮。

来源：BleepingComputer · 11-11 06:20（北京时间）

数据泄露与隐私

日本家具巨头Nitori称系统遭入侵 3762万条客户记录或外泄

日本大型家具及家居用品零售商Nitori（被称为“日本的宜家”）于2026年11月6日发现其管理的系统遭第三方未授权访问，随后阻断了攻击者的访问。调查显示，攻击者可能自10月中旬起便能访问该系统。公司在通知中表示，服务器上多达3762万条个人信息记录可能已外泄，涉及个人会员、企业会员及通过Nitori门店和线上商店下单的非会员，泄露内容或包括会员号、姓名、邮箱、地址、电话、出生日期、性别及Nitori Net和电商平台上官方店铺的订单信息。公司确认会员账户密码和信用卡信息未在此事件中暴露。公司已向日本个人信息保护委员会和警方通报，并提醒受影响客户警惕钓鱼和诈骗。11月11日公司发言人表示，正在调查事件原因，包括是否涉及勒索软件，并与外部网络安全专家合作，尚未确定受影响客户数量。

来源：BleepingComputer · 11-11 04:54（北京时间）

【三】焦点漏洞与攻击预警

漏洞与攻击

Google Chrome Skia组件被指存在高危释放后使用漏洞CVE-2026-126846

据VulDB收录，Google Chrome及其以下至157.0.8103.50版本被发现一个被评为严重级别的漏洞，编号CVE-2026-126846。该漏洞影响Skia组件中的未知代码，通过操纵可触发释放后使用问题。攻击可以远程发起。该漏洞为研究者发现并被VulDB分类，目前尚无可用的利用代码，也无在野利用迹象的说明。缓解方式是升级受影响的组件。

来源：vuldb · 11-12 07:04（北京时间）

漏洞与攻击

Heym 0.0.75之前版本存在高危漏洞 CVE-2026-67546可致命令执行

自托管基础设施上的智能体系统与业务流程自动化软件Heym在0.0.75版本之前存在一个高危漏洞（CVE-2026-67546，严重程度8.8）。同一端点POST /api/mcp/fetch-tools（任意已认证用户，最低角色即可）还接受stdio传输，会以攻击者提供的参数和环境变量合并os.environ的方式启动攻击者指定的命令。该进程在后端共享主机上执行，且发生在MCP协议验证失败之前，因此无论命令是否符合MCP协议，副作用都会生效。研究者指出这是与同一端点上的SSRF漏洞（公告2）不同的弱点类别和利用原语，需要不同的修复方式：角色权限控制或选择加入的信任边界，而非出站流量控制。该问题已在0.0.75版本中修复。

来源：cvefeed · 11-12 06:17（北京时间）

漏洞与攻击

taOS确认高危漏洞CVE-2026-67547：非管理员可远程执行任意代码

自托管AI智能体操作系统taOS在1.0.0-beta.23版本之前存在高危漏洞CVE-2026-67547，严重程度评分8.8。其POST /api/skill-exec/{skill\_id}/call接口在执行内置技能（包括通过subprocess.run([\"python3\", \"-c\", code])运行任意Python代码的code\_exec技能）时，不进行管理员角色检查、技能所有权检查或智能体分配验证。任何持有有效非管理员会话的认证用户都可提交攻击者控制的Python代码，以taOS后端进程用户身份在主机上执行，无需额外提权即可实现完全远程代码执行。该问题已在1.0.0-beta.23版本修复。

来源：cvefeed · 11-12 06:17（北京时间）

漏洞与攻击

Heym确认高危漏洞CVE-2026-67544：认证用户可实现后端远程代码执行

在自托管基础设施上构建智能体系统和业务流程自动化的Heym，在0.0.71版本之前存在高危漏洞CVE-2026-67544，严重程度评分8.8。其工作流引擎接受Playwright节点playwrightCode字段中的任意Python代码字符串，将其写入临时.py文件后由后端进程通过subprocess.Popen([sys.executable, script\_path])直接执行，无沙箱、AST校验或角色限制。任何认证用户（包括新注册账号）均可在后端主机上实现完全远程代码执行，以服务进程用户身份运行（默认Docker部署中被观察到以root运行）。该问题已在0.0.71版本修复。

来源：cvefeed · 11-12 06:17（北京时间）

漏洞与攻击

Portabase曝严重路径遍历漏洞CVE-2026-67449 可致主密钥文件被覆写

PostgreSQL、MySQL、MsSQL、MariaDB、Firebird SQL、SQLite、MongoDB、Redis、文件和Docker卷的备份恢复工具Portabase披露一个严重漏洞CVE-2026-67449，评分为9.8。在1.21.2版本之前，其TUS上传webhook处理程序（app/api/tus/hooks/route.ts）中存在路径遍历漏洞，未认证攻击者可覆写私有数据目录下的任意文件，包括存储AES-256-GCM主密钥的/data/private/keys/master\_key.bin。该漏洞已在1.21.2版本中修复。此为披露的漏洞信息，未提及是否发生在野利用。

来源：cvefeed · 11-12 06:17（北京时间）

• -   -

- 极客视角 · 洞悉暗流 -