微软周三披露，被其命名为 Storm-0940 的中国国家关联攻击者参与了近期 ConnectWise Cloud Backup 应用的供应链入侵。该组织在此次事件中使用基于 Go 的智能体 AI 渗透测试框架 ARTEX 加速扫描；ARTEX 此前因被用于攻击韩国金融机构而转为闭源。
推荐理由：微软将 ConnectWise 供应链攻击归因于 Storm-0940，并指出其借助 ARTEX 框架加速扫描，为观察 AI 工具进入攻击链提供线索。
据 SafeDep、Socket、StepSecurity 和 Upwind 的报告，LiteLLM Python 包遭软件供应链攻击，被植入凭据窃取程序和后门，受影响的是通过 PyPI wheels 和 Docker 镜像分发的 LiteLLM 1.107.0。该包随后已在 Python Package Index（PyPI）上被隔离。
推荐理由：材料给出受影响版本与分发渠道，读者可据此判断自身依赖是否暴露在供应链风险中。
Sophos 研究人员披露此前未被记录的亲华威胁集群 Bronze Sandcastle，该集群自 2025 年年中以来针对亚洲和非洲的组织发起攻击。研究人员 Gabor Szappanos 称，该集群最显著的技术特征是持续使用 Sandboxie DLL 侧加载来部署后门。
一名研究人员发现，攻击者在 10 月初控制了超过 300 个 Tor 出口中继，将 SSH 连接重定向到窃取登录密码的服务器。只有在 10 月 1 日至 5 日期间通过 Tor 以密码方式登录 SSH 服务器、并接受拦截的连接才会受影响。
不明身份的攻击者入侵 TeamUpdraft 网站，可能未经授权获取了客户用于 UpdraftCentral、UpdraftVault 和 UpdraftClone 的连接密钥，并利用这些密钥在 WordPress 站点植入后门。
俄罗斯网络安全公司 Solar 发布报告称，一个亲白俄罗斯的黑客活动组织在俄罗斯某医疗机构网络内潜伏近两年，活动被归因于名为 Partisan Zmiy（又称 Cyber Partisans）的威胁集群，该组织至少自 2020 年起活跃。报告称攻击者将 Vasilek 后门隐藏在 VMware Tools 中，但现有材料仅提供摘要，未披露具体攻击链和影响范围。
2026年10月20日，有帖子指控以色列公司 Verint 和 Amdocs 在美国政府通信系统中植入后门，可能使以色列情报机构获取司法部、FBI、DEA、国务院和白宫等机构的通话记录和监听数据。涉及数据类型包括通话记录和通信元数据，未提及具体条数。内容基于匿名信源和 FBI 报告。
据PWN论坛帖子声称，CommonSpirit Health于2023年5月因MOVEit文件传输工具漏洞泄露约11430000条记录。泄露字段包括姓名、邮箱、电话、住址、出生日期、保险计划、诊断与操作代码等。
Mozilla 与 Google Chrome Root Program 于 10 月 20 日确认，eMudhra 八张中间 CA 证书的私钥已泄露。中间 CA 负责签发网站证书，持有这些私钥者可为任意网站签发浏览器接受的证书。一名研究人员报告了此事，浏览器和软件方已启动应急修复。
同一新闻，精选展示《eMudhra 八个中间 CA 证书私钥泄露》
攻击者利用一名贡献者的 GitHub 账号，替换了 OVHcloud 命令行工具五个既有版本的下载归档，替换文件被设计为窃取运行机器磁盘上存储的密钥信息。OVHcloud 称这些文件在 GitHub 上存活了最长 94 分钟，时间为 UTC 12:47 至 14:21。
Elastic 发现一个假冒 Web3 加速器以提供 Anthropic Claude 和 Google Gemini 免费 AI 额度、编码工具及安全审计为名，通过恶意 npm 包向 Windows 和 macOS 系统投放信息窃取恶意软件与后门。该活动还被指用于劫持 AI 智能体流量，报道未给出更多技术细节。
GhostAction 供应链攻击的行动者已将手法扩展到在 94 个 GitHub 仓库中植入伪装成字体文件的窃密程序，并借此对开源开发者实施钓鱼。OpenSourceMalware 称，攻击者此前通过向被入侵项目注入恶意 GitHub Actions 工作流实施攻击，此次变化显示其正根据应对措施调整作案方式。
Rank Math 在 10 月 16 日发布安全公告称，10 月 15 日 20:02 UTC 至 10 月 16 日 07:12 UTC 期间从 rankmath.com 下载或通过更新下发的 Rank Math PRO 副本包含恶意软件。安装并激活了这些副本的站点应被视为已失陷。
推荐理由：事件给出了明确的感染时间窗和下载渠道，读者可据此判断自家站点是否落在受影响范围内。
研究人员 boredhackerblog 称，攻击者已开始利用 Plex Media Server 中被称为 Plex2Shell 的四个漏洞组成的漏洞链，部署加密货币挖矿程序和反向代理软件，相关活动在 PoC 公开一天后出现。该说法来自这名研究人员的观察，The Hacker News 的摘要未披露漏洞编号、影响版本和具体攻击规模。
研究人员发现恶意 npm 包 imgdecode 属于近期披露的 MALFEX 软件供应链攻击活动，该包于 2026 年 9 月 30 日由用户 malfexteste8 上传，截至报道时已被下载 979 次且仍在 npm 上架。报道称该包将 Shellcode 加载器隐藏在 Windows 原生插件中，材料仅提供摘要，未给出更多技术细节。
ConnectWise 表示，在调查一起未知威胁行为者未经授权获取应用身份并入侵 Microsoft 365 租户的事件期间，已停用七个 ConnectWise 应用身份，其中包括 ConnectWise Cloud Backup（506e08f9-6e9a-4da4-942b-a099a03644ae）。该公司称调查仍在继续。
ConnectWise 在黑客访问应用身份并入侵 Microsoft 365 租户后，关闭了客户对其 Cloud Backup 服务（原 SkyKick Cloud Backup）的访问。报道将此次事件描述为一起供应链攻击，受影响租户的具体范围和入侵细节尚未在摘要中披露。
2026 年 5 月至 7 月，攻击者多次篡改 AOMEI Backupper 从厂商更新服务器拉取的文件，每次持续 5 至 10 分钟，在此期间检查更新的 Windows 备份程序会下载并运行后门。Google Threat Intelligence Group、Mandiant 与 ManageEngine 的威胁分析团队披露了这一情况。
推荐理由：材料披露攻击者利用厂商更新服务器短时篡改投递后门，读者可了解供应链更新环节的暴露窗口。
Palo Alto Networks Unit 42 分析了一起针对政府 Linux 基础设施的 AI 驱动间谍活动，攻击中使用定制恶意软件、Web Shell 和高级凭据窃取手段。该分析由 Roey Porat 和 Tom Fakterman 撰写，目前公开内容仅为摘要。
GitGuardian 观测到凭证窃取活动 GhostAction 在 2026 年 10 月 8 日至 9 日规模上升，波及 3,000 名用户和组织名下的 3 万多个仓库。研究人员称，攻击者攻陷约 1,900 个 GitHub 账号，并试图从公共仓库的 CI 中提取 3,174 个密钥。
The Hacker News 报道称，长期运行的流量分发系统 Help TDS 被指与俄语联盟项目 Hotejka 关联，后者疑似 ROI777 流量变现业务更名。Help TDS 据评估至少自 2017 年起活跃，向合作方提供 PHP 代码模板，植入被入侵网站以引导访问者，相关技术支持诈骗涉及逾 2 万个 Cloudflare Pages 域名。
The Hacker News 报道，威胁组织 Silent Lynx 被指针对独联体（CIS）政府机构发动新一轮攻击，活动时间从 2025 年 6 月持续至 2026 年 8 月。
Citizen Lab 研究人员周四称，以色列间谍软件厂商 Candiru 通过普通在线广告感染了半岛电视台（Al Jazeera）的设备，攻击无需用户点击或任何操作。隐藏的攻击代码在广告加载到屏幕上的瞬间即执行，部分情况下广告在后台不可见处加载。Candiru 是向政府出售间谍软件的厂商。
The Hacker News 报道称，被追踪为 Armory Castle（此前称 UNC5221 或 Warp Panda）的中国关联网络间谍组织在 2026 年 8 月下旬将 BeyondTrust Remote Support（原 Bomgar）的一个新披露漏洞作为零日利用。该漏洞编号 CVE-2026-102764，CVSS 评分 9.3，属于内部消息组件的来源验证不当问题。
Mandiant 称在事件响应中发现，疑似中国背景的间谍组织 ARMORY CASTLE（原编号 UNC5221）在 2026 年 8 月下旬将 BeyondTrust Remote Support 的漏洞 CVE-2026-102764 作为零日漏洞利用，该漏洞可导致任意文件上传。
推荐理由：Mandiant 披露 ARMORY CASTLE 利用 BeyondTrust 零日漏洞的入侵证据，可了解该组织在设备内部提权与持久化的手法。
有威胁行为者向 Arch 用户仓库（AUR）上传恶意软件包，仿冒 yay 和 paru 两款常用辅助工具，并以 root 权限植入恶意软件。BleepingComputer 报道了这一情况，但 feed 仅提供摘要，未给出包名、上传时间或影响范围等细节。
BleepingComputer 报道，一场代理劫持（proxyjacking）活动已影响 34 个国家的设备，攻击者通过商业住宅代理网络将受害者的互联网连接变现。报道称被劫持的设备包括 D-Link 和 Ubiquiti 产品，目前仅有摘要信息，具体入侵手法与受影响规模尚未披露。
攻击者正在利用 Collabora Online 内置 CODE Server 应用（richdocumentscode）中的一个严重命令执行漏洞，该漏洞现被追踪为 CVE-2026-110447，用于在 Nextcloud 服务器上植入后门。
Google Threat Intelligence Group 与 Mandiant 调查了 2026 年 4 月至 7 月针对 AOMEI Technology 更新基础设施的软件供应链攻击，攻击者反复对 AOMEI 源服务器做短时配置篡改，每次篡改窗口仅持续五到十分钟便恢复为真实版本。
推荐理由：披露一种仅持续五到十分钟的供应链篡改手法，为防守方理解短窗口投毒与基础设施封堵难点提供参考。
Bitdefender 披露名为 Midnight Mimosa 的活动，多款基于 MediaTek 平台的低价安卓手机在固件中预装恶意软件 com.android.system.lite，以系统级权限远程加载载荷，进行广告欺诈、静默安装应用并把设备变成住宅代理节点。
10月11日夜间，攻击者远程控制法国数百家超市的Danfoss冷藏控制器，将冰柜置于除霜模式并加热至最高50°C，导致门店丢弃食品。CERT-FR于10月12日发布警报，称已知悉影响Danfoss AK-SM和AK-SC两个控制器系列的多起入侵，要求运营方断开控制器或过滤其访问，ANSSI负责人Vincent Strubel称应尽快将这两个系列从互联网下线。
推荐理由：事件涉及已停产工控控制器被远程操控，读者可了解攻击面、受影响型号与官方处置建议。
美国司法部周二起诉 14 名美国公民与中国籍人员，并查扣约 187 台电脑，指控其参与为朝鲜创收的远程 IT 工作者欺诈计划，涉案美国企业超过 70 家。2026 年 9 月 21 日至 25 日的突查中，执法部门在得克萨斯州拆除了 40 余处所谓笔记本农场，该计划约从 2019 年持续至 2025 年 7 月，为 IT 工作者带来约 300 万美元收入。
微软联合 Health-ISAC、JC3 及 Cloudflare、Oracle、Proofpoint、TRM Labs 等公司宣布捣毁 CoGUI（NX/FA）、Haozi（Phoenix）和 Iron Man System 三个钓鱼套件。
攻击者利用 Nextcloud 可选应用 Collabora Online - Built-in CODE Server 的命令注入漏洞，在服务器上植入 web shell，首次记录的入侵发生在 9 月 10 日，三名管理员在 GitHub 报告了该问题。
微软与日本警察厅等机构联合捣毁一个支撑超10亿封恶意邮件的网络犯罪生态，涉及150个国家、逾7.5万家组织。调查发现名为YAM Store（Storm-3119）的地下市场，关联CoGUI、Haozi和Iron Man System等钓鱼工具包（统称Storm-2990），其中Iron Man提供超2300个冒充银行、零售商和政府的模板。
推荐理由：微软与日本警方等联合捣毁一个支撑超十亿封钓鱼邮件的犯罪生态，披露了YAM Store与Iron Man等工具链的运作方式。
美国司法部宣布打击 Famous Chollima（又称 WageMole）威胁组织的行动，逮捕两名美国公民 Michael James Bostelle 和 Juan Cecilio Pena Carrillo，并对 14 人提出指控，查获近 187 台笔记本电脑。
Palo Alto Networks Unit 42 披露一起针对电信托管服务商的入侵，攻击者利用 CVE-2024-47575 攻陷 FortiManager，窃取含 500 多台 FortiGate 防火墙运行配置、凭据与拓扑的归档文件。
推荐理由：披露 FortiManager 被攻陷后波及 500 多台防火墙的完整链路，并给出内存驻留植入体的检测思路。
也门黑客组织Uways Qarani声称入侵沙特Mohammed Hadi Al-Rasheed公司，获取并公开约200000份机密公司文件。据称这些文件与沙特国防部车辆供应及后勤支持有关，具体字段和内容未在帖中披露。
2026 年 10 月 7 日凌晨，软银子公司 IDC Frontier 运营的 IDCF Cloud 遭勒索软件攻击，东日本 Region 1 的 tesla、henry、pascal、joule 四个可用区故障，公司关闭受影响系统并暂停所有区域管理控制台访问，称受影响数据难以提取或恢复、恢复预计只能依赖客户自持备份。
推荐理由：事件把云集中化风险落到可计量的业务中断上，也提示共享管理面被攻破时备份归属与恢复演练才是关键。
Ledger 在 CryptoBilis 销售的硬件钱包中发现未授权硬件植入物，并暂停该经销商渠道销售，事件据称造成超过 8600 万美元损失。植入物位于外壳内，读取屏幕显示的 24 词助记词后经 LTE 和 eSIM 外传，不修改 Secure Element 或 Ledger 操作系统。
推荐理由：还原硬件钱包供应链植入物的技术细节与分销链路，可帮助读者理解线下设备被篡改的风险路径。