Unit 42 披露 BUGSTER 用 Hermes 与 DeepSeek V4 实施多类网络犯罪
Unit 42 调查发现，代号 BUGSTER 的攻击者用 Hermes Agent 框架搭配 DeepSeek V4 作为推理引擎、Cursor IDE 作为辅助工具，且均关闭安全控制，对印度多所大学等目标实施凭证窃取、VoIP 欺诈、Wi-Fi 密码破解和加密货币侦察。
#Palo Alto Networks
威胁情报Palo Alto Networks Unit 42AI 评分7575 漏洞与风险Palo Alto Networks Unit 42精选AI 评分8080 Unit 42 通报 PHP 两个严重 RCE 漏洞 CVE-2026-109618 与 CVE-2026-109619
Unit 42 通报 PHP 存在两个远程代码执行漏洞 CVE-2026-109618 和 CVE-2026-109619，CVSS 4.0 评分均为 9.2，建议按 PHP Group 安全公告立即修补。
推荐理由：材料给出两个 PHP RCE 漏洞的成因与 CVSS 9.2 评级，并附上 2260 万暴露实例的测绘数据，便于评估自身风险面。
威胁情报The Hacker NewsAI 评分6262 Qilin 与 INC 勒索软件组织利用 Palo Alto Networks 漏洞绕过 MFA
Palo Alto Networks 披露，Qilin 和 INC 勒索软件组织持续利用 PAN-OS 与 Prisma Access 中已修补的认证绕过漏洞 CVE-2026-0257（CVSS 评分 7.8）建立未授权 VPN 连接。该漏洞已于 2026 年 5 月修复。
威胁情报Palo Alto Networks Unit 42精选AI 评分7878 Unit 42 更新 PAN-OS CVE-2026-0257 遭勒索团伙利用情况
Palo Alto Networks Unit 42 更新 PAN-OS 漏洞 CVE-2026-0257 的活跃利用情况，指出 Spikey Scorpius（Qilin）和 Tarnished Scorpius（Inc）等勒索团伙正利用该 GlobalProtect 认证绕过漏洞获取初始访问并绕过 MFA 建立 VPN 会话。
推荐理由：Unit 42 披露勒索团伙利用 PAN-OS 认证绕过漏洞的完整攻击链，并给出可直接检索的 IOC 与日志排查条件。
威胁情报Palo Alto Networks Unit 42AI 评分5252 Unit 42 总结 2026 年 9 月五类主要初始访问途径
Unit 42 发布 2026 年 9 月观察到的五类主要初始访问威胁途径，其中边缘设备漏洞利用排在首位，其后是凭据滥用和钓鱼攻击。该文为摘要，未展开各类途径的具体案例与数据。
威胁情报Palo Alto Networks Unit 42AI 评分6262 Unit 42 披露针对政府 Linux 基础设施的 AI 驱动间谍活动
Palo Alto Networks Unit 42 分析了一起针对政府 Linux 基础设施的 AI 驱动间谍活动，攻击中使用定制恶意软件、Web Shell 和高级凭据窃取手段。该分析由 Roey Porat 和 Tom Fakterman 撰写，目前公开内容仅为摘要。
漏洞与风险The Hacker NewsAI 评分7171 Palo Alto Networks 修复 PAN-OS 管理接口 RCE 漏洞，已遭在野利用
Palo Alto Networks 周三发布 PAN-OS 安全更新，修复管理接口中的远程代码执行漏洞 CVE-2026-0322（CVSS 8.6），该漏洞已遭在野利用。原文称该 RCE 漏洞位于 PAN-OS 软件管理接口，可被远程利用。
漏洞与风险BleepingComputerAI 评分7272 Palo Alto Networks 警告 PAN-OS RCE 零日漏洞 CVE-2026-0322 已被利用
Palo Alto Networks 发布安全更新，修复已被在攻击中利用的高危 PAN-OS RCE 零日漏洞 CVE-2026-0322，该漏洞影响 PAN-OS 管理界面，CVSS 评分 8.6，攻击者需已有凭据并具备管理界面的网络访问权限才能以 root 身份执行代码。
威胁情报Palo Alto Networks Unit 42精选AI 评分7878 Unit 42 披露 PEERSTITCH 植入体：FortiManager 漏洞致 500 多台 FortiGate 受影响
Palo Alto Networks Unit 42 披露一起针对电信托管服务商的入侵，攻击者利用 CVE-2024-47575 攻陷 FortiManager，窃取含 500 多台 FortiGate 防火墙运行配置、凭据与拓扑的归档文件。
推荐理由：披露 FortiManager 被攻陷后波及 500 多台防火墙的完整链路，并给出内存驻留植入体的检测思路。
安全通报CISA · Cybersecurity AdvisoriesAI 评分6262 CISA 将四个已遭利用漏洞纳入 KEV 目录
CISA 基于存在活跃利用的证据，将四个漏洞加入已知被利用漏洞（KEV）目录，分别是 Palo Alto Networks PAN-OS 代码注入漏洞 CVE-2026-0322。
安全研究Palo Alto Networks Unit 42AI 评分3535 Unit 42 披露：欧洲某银行因第三方网关配置缺陷遭持续数月入侵
Palo Alto Networks Unit 42 披露，一家欧洲银行的中央 IT 系统因第三方托管的外部网关未正确配置严格认证，遭攻击者利用泄露凭据发起持续数月的 VPN 未授权访问。
教程MarkTechPostAI 评分3838 2026 年 9 大 AI 网关排名：Bifrost、Portkey、LiteLLM、Kong 等
MarkTechPost 发布 2026 年 9 大 AI 网关排名，Bifrost 以 Go 二进制、Apache 2.0 许可和 5,000 RPS 下 11 µs 开销位列自托管性能第一，Portkey 以 MIT 许可、1,600+ 模型和内置护栏居次，LiteLLM 凭 53.8K GitHub stars 和 100+ 提供商覆盖最广。
威胁情报The Hacker NewsAI 评分7575 CyberXero 借 Claude Code 发动攻击，窃取逾 62.8 万条乌克兰记录
SOCRadar 披露代号 CyberXero 的俄语初始访问经纪团伙，使用 Anthropic 的 Claude Code 与 51 个专用智能体集群，对 WordPress、电商平台和乌克兰关键基础设施发动双线攻击，已确认从四家乌克兰机构窃取逾 628,000 条记录，波兰、中国和荷兰也有确认入侵。
安全研究Palo Alto Networks Unit 42精选AI 评分7878 Unit 42 解析云供应链攻击中 Web3 C2 的三阶段演进
Palo Alto Networks Unit 42 发布报告，梳理威胁行为者将命令控制基础设施从硬编码 C2 端点升级为 Web3 智能合约，可借单笔合约交易动态更新整个僵尸网络与蠕虫网络。
推荐理由：梳理 Web3 C2 从 EtherHiding 到 NullReceiver 的三阶段演进，并给出面向 CI/CD 与开发终端的检测思路。
威胁情报Palo Alto Networks Unit 42精选AI 评分8282 Unit 42 披露 Blinder Tunnel 活动：伪装迪拜机场招聘攻击伊拉克关键基础设施
Unit 42 披露其追踪为 CL-STA-1178 的伊朗国家关联威胁活动，其中名为 Blinder Tunnel 的行动于 2026 年 3 月针对伊拉克关键基础设施，攻击者伪装成迪拜机场 IT 部门投递带木马的 Visual Studio 编程测试。
推荐理由：Unit 42 一手披露 CL-STA-1178 的 Blinder Tunnel 活动，给出完整攻击链、恶意样本哈希、C2 基础设施与归因证据，并明确标注归因置信度与未证实部分，便于安全团队排查与检测。
漏洞与风险Palo Alto Networks Unit 42精选AI 评分9595 Unit 42 披露 NetScaler 零日漏洞 CVE-2026-88771 与 CVE-2026-88772 在野利用
Unit 42 披露 Citrix NetScaler 两个零日漏洞 CVE-2026-88771（输入校验不当导致未认证 RCE）和 CVE-2026-88772（DTLS 配置内存溢出可致 RCE 或 DoS）已被在野利用，两者 CVSS v4.0 基础分均为 9.5，攻击者借此投递 web shell 建立初始访问与持久化。
推荐理由：原文由 Unit 42 基于遥测与样本分析披露 NetScaler 两个零日漏洞的在野利用链，包含 CVE 编号、CVSS 分数、受影响实例数量、IOC 与哈希，并明确区分披露前与披露后活动，便于安全团队核验与排查。
安全研究Palo Alto Networks Unit 42精选AI 评分7878 Unit 42 发布 OperTraitor 分析引擎，披露 Kubernetes operator 过度授权与 CVE-2026-6389
Palo Alto Networks Unit 42 发布开源 LLM 驱动的分析引擎 OperTraitor，用于比对 Kubernetes operator 实际授予的 RBAC 权限与其文档功能，并生成 1–10 的风险评分。
推荐理由：Palo Alto Networks Unit 42 发布开源分析引擎 OperTraitor，系统审计 Kubernetes operator 的 RBAC 权限与文档功能差异，并披露 IBM Turbonomic Prometurbo 的 CVE-2026-6389（CVSS 8.8）及 Datadog operator 的过度授权配置，附带可迁移的防御建议，对云原生安全团队具有实操参考价值。
观点Palo Alto Networks Unit 42AI 评分1212 Unit 42 专家拆解三个网络安全咨询误区：工具越多越好、中小企业不会被盯上、安全控制只为合规打勾
Palo Alto Networks Unit 42 consultants 基于客户环境案例复盘，指出三个常见误区：安全工具越多越好、中小型组织不会被攻击者盯上、安全控制与 GRC 只是“打勾”合规。
安全研究Palo Alto Networks Unit 42精选AI 评分6262 Unit 42 实测 AWS 自动隔离暴露 IAM 密钥流程并梳理隔离策略版本演进
Palo Alto Networks Unit 42 通过将 AWS 访问密钥推送到公开 GitHub 仓库的实测，记录了 AWS 在密钥暴露后约 10 秒内自动附加 AWSCompromisedKeyQuarantineV3 托管策略，随后 GitHub 与 AWS 分别发出通知并生成 Health 告警和 Support 工单。
推荐理由：原文以实测时间线还原 AWS 自动隔离暴露 IAM 密钥的完整流程，并梳理 AWSCompromisedKeyQuarantine 各版本权限演进与 GitHub 有效性校验特征，为云安全团队提供可落地的检测与响应依据。
安全研究Palo Alto Networks Unit 42精选AI 评分8080 Unit 42 披露 AWS AgentCore Harness 默认 shell 工具可读取进程内存外泄 Identity 凭据
Palo Alto Networks Unit 42 研究人员发现，AWS AgentCore Harness 默认配置下内置 shell 工具以 root 运行，可读取解析凭据的 PID 1 进程内存，通过提示注入将 AgentCore Identity 保管库中的明文 JWT 外泄并重放访问下游 MCP 服务器。
推荐理由：原文以可复现的测试环境完整演示了 AWS AgentCore Harness 默认配置下 shell 工具读取进程内存并外泄 Identity 凭据的链路，包含披露时间线和 AWS 的处置结论，便于云安全团队评估自身 AgentCore 部署风险。
观点Palo Alto Networks Unit 42AI 评分1818 Unit 42 解析现代 SOC 如何防御跨环境横向跳板攻击
Palo Alto Networks Unit 42 发文分析现代 SOC 面临的跨环境攻击跳板问题，指出攻击者常利用孤立安全工具之间的可见性缺口，在云、终端、网络、身份和 SaaS 环境间转移活动。
安全研究Palo Alto Networks Unit 42精选AI 评分6262 Unit 42 在实验环境复现 Atomic macOS (AMOS) Stealer 感染并披露样本与 C2 指标
Palo Alto Networks Unit 42 于 2026 年 8 月 5 日在实验环境中复现了一起 Atomic macOS (AMOS) Stealer 感染，感染源为声称提供“macOS toolkit”安装说明的恶意网站 getmacouscloud[.]com。
推荐理由：Palo Alto Networks Unit 42 在实验环境中复现了 Atomic macOS (AMOS) Stealer 感染链，给出了 2026 年 8 月初的样本哈希、C2 地址、持久化路径与数据收集目录，并指出相关域名、URL、IP 和文件哈希频繁变化，对 macOS 威胁分析和检测规则更新有直接参考价值。
安全研究Palo Alto Networks Unit 42精选AI 评分6262 Palo Alto Networks Unit 42 发布云身份行为聚类研究，用 UMAP 与 HDBSCAN 映射功能角色
Palo Alto Networks Unit 42 分析了 125 个云环境中超过 4 万个身份、为期两个月的 AWS CloudTrail 行为数据，用 UMAP 与 HDBSCAN 无监督聚类将云身份映射为管理员、DevOps、备份服务、安全工具等功能角色。
推荐理由：Palo Alto Networks Unit 42 发布云身份行为聚类研究，基于 125 个云环境、4 万余个身份两个月的 AWS CloudTrail 数据，用 UMAP 与 HDBSCAN 将身份映射到管理员、DevOps、备份、安全工具等功能角色，并给出可落地为 SQL 的轻量检测逻辑，对云检测与响应团队有方法参考价值。
安全研究Palo Alto Networks Unit 42精选AI 评分6262 Unit 42 披露 SPIFFE/SPIRE 工作负载身份伪造技术并发布 Spooffe 工具
Palo Alto Networks Unit 42 研究显示，攻击者获得 Kubernetes 节点 root 权限后，可通过伪造 cgroup 元数据欺骗 SPIRE agent 的工作负载认证，冒充同节点工作负载并获取其 SVID；Unit 42 表示尚未在野观察到该技术被利用。
推荐理由：Palo Alto Networks Unit 42 公开了针对 SPIFFE/SPIRE 工作负载身份认证的利用研究，给出 cgroup 选择器伪造的完整复现步骤和开源工具 Spooffe，并明确该技术尚未在野利用，对云原生身份安全威胁建模有直接参考价值。
威胁情报Palo Alto Networks Unit 42精选AI 评分8080 Unit 42 披露 CL-CRI-1171 付费安装恶意软件分发活动，涉及 YouTube 与 SEO 投毒渠道
Palo Alto Networks Unit 42 披露一个被追踪为 CL-CRI-1171 的付费安装（PPI）恶意软件分发活动，该活动通过至少 11 个 YouTube 游戏优化频道和 SEO 投毒两条渠道，使用同一款名为 OfferLoader 的 Inno Setup 加载器分发恶意载荷。
推荐理由：Palo Alto Networks Unit 42 基于两起企业感染事件追踪出 CL-CRI-1171 付费安装（PPI）恶意软件分发活动，披露 OfferLoader 加载器及 Insomnia RAT、ARKTunnel、Docro Hijacker 三个载荷的技术细节，并给出完整 IOC 与域名清单，对安全团队排查同类感染和检测规则建设有直接参考价值。
威胁情报Palo Alto Networks Unit 42精选AI 评分7575 Unit 42 披露两起针对拉美机构的 AI 辅助入侵活动
Palo Alto Networks Unit 42 披露两起持续的多阶段网络入侵与数据外泄活动，分别针对墨西哥交通机构及巴西金融行业，编号为 CL-CRI-1131 和 CL-CRI-1163。
推荐理由：Palo Alto Networks Unit 42 基于自身遥测披露两起针对拉丁美洲的持续入侵与数据外泄活动，给出活动簇编号、时间线、基础设施、证书哈希与 IOC，并说明攻击者使用商业 LLM 与 NextChat 编排操作，同时指出其暴露的暂存目录等 OpSec 失误可供防御方利用。