跳到正文
#供应链
10月15日周四
  3. 漏洞与风险The Hacker News78

    攻击者串联三个 Ivanti Connect Secure 零日漏洞获取 root 权限，目前仅修复两个

    安全公司 Volexity 称，攻击者串联 Ivanti Connect Secure 的三个零日漏洞，在无需登录的情况下以 root 权限执行命令，Ivanti 已修复其中两个，第三个权限提升漏洞的补丁仍在开发中。

    推荐理由：梳理了三个零日漏洞的串联利用链、受影响版本与检测盲区，可供企业排查 Ivanti Connect Secure 风险。

  4. 威胁情报The Hacker News75

    美国司法部起诉 14 人并拆除 40 余处朝鲜 IT 工作者笔记本农场

    美国司法部周二起诉 14 名美国公民与中国籍人员，并查扣约 187 台电脑，指控其参与为朝鲜创收的远程 IT 工作者欺诈计划，涉案美国企业超过 70 家。2026 年 9 月 21 日至 25 日的突查中，执法部门在得克萨斯州拆除了 40 余处所谓笔记本农场，该计划约从 2019 年持续至 2025 年 7 月，为 IT 工作者带来约 300 万美元收入。

  7. 威胁情报BleepingComputer78

    全球联合执法捣毁支撑10亿封钓鱼邮件的犯罪网络

    微软与日本警察厅等机构联合捣毁一个支撑超10亿封恶意邮件的网络犯罪生态，涉及150个国家、逾7.5万家组织。调查发现名为YAM Store（Storm-3119）的地下市场，关联CoGUI、Haozi和Iron Man System等钓鱼工具包（统称Storm-2990），其中Iron Man提供超2300个冒充银行、零售商和政府的模板。

    推荐理由：微软与日本警方等联合捣毁一个支撑超十亿封钓鱼邮件的犯罪生态，披露了YAM Store与Iron Man等工具链的运作方式。

  9. 威胁情报Palo Alto Networks Unit 4278

    Unit 42 披露 PEERSTITCH 植入体：FortiManager 漏洞致 500 多台 FortiGate 受影响

    Palo Alto Networks Unit 42 披露一起针对电信托管服务商的入侵，攻击者利用 CVE-2024-47575 攻陷 FortiManager，窃取含 500 多台 FortiGate 防火墙运行配置、凭据与拓扑的归档文件。

    推荐理由：披露 FortiManager 被攻陷后波及 500 多台防火墙的完整链路，并给出内存驻留植入体的检测思路。

  10. 行业BleepingComputer74

    Ledger 遭供应链攻击后要求亚洲多地卖家停售

    Ledger 要求东南亚和香港的分销商与经销商暂停钱包销售并下架产品，以调查硬件植入事件。调查发现，从经销商 CryptoBilis 购买的设备被改装，植入的微控制器可解码 24 词助记词并通过 LTE 和 eSIM 发送给未授权方，该组件不修改 Secure Element 或 Ledger 操作系统，因此无法被完整性自检发现。

10月14日周三
10月13日周二
  1. 威胁情报勒索情报 · 定时任务88

    软银旗下 IDC Frontier 的 IDCF Cloud 遭勒索攻击，495 家机构与地方政府受影响

    2026 年 10 月 7 日凌晨，软银子公司 IDC Frontier 运营的 IDCF Cloud 遭勒索软件攻击，东日本 Region 1 的 tesla、henry、pascal、joule 四个可用区故障，公司关闭受影响系统并暂停所有区域管理控制台访问，称受影响数据难以提取或恢复、恢复预计只能依赖客户自持备份。

    推荐理由：事件把云集中化风险落到可计量的业务中断上，也提示共享管理面被攻破时备份归属与恢复演练才是关键。

  2. 综合新闻Ars Technica · AI65

    乌克兰无人机袭击致 Yandex 三座数据中心瘫痪，俄数字服务大面积中断

    乌克兰无人机在数日内击瘫俄罗斯科技巨头 Yandex 旗下三座最大数据中心，导致俄罗斯数字服务出现大面积中断。亲克里姆林宫博主警告，俄罗斯对这场自己挑起的“数据中心战争”准备不足，其集中式数字经济可能崩溃，并认为乌克兰去中心化的数字服务在持续互袭中可能更具韧性。俄罗斯此前于 9 月下旬发起针对乌克兰数据中心和移动网络的无人机打击，一度中断基辅多达 10 万户家庭的互联网和手机服务。

10月12日周一
  1. 威胁情报The Hacker News78

    Ledger 在 CryptoBilis 销售的硬件钱包中发现未授权硬件植入物

    Ledger 在 CryptoBilis 销售的硬件钱包中发现未授权硬件植入物，并暂停该经销商渠道销售，事件据称造成超过 8600 万美元损失。植入物位于外壳内，读取屏幕显示的 24 词助记词后经 LTE 和 eSIM 外传，不修改 Secure Element 或 Ledger 操作系统。

    推荐理由：还原硬件钱包供应链植入物的技术细节与分销链路，可帮助读者理解线下设备被篡改的风险路径。

10月11日周日
  1. 威胁情报The Hacker News80

    GhostAction 攻击向数万 GitHub 仓库植入窃取凭据的 Actions 工作流

    StepSecurity 与 Socket 披露，GhostAction 供应链攻击活动通过两个开源维护者账号，将恶意 GitHub Actions 工作流推送到 340 多个仓库，Socket 称自 2026 年 10 月 7 日以来已有 500 多个 GitHub 账号向数万仓库提交该工作流。

    推荐理由：梳理 GhostAction 供应链攻击的完整链路与受影响范围，可供开发者排查仓库与轮换凭据时参考。

  2. 观点The Hacker News35

    第三方 AI 智能体难题：为“自选 AI”构建的安全为何管不住“非自选智能体”

    2026 年《智能体安全状况报告》研究的环境显示，约 1,280 个第三方产品已内嵌 AI，其中仅约 282 个走单点登录，其余默认对身份基础设施不可见。Salesforce 于 2026 年 8 月推出的 Slack Code 允许用户把编码智能体拉进任意对话，该智能体可读取共享上下文、写代码并提交 pull request。

10月9日周五
  2. 威胁情报The Hacker News78

    FBI 查封 7 个域名，打击 Flax Typhoon 关键基础设施入侵工具

    美国 FBI 与司法部宣布查封 7 个域名并阻断相关平台访问，这些平台被用于扫描乃至入侵美国关键基础设施，涉事域名包括 c0cc[.]cc、98aiblog[.]com、98aicai[.]com、98aicode[.]com、outlook3650[.]com、youtubecard[.]com 和 linkedinns[.]net。

    推荐理由：材料给出被查封域名、C2 服务器与受害设备数量，可了解 Flax Typhoon 工具链与执法处置范围。

10月8日周四
  4. 安全研究Palo Alto Networks Unit 4278

    Unit 42 解析云供应链攻击中 Web3 C2 的三阶段演进

    Palo Alto Networks Unit 42 发布报告，梳理威胁行为者将命令控制基础设施从硬编码 C2 端点升级为 Web3 智能合约，可借单笔合约交易动态更新整个僵尸网络与蠕虫网络。

    推荐理由：梳理 Web3 C2 从 EtherHiding 到 NullReceiver 的三阶段演进，并给出面向 CI/CD 与开发终端的检测思路。

  11. 漏洞与风险NVD · CVE 2.0 漏洞库38

    Backstage 插件 confluence-to-markdown 存在路径校验漏洞（CVE-2026-106560）

    Backstage 的 @backstage/plugin-scaffolder-backend-module-confluence-to-markdown 包在 0.3.25 之前存在仓库路径校验不当问题，可执行受影响模板并控制仓库文件位置的已认证用户，能将生成内容写到任务工作区之外、Backstage 后端进程可写的位置。该漏洞已在 0.3.25 版本修复。