2026 年 5 月至 7 月，攻击者多次篡改 AOMEI Backupper 从厂商更新服务器拉取的文件，每次持续 5 至 10 分钟，在此期间检查更新的 Windows 备份程序会下载并运行后门。Google Threat Intelligence Group、Mandiant 与 ManageEngine 的威胁分析团队披露了这一情况。
推荐理由：材料披露攻击者利用厂商更新服务器短时篡改投递后门，读者可了解供应链更新环节的暴露窗口。
CISA 警告 BeyondTrust Remote Support（原 Bomgar）26.2.3 及更早版本存在严重认证绕过漏洞 CVE-2026-102764，攻击者正利用其获取初始访问并建立持久化、提升权限和横向移动，该漏洞已于 2026 年 10 月 16 日被列入 KEV 目录。
推荐理由：CISA 将 BeyondTrust 认证绕过漏洞列入 KEV，并给出补丁、排查与凭据轮换的具体处置顺序。
Mandiant 称在事件响应中发现，疑似中国背景的间谍组织 ARMORY CASTLE（原编号 UNC5221）在 2026 年 8 月下旬将 BeyondTrust Remote Support 的漏洞 CVE-2026-102764 作为零日漏洞利用，该漏洞可导致任意文件上传。
推荐理由：Mandiant 披露 ARMORY CASTLE 利用 BeyondTrust 零日漏洞的入侵证据，可了解该组织在设备内部提权与持久化的手法。
Google Threat Intelligence Group 与 Mandiant 调查了 2026 年 4 月至 7 月针对 AOMEI Technology 更新基础设施的软件供应链攻击，攻击者反复对 AOMEI 源服务器做短时配置篡改，每次篡改窗口仅持续五到十分钟便恢复为真实版本。
推荐理由：披露一种仅持续五到十分钟的供应链篡改手法，为防守方理解短窗口投毒与基础设施封堵难点提供参考。
FBI 已移除一名 Accenture 承包商，因其未实施明确下发的安全补丁，导致 ShinyHunters 入侵并窃取数千名员工个人信息。FBI 网络部门助理局长 Brett Leatherman 称事件源于第三方机构管理平台的安全失误，路透社援引消息称该平台为 Oracle PeopleSoft。
KrebsOnSecurity 报道，疑似 ShinyHunters 头目、约旦安曼青年 Saif Al-din Khader（黑客代号 Rey）已被拘留并据称配合 FBI 指认同伙，被捕时该团伙正勒索波音去年剥离的 Jeppesen ForeFlight 业务单元。
Google Threat Intelligence Group（GTIG）分析了 2025 年 1 月至 2026 年 8 月的漏洞披露与利用数据，发现月度披露量从 2026 年 1 月的 5,045 个升至 8 月的 10,740 个，在野利用从 2025 年月均 10.5 个升至 2026 年月均 18 个。
推荐理由：Google Threat Intelligence Group 基于 2025 年 1 月至 2026 年 8 月的披露与利用数据，量化了 AI 对漏洞发现与利用节奏、风险结构的影响，并给出 AI/LLM 技术栈漏洞分层统计与已确认在野利用的 CVE 案例，数据口径与方法说明较完整，便于安全团队评估优先级与防御方向。
Sophos X-Ops 在 2026 年 8 月起调查多起 MDR 案例，发现攻击者用 TerminalFix 诱饵（诱导打开 Windows Terminal 而非运行对话框的 ClickFix 变种）投递基于 Python 的隧道植入体，并将相关入侵归为自至少 3 月起活跃的 STAC4924 活动。
推荐理由：Sophos X-Ops 基于 MDR 案例披露 TerminalFix 诱饵与 Lorem Ipsum Loader 的完整感染链、DLL 侧载配对表及两阶段活动关联，并明确标注归因置信度与未观察到加密，便于安全团队对照排查。
Mandiant Consulting 与 Google Threat Intelligence Group 在 2026 年 9 月下旬发现 Citrix NetScaler ADC 和 NetScaler Gateway 设备遭零日漏洞 CVE-2026-88772 的在野利用。
推荐理由：Mandiant 与 GTIG 披露 Citrix NetScaler ADC/Gateway 两个零日漏洞的在野利用活动，含攻击链、定制 PHP Web Shell（WHIPSHOT）与 Python 隧道工具（SLAPSHOT）分析，并给出狩猎、遏制与修复指引及 IOC、YARA 规则，对使用该设备的防守方有直接排查价值。
荷兰警方本月逮捕一名24岁嫌疑人，据三名知情人士称此人为曾以“Umbreon”作案、2023年被定罪的前黑客Pepijn van der Stap，警方其后确认逮捕与ShinyHunters调查有关。
推荐理由：原文以荷兰警方逮捕一名24岁嫌疑人为线索，串联ShinyHunters对FBI招聘站点、Odido电信的数据窃取及对Cl0p的勒索，并给出CVE-2026-35273、PeopleSoft、Mandiant与GTIG报告等可核验要素，同时明确区分警方确认、媒体转述与组织自称，便于安全团队评估PeopleSoft漏洞暴露面与ShinyHunters活动态势。
Mandiant 与 Google Threat Intelligence Group 披露 UNC6240（ShinyHunters）对 Oracle PeopleSoft 的 CVE-2026-35273 发起新一轮大规模利用。
推荐理由：Mandiant 与 GTIG 以一手厂商研究披露 UNC6240（ShinyHunters）针对 Oracle PeopleSoft 的 CVE-2026-35273 新一轮大规模利用，给出 WAF 绕过手法、攻击链、后门样本、IOC 与修复建议，可核验细节充分，便于安全团队直接排查与加固。
Mandiant 针对攻击者系统性入侵软件工程生命周期（包括攻陷可信安全扫描器、工具库和 AI 开发工具，以及通过 GitHub Actions 缓存投毒、OIDC 令牌提取和可变 action 标签篡改发布带合法来源的恶意包）发布主动防御蓝图。
Google Threat Intelligence Group（GTIG）发布 2026 年第二季度 AI 威胁追踪报告，称已观察到攻击者从基础提示词转向 agentic AI 工作流与 AI 自动化，其中一起事件中攻击者在不到六小时内完成云资源入侵并策划、构建和执行大规模凭据窃取活动。
推荐理由：Google Threat Intelligence Group 以一线事件响应与平台遥测为基础，系统梳理了 2026 年第二季度攻击者从简单提示词转向 agentic AI 工作流、针对 AI 资产与开源供应链的实战趋势，包含 UNC6780、DUSTMAKER、UNC6508、UNC6240 等具体集群与手法，对安全团队评估 AI 相关风险具有参考价值。
Mandiant 首次公开其内部 Agentic Vulnerability Discovery Harness（AVDH）架构，该框架通过多智能体顺序流水线结合人工专家验证来发现源代码漏洞。
Google Threat Intelligence Group（GTIG）开始推行统一的威胁行为体命名体系，采用两词组合代号：首词标识具体行为体，次词按动机、归因或活动类型分类，如中国相关用 CASTLE、伊朗用 ION、朝鲜用 NEPTUNE、俄罗斯用 RELIC、网络犯罪用 COMET。
Mandiant 咨询团队发布 AI 辅助漏洞管理操作指南，针对 LLM 代理接入代码库与 CI/CD 流程提出安全护栏建议。该指南援引 M-Trends 2026 报告称平均利用时间已降至 -7 天，即漏洞常在补丁发布前一周即遭利用。