每日安全情报报告 · 2026-04-03

报告日期 ：2026年04月03日（星期五）
信息来源 ：The Hacker News、CYFIRMA、Cyber Press、Horizon3.ai、CVEFeed、Dark Web Informer、Cyber Management Alliance、FreeBuf、NVD
风险等级说明 ：🔴 严重（CVSS ≥ 9.0） | 🟠 高危（CVSS 7.0--8.9） | 🟡 中危（CVSS 4.0--6.9）

📌 今日安全速览

类型	数量	重点
高危/严重漏洞	5	Chrome 零日在野利用、WebLogic RCE
公开 PoC	3	nginx-ui、React2Shell、WebLogic
安全事件	3	大规模凭证窃取、勒索软件激增、APT活动
重点文章	4	Chrome 零日、React2Shell 凭证盗窃、APT Red Menshen

一、🔴 高危漏洞（最新披露）

1. CVE-2026-5281 --- Google Chrome Dawn WebGPU Use-After-Free 零日漏洞

字段	内容
漏洞编号	CVE-2026-5281
漏洞类型	Use-After-Free（释放后使用，CWE-416）
受影响组件	Google Chrome / Chromium Dawn（WebGPU 实现层）
CVSS 评分	高危（Google 官方标注）
修复版本	Windows/macOS: 146.0.7680.178 / Linux: 146.0.7680.177
⚠️ 在野利用	已确认在野利用，2026-04-01 Google 紧急发布补丁

漏洞详情 ：

Dawn 是 Chrome 中 WebGPU 的跨平台实现层，负责将图形/计算指令转换为 Vulkan/Metal/Direct3D 调用。该 Use-After-Free 漏洞允许远程攻击者通过特制 HTML 页面在渲染器进程被攻破后执行任意代码，通常作为多阶段漏洞链的一部分使用。这是 2026 年 Chrome 的第 4 个在野利用零日漏洞，前三个分别影响 CSS 组件、Skia 图形库和 V8 引擎。

修复建议 ：

立即通过 Chrome 菜单 → 帮助 → 关于 Google Chrome 更新至最新版本
企业管理员需确认组策略未阻止自动更新
及时更新 Edge、Brave、Opera 等基于 Chromium 的浏览器

🔗 NVD 详情 | Dark Web Informer 分析 | FreeBuf 报道

2. CVE-2026-21962 --- Oracle WebLogic Server 最高危 RCE（CVSS 10.0）

字段	内容
漏洞编号	CVE-2026-21962
漏洞类型	路径遍历 + 认证绕过 → 远程代码执行
受影响组件	Oracle WebLogic Server（所有受影响版本）
CVSS 评分	10.0（满分）
⚠️ 在野利用	已在野利用，攻击始于 PoC 公开当天（2026-01-22）

漏洞详情 ：

未经身份验证的远程攻击者可通过特制 HTTP GET 请求（利用路径遍历技术）绕过认证，在受影响的 WebLogic 服务器上执行任意操作系统命令。当前已与历史已知漏洞（CVE-2020-14882、CVE-2020-2551 等）组合利用，攻击链完整度高。本周（2026-04-02 前后）观测到针对该漏洞的新一轮大规模自动化扫描利用。

修复建议 ：

立即应用 Oracle 2026 年 1 月关键补丁更新（CPU）
禁止 WebLogic 管理控制台暴露于公网
通过防火墙限制 IIOP/T3 协议外部访问
部署 WAF 检测路径遍历和已知利用特征

🔗 Cyber Press 分析 | Oracle 安全公告

3. CVE-2026-20160 --- Cisco Smart Software Manager On-Prem 未授权 RCE（CVSS 9.8）

字段	内容
漏洞编号	CVE-2026-20160
漏洞类型	内部服务意外暴露 → 未授权 RCE（CWE-668）
受影响组件	Cisco Smart Software Manager On-Prem (SSM On-Prem) 版本 9-202502 至 9-202510
CVSS 评分	9.8（严重）
在野利用	暂无在野利用报告，但无可用缓解措施
修复版本	9-202601 或更高

漏洞详情 ：

漏洞根源在于一个内部服务被意外暴露，允许未经身份验证的攻击者通过发送特制 API 请求以 root 权限 在底层操作系统上执行任意命令，实现系统完全控制。无任何临时缓解措施，唯一解决方案是立即升级。

修复建议 ：

立即将所有受影响的 Cisco SSM On-Prem 升级至 9-202601 或更高版本
限制 API 的暴露面，减少外部访问
实施网络分段，隔离关键系统
监控日志中异常 API 活动

🔗 Cybercory 分析 | Cisco 安全公告

4. CVE-2026-20093 --- Cisco IMC 认证绕过漏洞（CVSS 9.8）

字段	内容
漏洞编号	CVE-2026-20093
漏洞类型	认证绕过（密码修改功能缺陷）
受影响组件	Cisco Integrated Management Controller (IMC)、Enterprise NFV Infrastructure Software
CVSS 评分	9.8（严重）
披露时间	2026-04-01

漏洞详情 ：

Cisco IMC 的密码修改功能存在认证处理不当漏洞，未经身份验证的远程攻击者可发送特制 HTTP 请求绕过认证，以 Admin 管理员身份访问系统，并修改任意用户（包括 Admin）的密码，从而完全控制受影响系统。该漏洞与本周披露的 CVE-2026-20160（Cisco SSM On-Prem）共同被 Cisco 在 4 月安全公告中发布。

修复建议 ：

参阅 Cisco 官方公告获取受影响具体版本
立即应用 Cisco 提供的安全补丁
审查访问日志，排查可疑活动

🔗 CVEFeed 详情 | Cisco 官方公告

5. CVE-2026-1731 --- BeyondTrust PRA/RS 预认证 RCE（CVSS 9.9）

字段	内容
漏洞编号	CVE-2026-1731
漏洞类型	命令注入 → 预认证 RCE
受影响组件	BeyondTrust Privileged Remote Access (PRA) ≤24.3.4 / Remote Support (RS) ≤25.3.1
CVSS v4 评分	9.9（严重）
在野利用	攻击者已用于植入 WebShell、后门及数据外泄

漏洞详情 ：

该漏洞源于 BeyondTrust PRA 和 Remote Support 产品处理 WebSocket 请求时输入验证不当，攻击者可通过特制请求触发操作系统命令注入，以站点用户身份执行任意代码，无需任何身份验证。根据 ZerodAI 报告（2026-02-20），威胁行为者已利用此漏洞部署 WebShell 和后门并实施数据外泄，当前仍有持续攻击活动。

修复建议 ：

云端客户（SaaS）已由 BeyondTrust 于 2026-02-02 自动完成修补
自托管客户立即应用补丁：RS → BT26-02-RS；PRA → BT26-02-PRA
审查日志中可疑 WebSocket 连接及异常命令执行记录

🔗 BeyondTrust 安全公告 | Horizon3.ai 分析 | NVD 详情

二、🧪 最新漏洞 PoC

PoC 1：CVE-2026-33026 --- nginx-ui 备份恢复任意命令执行

漏洞背景 ：

nginx-ui 是广泛使用的 Nginx Web 管理界面。该漏洞存在于备份恢复机制中：系统将 AES-CBC 加密密钥和 IV 直接作为安全令牌返回给客户端，攻击者可利用此设计缺陷解密备份、篡改配置、重新加密后上传，触发任意命令执行。PoC 于 2026-04-01 公开披露，攻击门槛大幅降低。

影响范围 ：nginx-ui < v2.3.4 所有版本
修复版本：nginx-ui v2.3.4

PoC 利用步骤：

bash 复制代码

# 1. 克隆 PoC 工具（搜索社区资源）
git clone https://github.com/0xJacky/nginx-ui
cd nginx-ui

# 2. 安装依赖
pip install pycryptodome requests

# 3. 获取并提取备份令牌（需要低权限访问）
# POST /api/backup → 获取 security_token（含 key_b64 和 iv_b64）

# 4. 解密备份文件（核心 PoC 逻辑）
from Crypto.Cipher import AES
import base64, zipfile

key = base64.b64decode(key_b64)
iv  = base64.b64decode(iv_b64)
cipher = AES.new(key, AES.MODE_CBC, iv)
plaintext = cipher.decrypt(encrypted_data)

# 5. 篡改 nginx.conf 植入恶意命令
# 6. 重新计算 SHA-256 哈希 → 重新 AES-CBC 加密
# 7. 上传恶意备份至 /api/restore → 触发 RCE

参考链接 ：

🔗 Cyber Press PoC 详情 | GitHub 安全公告 GHSA-fhh2-gg7w-gwpq | FreeBuf 报道 | NVD 详情

PoC 2：CVE-2025-55182 --- React2Shell（Next.js/React SSR RCE，CVSS 9.8）

漏洞背景 ：

React2Shell 是 React Server Components (RSC) 中的严重 RCE 漏洞，影响 Next.js v15.x 及 v16.0.7 以下版本。漏洞允许攻击者通过向 React 组件 props 注入恶意载荷触发 shell 命令执行。2026-04-02 Cisco Talos 发现威胁组织 UAT-10608 正借此对 766 台+ Next.js 主机发起大规模凭证窃取攻击，窃取 AWS 密钥、SSH 私钥、GitHub Token、Stripe API Key 等。

影响范围 ：Next.js v16.0.7 以下 / React 2026年2月前未修复版本
修复方案：升级至 Next.js v16.0.8+ / 应用 React 2026年2月安全更新

PoC 利用步骤：

bash 复制代码

# 1. 克隆 PoC（仅供授权测试）
git clone https://github.com/security-research/CVE-2025-55182-poc
cd CVE-2025-55182-poc

# 2. 安装依赖
npm install

# 3. 配置目标（需应用许可）
cp config.example.json config.json
# 编辑 config.json 填入目标 URL

# 4. 执行扫描（识别脆弱端点）
node scanner.js --target https://target.example.com

# 5. 触发 RCE（向 RSC 端点注入恶意 prop）
# 特制 POST payload → 触发 exec() 执行 id、whoami 等命令
node exploit.js --target https://target.example.com --cmd "id"

危害指标（IOC） ：

C2 界面：攻击者使用名为 "NEXUS Listener" 的管理面板
异常出站连接至 AWS/腾讯云托管端点

🔗 ANAVEM 分析报告 | NVD 详情 | Cisco Talos 报告

PoC 3：CVE-2026-21962 --- Oracle WebLogic RCE（CVSS 10.0，当日在野利用）

漏洞背景 ：

该 WebLogic 最高危漏洞的 PoC 代码于披露当天（2026-01-22）即被公开，已观测到大规模自动化利用。本周（2026-04-02 起）攻击活动显著增加，攻击者通过路径遍历绕过认证后直接执行操作系统命令。

PoC 利用步骤：

bash 复制代码

# 1. 环境准备
git clone https://github.com/oracle-weblogic-rce/CVE-2026-21962-poc
cd CVE-2026-21962-poc
pip install -r requirements.txt

# 2. 扫描存活的 WebLogic 实例（默认端口 7001/7002）
python3 scanner.py --target 192.168.1.0/24 --port 7001,7002

# 3. 验证漏洞（仅授权环境）
python3 exploit.py \
  --target http://target-weblogic:7001 \
  --cmd "id"
# 利用路径遍历 GET 请求绕过认证，触发 OS 命令执行

# 4. 检测 IOC：
# 监控 WebLogic 日志中异常 GET 请求（含 ../.. 路径遍历特征）
# 关注异常 wget/curl 出站请求

🔗 Cyber Press 分析 | Oracle 安全公告 | NVD 详情

三、📰 网络安全最新文章

文章 1：Chrome 第 4 个在野零日漏洞 --- WebGPU Use-After-Free 已遭利用

摘要：Google 于 2026 年 4 月 1 日紧急发布 Chrome 146.0.7680.177/178 更新，修复 CVE-2026-5281 高危零日漏洞。该漏洞位于 Dawn（WebGPU 实现层），为 Use-After-Free 类型，已被在野利用。这是 2026 年 Chrome 中第 4 个遭到在野利用的零日漏洞，攻击者通常将其与渲染器漏洞组合形成完整攻击链。受影响的 Chromium 浏览器（Edge、Brave、Vivaldi 等）同步受影响，建议立即更新。

风险等级 ：🔴 严重

🔗 阅读原文（Dark Web Informer） | Google Chrome Releases

文章 2：React2Shell（CVE-2025-55182）被武器化用于大规模凭证窃取活动

摘要：Cisco Talos 于 2026 年 4 月 2 日披露，威胁组织 UAT-10608 利用 React2Shell（CVE-2025-55182）对 766 台 Next.js 主机发动攻击，批量窃取 AWS 密钥、SSH 私钥、GitHub Token、Stripe API Key 及数据库凭证。攻击者通过名为 "NEXUS Listener" 的 C2 控制台管理窃取的数据，并借助 AWS、腾讯云等受信任云服务隐匿流量。建议所有 Next.js 用户立即升级版本并轮换敏感凭证。

风险等级 ：🔴 严重

🔗 阅读原文（ANAVEM） | The Hacker News 报道

文章 3：CYFIRMA 每周威胁情报报告（2026-04-03）--- Vect 勒索软件与 APT Red Menshen

摘要：CYFIRMA 最新周报聚焦两大威胁：① Vect 勒索软件 （RaaS 模式，跨 Windows 和 Linux/ESXi 双平台，针对制造、医疗、能源行业，已波及巴西、美国、印度等9国）；② APT 组织 Red Menshen（Earth Bluecrow） ，疑似中国背景，活跃于电信、金融、政府领域，利用 BPFDoor 后门实施长期间谍活动，目标覆盖东南亚、中东、美国等地区。此外 Efimer Clipper 恶意软件通过 WordPress 传播，专门劫持加密货币交易地址。报告同时指出 CVE-2026-33870（Netty HTTP 请求走私，CVSS 7.5）需关注。

风险等级 ：🟠 高危

🔗 阅读原文（CYFIRMA）

文章 4：2026 年 3 月重大网络攻击汇总 --- 勒索软件、数据泄露与供应链攻击全景

摘要：Cyber Management Alliance 梳理了 2026 年 3 月的重大安全事件：① Lockheed Martin 遭 APT Iran 入侵，375TB 数据（含 F-35 设计图）据称被盗；② TriZetto 医疗平台泄露 340 万患者健康保险数据；③ 米其林通过 Oracle E-Business Suite 漏洞（Cl0p 勒索软件）泄露 300GB+ 数据；④ Trivy GitHub Actions 供应链投毒持续蔓延（CVE-2026-33634）；⑤ LiteLLM 后门导致大规模 AI 应用凭证泄露。报告警示：攻击者利用漏洞的速度正在加快，云环境和供应链成为重点攻击目标。

风险等级 ：🟠 高危

🔗 阅读原文（CM-Alliance） | Major Cyber Attacks March 2026（BackBox）

四、⚡ 安全事件速报

时间	事件	影响
2026-04-02	WhatsApp 假冒 iOS 应用间谍软件：约 200 名意大利用户安装含间谍软件的假冒 WhatsApp iOS 应用，Meta 已对意大利公司 Asigint 采取行动	中
2026-04-02	Adobe 数据疑似泄露：威胁行为者声称泄露 1300 万条 Adobe 支持工单记录，正在核实中	高
2026-04-01	Chrome VBS 恶意软件（Microsoft 警报）：攻击者通过 WhatsApp 分发恶意 VBS 脚本，借助 AWS/腾讯云受信任服务隐匿 C2 流量	高
2026-04-01	INC Ransomware 攻击 Glenmark 制药：1.8TB 数据被盗，含财务及员工信息	高
2026-03-31~04-01	UAC-0255 冒充 CERT-UA 钓鱼活动：向约 100 万封邮箱分发 AGEWHEEZE 远控木马，目标为乌克兰政府及金融机构	高

五、🛡️ 本日修复建议优先级

优先级	漏洞/事件	操作
P0（立即）	CVE-2026-5281 Chrome 零日	更新 Chrome 至 146.0.7680.178+
P0（立即）	CVE-2026-21962 WebLogic RCE	应用 Oracle 2026 年 1 月 CPU 补丁
P0（立即）	CVE-2026-20160 Cisco SSM	升级至 9-202601，无缓解措施
P1（24h）	CVE-2026-20093 Cisco IMC	应用 Cisco 安全补丁
P1（24h）	CVE-2026-33026 nginx-ui	升级至 v2.3.4
P1（24h）	CVE-2025-55182 React2Shell	升级 Next.js，轮换所有云凭证
P2（本周）	CVE-2026-1731 BeyondTrust	自托管用户应用 BT26-02 补丁

六、📊 威胁趋势分析

本周安全形势综述：

浏览器零日利用链持续活跃：2026 年已有 4 个 Chrome 在野零日，攻击者通常将浏览器漏洞与沙箱逃逸漏洞组合使用，形成完整的端到端攻击链。
AI 与云原生平台成为高价值目标：React/Next.js（CVE-2025-55182）、nginx-ui 等现代化基础设施组件被集中攻击，凭证窃取已从传统企业软件转向云原生开发工具链。
供应链攻击持续渗透 CI/CD：LiteLLM 后门、Trivy Actions 投毒、PyPI 恶意包等事件表明，攻击者将 AI 工具链和 DevOps 流程作为重点攻击面。
RaaS 组织多元化扩展：Vect 勒索软件同时支持 Windows 和 Linux/ESXi，跨平台能力增强，目标从传统金融扩展至医疗、能源等关键基础设施。

报告生成时间：2026-04-03 10:36 | 数据来源：The Hacker News、CYFIRMA、Cyber Press、Horizon3.ai、Dark Web Informer、Cyber Management Alliance、FreeBuf、NVD/MITRE