2026年3月第4周网络安全形势周报（1）

2026年3月第4周网络安全形势周报

写在前面

网络安全形势日益复杂多变。从国家级APT组织的持续渗透，到供应链投毒的此起彼伏；从零日漏洞的快速武器化，到AI赋能攻击的全面升级------攻防态势正在以前所未有的速度演进。作为一名网络安全从业者，保持对威胁态势的敏锐感知，是做好安全防护的第一步。

本周报旨在每周整理网络安全领域的重要动态，帮助大家快速了解最新威胁，识别风险隐患，及时采取防护措施。

从本周开始，每周五进行总结，及时与大家共享。

📊 本周数字

指标	数据
本周新增高危漏洞	12+
CVSS 9.0+ 严重漏洞	1
重大供应链攻击事件	2
勒索软件受害者	5+
数据泄露受影响人数	10万+
执法行动捣毁恶意站点	37.3万

🔥 本周Top 3 热点事件

🥇 #1 Apifox供应链投毒：开发者凭证大规模沦陷

本周最重大的安全事件，莫过于国内知名API开发工具Apifox遭遇供应链投毒攻击。

事件概述：

2026年3月4日至22日，Apifox桌面客户端的官方CDN被植入恶意代码，攻击持续长达18天，波及Windows、macOS、Linux全平台。

为什么这件事值得关注：

这不是一起普通的恶意软件事件。这是一次精准的"开发者狩猎"行动------攻击者的目标非常明确：SSH密钥、Git凭证、Kubernetes配置、npm Token。这些凭证一旦泄露，意味着：

攻击者可以登录你的服务器
可以访问你的代码仓库
可以操控你的云基础设施
可以在你的项目中植入后门

处置建议：

立即行动：如果你在3月4日至22日期间使用过Apifox桌面端，请立即轮换所有SSH密钥、Git Token、K8s证书
检查清单 ：
- 登录GitHub/GitLab，撤销所有旧凭据，生成新Token
- 检查~/.ssh/目录，确认无异常文件
- 检查服务器SSH登录日志，排查可疑IP
- 清理Shell历史记录（.bash_history、.zsh_history）

延伸思考：

开发工具链正在成为攻击者的"黄金通道"。一个Electron应用的漏洞，可能导致整个企业内网的沦陷。供应链安全，不是可选项，而是必修课。

🥈 #2 Oracle Identity Manager：CVSS 9.8的核弹级漏洞

Oracle于本周紧急发布带外安全更新，修复了一个CVSS评分高达9.8的未授权远程代码执行漏洞。

漏洞详情：

CVE编号：CVE-2026-21992
影响产品：Oracle Identity Manager、Oracle Web Services Manager
影响版本：12.2.1.4.0、14.1.2.1.0
风险等级：严重
利用难度：低（无需身份验证，可远程利用）

为什么这件事值得关注：

Oracle Identity Manager是企业身份治理的核心组件，承担着用户账号管理、权限分配、单点登录等关键职能。一旦这个系统被攻破，攻击者将获得：

企业全部用户账号信息
单点登录的认证凭据
横向移动到其他业务系统的入口

处置建议：

立即打补丁：Oracle已发布带外补丁，不要等待，立即应用
网络隔离：如果暂时无法打补丁，立即限制对该系统的互联网访问
日志审计：检查是否有异常的身份验证行为

🥉 #3 Windows RDS权限提升漏洞：你的VPN可能是个入口

工信部NVDB于3月19日发布预警，Windows远程桌面服务存在权限提升漏洞，攻击者可以从普通用户权限提升到系统最高权限。

漏洞详情：

CVE编号：CVE-2026-21533
披露来源：工业和信息化部 NVDB
影响系统：Windows 10/11、Windows Server 2012-2025
利用条件：需要普通用户权限或已建立远程桌面会话

为什么这件事值得关注：

远程桌面（RDP）是企业最常用的远程办公方式之一。很多企业的VPN、堡垒机、远程桌面网关都依赖于RDP。这个漏洞的可怕之处在于：攻击者只需要一个普通账号，就能拿到系统最高权限。

处置建议：

安装微软3月安全更新
限制RDP端口（3389）的互联网暴露
开启网络级别身份验证（NLA）
对RDP连接实施多因素认证

⚠️ 高危漏洞预警

漏洞速览表

漏洞编号	产品	危害	CVSS	行动
CVE-2026-21992	Oracle Identity Manager	未授权RCE	9.8	🔴立即打补丁
CVE-2026-21533	Windows RDS	权限提升	高危	🔴本周打补丁
CVE-2026-28500	ONNX	供应链攻击	8.6	🟠升级至1.20.2+
RegPwn	Windows注册表	权限提升	高危	🟠安装KB5079473
CVE-2025-55695	Windows WLAN	信息泄露	中危	🟡关注

重点漏洞深度分析

ONNX机器学习框架供应链漏洞（CVE-2026-28500）

漏洞原理：

ONNX是一个开放的机器学习互操作标准，被广泛应用于AI模型的跨框架迁移。在1.20.1及之前版本中，onnx.hub.load()函数存在安全绕过------当设置silent=True参数时，所有非官方仓库警告都会被抑制。

攻击场景演示：

复制代码

# 正常情况下会报警告
model = onnx.hub.load('attacker-controlled-repo', 'malicious-model')

# 设置silent=True后，警告全无
model = onnx.hub.load('attacker-controlled-repo', 'malicious-model', silent=True)

影响评估：

所有使用ONNX进行模型加载的AI应用
使用第三方模型仓库的机器学习项目
CI/CD管道中自动拉取模型的自动化流程

修复建议：

升级ONNX至1.20.2或更高版本
避免使用silent=True参数
对模型文件实施哈希校验
优先使用官方验证的模型仓库

⛓️ 供应链攻击专题：开发者的噩梦

本周，我们见证了两起重大的供应链攻击事件。供应链安全，已经成为企业安全的最薄弱环节。

事件对比

事件	Apifox	Trivy v0.69.4
攻击类型	CDN投毒	GitHub Actions篡改
攻击时间	3月4日-22日（18天）	3月发现
恶意代码位置	JS文件	entrypoint.sh
窃取目标	开发者凭证	CI/CD凭证
影响范围	全平台开发者	DevSecOps用户

Trivy供应链攻击技术分析

Trivy是容器安全领域的明星工具，被广泛应用于CI/CD管道的安全扫描。本周，攻击者组织TeamPCP成功攻陷了Trivy的GitHub构建流程：

攻击链：

攻陷GitHub Actions构建环境
替换entrypoint.sh为恶意版本
通过官方凭据发布带后门的v0.69.4版本
外部工作流自动执行恶意代码

恶意行为：

扫描~/.git-credentials等凭证文件
收集系统信息
创建GitHub公开仓库上传窃取数据

排查清单：

检查是否使用了Trivy v0.69.4
检查GitHub账户是否有异常仓库创建
轮换CI/CD环境中的所有凭据

🦠 勒索软件与数据泄露追踪

本周勒索软件受害者

受害者	攻击组织	行业	事件概述
美国南线公司	Qilin	制造业	供应链中断
史赛克医疗	未知（擦除型）	医疗设备	全球IT中断
加州福斯特城	未知	政府	宣布紧急状态
阿斯利康	LAPSUS$	制药	3GB数据泄露

特别关注：史赛克的"擦除型攻击"

不同于传统勒索软件以勒索赎金为目的，史赛克遭遇的攻击被判定为"擦除型攻击"（Wiper Attack）。这类攻击的特点：

不求财，只搞破坏
攻击后立即销毁数据，不留恢复余地
通常带有政治或竞争目的

这提醒我们：备份不只是为了防勒索，更是为了防破坏。

LAPSUS$再次出手：阿斯利康3GB数据泄露

著名数据勒索组织LAPSUS$本周声称窃取了制药巨头阿斯利康约3GB内部数据，包括：

员工个人信息
药品研发源代码
系统凭据
内部通信记录

数据正在黑客论坛出售。这类制药公司的数据泄露，可能涉及：

药品配方机密
临床试验数据
患者信息（如果包含）

🕵️ APT威胁动态

本周APT活动概览

APT组织	归属国家	活动时间	主要目标	攻击手法
APT28 (Fancy Bear)	俄罗斯	本周持续	关键基础设施	零日漏洞组合利用
MOIS	伊朗	本周披露	全球目标	Telegram C2控制
未知组织	未知	本周活跃	医疗机构	勒索软件

伊朗MOIS的Telegram间谍网络

FBI本周披露，伊朗情报安全部（MOIS）创建了大量Telegram频道和机器人，用于C2控制和数据外泄。

技术特点：

利用Telegram官方API作为通信渠道
难以被企业防火墙检测
可绕过内容过滤系统

防御建议：

监控Telegram的异常使用
企业网络中限制非必要Telegram访问
对Telegram流量实施深度检测

AI赋能攻击的新趋势

Zscaler报告显示，生成式AI正在全面提升网络攻击能力：

AI赋能的攻击能力：

漏洞武器化加速：从发现到利用的时间窗口从数周缩短到数天
钓鱼邮件智能化：批量生成个性化高仿真钓鱼内容
恶意代码多态化：自动生成规避传统检测的变种
社工攻击升级：Deepfake音频/视频诈骗开始活跃

我们的应对：

拥抱AI防御能力
建立基于行为的检测机制
加强员工AI驱动社工攻击的识别培训

🛡️ 执法行动与行业响应

本周重大执法行动

美德加联合：捣毁四大IoT僵尸网络

美国、德国、加拿大联合行动，成功捣毁Aisuru、KimWolf、JackSkid、Mossad四大物联网僵尸网络：

感染设备：300万+
历史DDoS攻击：数十万次
行动范围：全球

"爱丽丝行动"：摧毁37.3万诈骗站点

国际执法合作摧毁了37.3万个虚假诈骗站点，涉及：

网络钓鱼
虚假投资
假冒电商

Tycoon 2FA钓鱼平台覆灭

全球最活跃的钓鱼即服务平台Tycoon 2FA被击溃，该平台曾占据全球62%的钓鱼攻击量。

🔧 修复优先级清单

P0 - 立即执行（24小时内）

任务	适用范围	状态
轮换Apifox相关凭证	使用过Apifox桌面端的开发者	⬜ 未完成
卸载/隔离Trivy v0.69.4	DevSecOps团队	⬜ 未完成
安装Oracle Identity Manager补丁	OIM用户	⬜ 未完成
检查OpenClaw实例安全性	企业IT团队	⬜ 未完成

P1 - 本周完成

任务	适用范围
安装Windows 3月补丁（KB5079473/KB5078885）	所有Windows系统
升级ONNX至1.20.2+	ML开发团队
更新Apple设备至最新版本	Apple用户
更新Chrome至123+	Chrome用户
限制RDP端口互联网暴露	系统管理员

P2 - 两周内完成

任务	适用范围
应用Ivanti Connect Secure补丁	Ivanti VPN用户
更新Fortinet FortiClient	Fortinet用户
更新QNAP NAS固件	QNAP用户
应用Quest KACE安全更新	KACE用户

🔮 下周预警

根据威胁情报分析，预计下周需要关注：

Apifox事件后续：可能出现更多基于泄露凭证的攻击
Oracle补丁利用：CVE-2026-21992的POC可能在未来一周内公开
AI攻击工具：更多AI驱动的攻击工具可能被公开或出售
微软补丁星期二：下周二（4月8日）微软将发布4月安全更新

📚 参考资源

来源	链接
工信部NVDB	https://cstis.cn
奇安信威胁情报	https://ti.qianxin.com/
微步情报局	https://www.threatbook.com
绿盟NTI	https://nti.nsfocus.com
CVE数据库	https://cve.mitre.org
ZONE.CI 全球网	https://zone.ci

💬 写在最后

本周的安全形势再次提醒我们：安全没有银弹，只有持续的关注和行动。

供应链攻击的高发、AI攻击的升级、零日漏洞的快速武器化------这些趋势不会逆转，只会加速。作为安全从业者，我们需要：

保持警觉：持续关注最新威胁情报
快速响应：漏洞披露后第一时间评估和修复
纵深防御：不依赖单一安全措施
持续学习：跟进最新的攻击手法和防御技术

下周，我们继续关注。

欢迎关注、转发。如有问题或建议，欢迎留言交流。

往期回顾：

（暂无，以后的周报将持续更新）

相关阅读：