2026年10月第5周网络安全形势周报

周期： 2026年10月24日 --- 10月30日

一、本周摘要

本周的主线是**"补丁跑不过利用"**。PHP2Shell 的两个核心漏洞在补丁发布后 5 天进入 CISA 已知被利用漏洞目录，配套的 Linux 内核提权漏洞 Fragnesia 只给了联邦机构 3 天修复窗口；Google Brotli 的 Node2Shell（CVSS 4.0 9.2）从修复到确认在野利用只隔了 6 天。GitLab 和 Cisco ASA/FTD 同在 10 月 29 日入 KEV，截止日期都是 11 月 1 日。

第二条线是AI 双向加速。Anthropic 前沿红队公开了用内部模型自动构造 Chrome、Safari、Android、Windows、Linux 五条完整攻击链的结果，Google 一家为此分配并修复了 62 个 Chrome CVE（13 个沙箱逃逸）；同时 METR 与 Redwood 的红队评估证明，用来监控 AI 智能体行为的"监控层"本身可以被注入绕过。攻防两侧的工具化程度都在快速拉平。

第三条线是单点依赖的系统性风险。Amadeus 旅客服务系统被未授权访问超过三年才被发现，波及日航、全日空、大韩、韩亚四家航司；摩尔多瓦政府系统遭多波次攻击，约 75 万人（接近全国三分之一人口）数据可能外泄，82 项政务服务被迫下线。

国内方面，CNCERT 与启明星辰联合发布"银狐"新团伙"镜昙（G02）"分析报告------镜像文件投毒 + 按预设时间自动失活，7 月至 10 月累计控制 5834 台设备；《公安机关网络空间安全监督检查办法》已于 10 月 1 日施行，远程渗透性测试须提前三个工作日告知，这条对各单位的安全运维流程有直接影响。

二、头条事件

2.1 PHP2Shell 余波：三个漏洞、四家机构、一个 3 天窗口

项目	内容
CVE 编号	CVE-2026-109618（CVSS 9.8）、CVE-2026-109619（8.1）、CVE-2026-115560（暂无评分）
国内编号	CNVD-2026-41674 / CNVD-2026-41675，安全公告号 CNTA-2026-0007
漏洞类型	PHP 解释器内核内存管理缺陷，未认证远程代码执行
修复版本	PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35
KEV 收录	2026-10-26（对应 109618/109619）

关键进展：

10 月 21 日 PHP 官方提前一天发布补丁，原因是 CVE 编号在正式公告前已在线上泄露，不修就等于敞开等扫描器。
10 月 22 日一天之内，CNVD、CNCERT、CNNVD 和工信部网络安全威胁和漏洞信息共享平台四家从各自口径同时发通告。这种密度以往只在影响解释器内核级别的问题上出现过。
10 月 26 日 CISA 将两个主漏洞纳入 KEV，说明已有确证的野外利用。
10 月 28 日 配套的内核提权漏洞 Fragnesia（CVE-2026-46300）同样入 KEV，联邦机构截止 10 月 31 日------只有三天。CISA 明确指出它可以与 109618/109619 链式使用，完成"Web 应用立足点 → root → 植入 PHP webshell"的完整路径。

影响面被低估的地方： 受影响的不是某个产品，而是 PHP 解释器内核本身。WordPress、Drupal、Joomla、Laravel、Symfony、MediaWiki、Roundcube、phpMyAdmin、Nextcloud、Magento、WHMCS、OpenCart 全部在同一条船上。国内政企内网里，Nextcloud、phpMyAdmin、Roundcube、MediaWiki 这几类自建系统装机率高、装完就没人再动过版本，虽然不直接暴露公网，但只要内网有一台能出网的机器被钓鱼，横向过来就是现成的 RCE 跳板。

三个容易踩的坑：

只查 109618 会漏。 开源检测生态几乎只给 109618 写了 Nuclei 模板，109619 的模板是空的。两者同批补丁、同一利用链，按"有模板的才扫"来排工作，109619 会整整齐齐地漏过去。
"已打补丁"不等于已生效。 这类内存破坏漏洞的补丁必须重启全部工作进程才生效。PHP-FPM 的 worker 是常驻的，systemctl reload 未必换得掉。
CLI 和 Web 是两个版本。 php -v 看到的是命令行版本，网站跑的是 php-fpm -v，两者经常不一致，必须分开查。

缓解措施（排不到升级窗口时，三条一起做）：

复制代码

PHP-FPM: memory_limit=-1         # 移除可预测的单次请求内存上限，掐断 OOM 入口
session.upload_progress.enabled=0
PHP 8.5 追加: fatal_error_backtraces=0
改完必须重启全部 worker

根因在异常处理：PHP 内核处理内存耗尽（OOM）时，清理阶段把未完全初始化的内部请求数据当成有效数据使用，堆内存被破坏。攻击者发一个构造过的 multipart/form-data 请求即可，无需任何权限。把 memory_limit 设得又小又固定，等于替攻击者把靶场搭好了。

第三个漏洞 CVE-2026-115560 目前 CVSS、EPSS 全空，官方明确说需要"极不可能的配置与应用代码组合"------应用得先把 session.serialize_handler 设为 php_binary 或 php_serialize，然后在 session_start() 之前用 ini_set() 改回 php，同时上传进度功能必须开着。三件事同时成立才打得中，现实里少见，但它就在那儿，下一常规版本才修。

2.2 Node2Shell：一个压缩库把攻击面铺到整个运行时生态

项目	内容
CVE	CVE-2026-111497
别名	Node2Shell / HTTP2Shell / Broccoli2Shell
评分	CVSS 4.0 = 9.2（Critical）
类型	Google Brotli 解码器越界写（NVD 记为未检查返回值）
影响版本	Brotli 1.0.3 至 1.0.9、1.1.0、1.2.0
修复版本	1.0.10 / 1.1.1 / 1.2.1
KEV 收录	2026-10-27，联邦截止 2026-11-10

漏洞在 Brotli 解压环节：攻击者投递一个精心构造的 Brotli 压缩流，解码器的相邻状态内存被破坏，可以泄露敏感内存、打挂服务，也可能执行任意代码。全程无需认证、无需用户交互。

为什么值得单独列头条： 一个压缩库被打穿，补丁清单会拉出一整条生态链。Node.js 22.x/24.x/26.x 受直接影响；微软紧急推送 .NET 安全更新（攻击者可借此提权）；Bun、Envoy、Istio 已修复；Palo Alto Networks 的 PAN-OS 还在陆续出 hotfix；两个 Python 包发行了修复版。Envoy 和 PAN-OS 这类组件待在网络边缘，脆弱解码器直接对着不可信流量，崩溃就是所有下游服务一起断。

修复只用了 6 天就被确认在野利用（10/21 修，10/27 入 KEV）。安全公司蜜罐记录到探测尝试；Imperva 已针对官方 Node.js 镜像演示了可落地的远程代码执行。CISA 公告没有披露攻击者身份和具体命中的产品。

同一批 KEV 还收了 Adobe Commerce / Magento 的 CVE-2026-48356（危险类型文件上传）。

处置： 升级 Brotli 到 1.0.10 / 1.1.1 / 1.2.1；Node.js 走 10 月安全版本；.NET 装 KB5133964/5133965/5133966 等对应更新；容器镜像必须重建，不是重启就完事。暂时打不上的，在代理或防火墙层阻断 Brotli 压缩请求，或直接关闭 Brotli 解码。

2.3 AI 自动构造五条攻击链：Chrome 一家修了 62 个 CVE

Anthropic 前沿红队（Frontier Red Team）10 月 27 日公开了工作成果：用内部未发布的模型，针对 Chrome、Safari、Android、Windows、Linux 自动发现并串联真实漏洞，产出可用的完整攻击链。

目标	成果	状态
Chrome（macOS）	四漏洞一次性点击链：V8 堆破坏 + FedCM UAF，跑出浏览器沙箱	Google 分配并修复 62 个 Chrome CVE，全部 Critical/High，其中 13 个沙箱逃逸，Chrome 156 已修
Safari	一次性点击链，绕过同源策略	Apple 已修复
Android	Pixel 9 锁屏绕过，可从锁定手机取走照片	Google 已修复
Windows	内核 HTTP/3 代码远程拒绝服务，CVE-2026-33096	微软已修复
Linux	mptcp 协议栈零点击远程 root，CVE-2026-98432	上游修复并回移稳定分支

这件事的意义不在"AI 很厉害"，在于时间窗口被压缩了。 过去从公开补丁到可用 exploit 通常以周计算，现在攻击者读公告的速度和防守方打补丁的速度在同一条时间线上。补丁打完不重启的机器，跑的仍是旧代码。

本周 Chrome 还有一次常规更新： 10 月 27 日发布 156.0.8078.73/.74（Linux 为 .73），修复 52 个缺陷，其中 4 个 Critical------CVE-2026-118306（FileSystem 内存破坏）、CVE-2026-118331（FileAPI 输入校验）、CVE-2026-118348（Skia 输入校验）、CVE-2026-118344（Layout UAF）。加上 10 月 20 日 Chrome 156 稳定版的 353 个修复，本月浏览器侧的累计量已经很大。Chromium 系的 Edge、Brave 会跟进，一并排期。

建议把"浏览器重启"从"用户自己记得"改成"每周固定窗口强制重启"。这是成本最低、成功率最高的一条。

三、漏洞预警（按 CVSS 排序）

3.1 本周新增在野利用（CISA KEV）

CVE	产品	评分	KEV 日期	联邦截止	要点
CVE-2026-97229	GitLab CE/EE	10.0	10-29	11-01	CI/CD 配置中的正则触发 Onigmo 整数溢出，未认证用户可在自建服务器执行代码。影响 19.2.0<19.2.8、19.3.0<19.3.5、19.4.0<19.4.2
CVE-2026-111497	Google Brotli	9.2(v4)	10-27	11-10	见 2.2
CVE-2026-109618	PHP	9.8	10-26	---	见 2.1
CVE-2026-48356	Adobe Commerce / Magento	---	10-27	---	危险类型文件上传
CVE-2026-109619	PHP	8.1	10-26	---	见 2.1
CVE-2026-76418	Cisco Secure Firewall ASA / FTD	8.6	10-29	11-01	SSL VPN 服务逻辑错误，未认证远程请求即可让设备重载。约 11 周内同一服务的第二个被利用重载漏洞（前一个 CVE-2026-20349）
CVE-2026-46300	Linux 内核（Fragnesia）	---	10-28	10-31	ESP-in-TCP 代码缺陷，本地普通用户可改写只读文件的页缓存副本。覆盖 su 后下一个人执行就是 root，无需竞速，利用可靠。5 月起已有公开利用代码
CVE-2026-41709	Broadcom VMware ESX	---	10-28	11-11	日志记录不足，已有管理员权限者可执行某些操作而不留日志。勒索团伙盯 ESX 多年------一台 hypervisor 能同时拿下几十台服务器，日志缺口正好让他们在被发现前干活

3.2 本周新增高危漏洞（未确认在野利用，但需排期）

CVE	产品	评分	说明
CVE-2026-65145	NVIDIA NeMo Agent Toolkit	10.0	缺失认证。同一批还修了 NeMo、TensorRT-LLM、PhysX 共 6 个缺陷。AI 工具链的未认证接口正在变成常规漏洞类别
CVE-2026-101767	Oracle E-Business Suite	9.8	Application Object Library / Thin Client Framework servlet SQL 注入，未认证、无需交互、HTTP(S) 可达。影响 12.2.3--12.2.15。10 月 CPU 已修，10 月 27 日蜜罐已记录到探测请求（Defused）。注入以 APPS 账户执行，可进一步升级为操作系统命令，直达财务、薪酬、采购数据
CVE-2026-114625	Arista VeloCloud Orchestrator（本地部署）	9.9	Web 管理门户 SQL 注入，任意已认证用户（含只读角色）可提权为 operator。厂商确认在野利用并公布 IOC IP。四个月内第三个被利用的 VCO 零日；修复版 5.2.3.18 / 6.1.3.10 / 6.4.2.12。云托管实例不受影响
CVE-2026-115547	Okta Access Gateway	9.1	管理控制台命令执行。同批修 4 个，分属 3 份公告
CVE-2026-110447	Collabora Online Built-in CODE Server	---	未认证命令注入，只在服务停止时触发；禁用应用不能修复。攻击者植入 webshell 并搜索密码管理器和钱包文件。richdocumentscode 需升到 26.4.303 以上
CVE-2026-104935	Ivanti Connect Secure	8.6(v3.1)	认证绕过（伪装），远程未认证任意命令执行。CISA 确认被用于凭证窃取与数据外泄
CVE-2026-102764	BeyondTrust Remote Support	9.3(v4)	内部消息组件来源校验不当，远程未认证；自助部署 26.2.3 及更早受影响，补丁 BT26-05-RS
CVE-2026-86950	Apple CoreGraphics	---	已被利用的零日。Apple 10 月 27 日向 iOS/iPadOS 18.7.11 回移补丁，距 CISA 入 KEV 约一个月------老系统用户的暴露窗口相当长
CVE-2026-115560 / 115884	GoAhead / EPICS Base	---	GoAhead 三项问题（6.1.1 修两项），用于数亿台设备，实际受影响取决于厂商 TLS 后端与配置；EPICS Base 4 项漏洞由自主分析系统 Cipher 在 4 小时内发现，EPICS 广泛用于粒子加速器、聚变实验等科研设施控制系统

3.3 本周安全更新提醒

Chrome 156.0.8078.73/.74（10/27，52 个修复，4 Critical）
GitLab 19.4.3 / 19.3.6 / 19.2.9 ------注意：只升到 19.4.2 不够，CVE-2026-110264 是在更后面的补丁版本修的，两个漏洞要一起覆盖
Microsoft .NET 紧急更新（Brotli 相关，攻击者可提权）
PAN-OS 多个分支 hotfix（Brotli 相关，10.2/11.1/12.2 均有对应版本）
Node.js 10 月安全版本（22.x/24.x/26.x）

四、供应链攻击

4.1 十月整体画像：15 起事件，三种模式

一份对 10 月供应链事件的梳理归纳出三条主线，值得作为年度复盘素材：

模式一：真包投毒（最隐蔽）

软件	恶意版本	时间	手法
LiteLLM（PyPI/Docker）	1.107.0	10/21	窃取的 GitHub token 驱动真实发布流水线，指向仿冒 fork。Python 启动钩子窃取凭证并植入每小时 RPC 加载器，Python 一启动就运行，不 import 也中。安全版本 1.106.2
OVHcloud CLI（GitHub 二进制）	0.11.0--0.15.0	10/19	开发者账号被劫持，直接替换已发布版本的附件。根因是 GitHub 的 release 不可变性开关没打开
@subql/common（npm）	5.8.3	10/5	篡改发布工作流，以 Trusted Publisher 走 GitHub Actions OIDC 发出被换过的 tarball
tensorlake（npm）	0.5.144	10/8	preinstall 钩子用 Bun 启动载荷，即使从不 import SDK 也会执行。目标是 npm/GitHub token、云密钥、SSH 密钥、.env、AI 编码工具配置
Rank Math PRO（WordPress）	3.0.123	10/15--16	厂商下载包带后门，访问站点即自我重建。免费版不受影响。干净版本 3.0.124

LiteLLM 的时间线最能说明问题：凭证 5 月 27 日就随一个配置文件提交到公开仓库，10 月 10 日被利用，10 月 21 日完成投毒。中间隔了近五个月，任何一次轮换都能让它失效。 同一周发布审批规则还被放宽到"任意两名工程师即可触发并批准发布"。

模式二：存密钥的平台自己被打穿------Zeabur 在 10 月 14--15 日泄露 3,218,965 条环境变量记录（该平台将于 12 月 31 日关停），Railway、OpenCode 同期出现类似问题。把密钥托管在第三方，等于把风险也托管了。

模式三：被所有人信任的证书与运行时------eMudhra 中间证书熵不足（上周已报），影响面持续扩散到 VPN、构建机、嵌入式设备。

4.2 本周包生态动态（10 月 24--27 日）

GitHub Advisory 在 10/24--10/27 之间发布了约 130 条恶意包通告，主要是三类：

挖矿家族第二波 ：@walknpm/todo-cli、dsh-plugin-blender-3d 与 10/22 的 @sudobility/testomniac_client 载荷逐字节一致（同一个 miner.sh、同一个 Monero 矿池 networkservicesupp.flashhub.net:8443），两个包发布时间相隔 27 秒。
蠕虫概念验证 ：publish-poc-base / publish-poc-test3 把 npm registry token 嵌进 tarball，用凭证复用逻辑自我传播，并发布伪造的 publish-poc-found-* 系列包。
品牌仿冒 + 隐写 ：claudeopuseni / claudeopusfile 等三个 Anthropic 品牌 typosquat，安装时用隐写术从捆绑图片里取出隐藏代码，解码后的 Python 加载原生扩展实施窃密，C2 地址从 Polygon 区块链交易里取 ------这条链路没有传统域名 IOC。另有 netweavex（NetworkX 仿冒，import 时从 GitHub 拉取并执行代码）、aanthropic、以及一批 agentic-awesome-skills、x402-prompt-injection-scan、formatting-subtitles-for-claude 这类以 AI 智能体工具命名的恶意 npm 包。

另一条国内相关的数据： 独立研究者扫描 725 万个 Gitee 公开仓库，发现 26,400 条仍然有效的云和 AI 服务凭证，其中阿里云 AccessKey 对 9,473 条居首。研究者把凭证清单发给了厂商，但没有联系泄露凭证的开发者本人，发布时也未确认这些凭证已被吊销。任何往公开仓库 push 过密钥的人，都不能假设它已经失效。

五、勒索软件与数据泄露

5.1 摩尔多瓦政府系统：82 项服务下线，四分之一人口数据可能外泄

攻击持续 10 月 19 日至 23 日，分多个波次。为阻断未授权访问，82 项政府服务和约 30 个信息系统被临时断开，记录到约 1,100 万次未授权访问尝试。可能外泄的数据包括姓名、个人识别码、家庭成员信息、医保、家庭医生、驾照、养老金和税务欠款等财务义务，涉及约 75 万人------摩尔多瓦全国人口约 250 万。

官方承认攻击者利用了本国数字基础设施中的大量漏洞，目前仅十余项服务恢复。总理称这可能是一场涉及外国政府机构的更大规模行动的一部分，攻击者身份尚未确定。这起事件的价值在于提醒：政府服务的集中化和互连程度越高，一次入侵的横向半径就越大。

5.2 Amadeus 旅客服务系统：三年驻留，四家航司，9.2 万人

项目	内容
入侵窗口	2023 年 8 月 10 日 --- 2026 年 9 月 23 日（超过三年）
通知时间	2026 年 10 月 23 日通知日航
受影响	日航及日本越洋航空约 9.2 万人；其中约 2,000 人额外泄露邮箱、电话、护照号、国籍、常旅客号、机票与座位信息
其他航司	全日空（10/29 披露，人数与范围仍在核查）、大韩航空（确认预订编号泄露）、韩亚航空（确认预订信息泄露，支付数据未受影响）
未泄露	信用卡号、密码；各航司均称未发现攻击者直接进入自有数据库

Amadeus 服务 400 多家航司、210 个机场运营方、34 家邮轮渡轮公司和 200 万家酒店。这是一起典型的平台级单点故障：下游企业做得再好，上游被打穿就全部失效。更值得注意的是驻留时间------三年多没被发现，说明要么遥测不足，要么告警阈值配置有问题，要么攻击者的行为长期落在正常基线之内。

PNR 数据的敏感性被普遍低估：姓名 + 联系方式 + 同行人 + 支付元数据 + 有时含政府证件号，构成一份完整的身份画像；护照号是不可轮换的长期标识；出行规律本身还会暴露高管、公职人员、军警人员的行程。

5.3 医疗行业连续受冲击

新墨西哥大学健康科学中心（UNM HSC） ：10 月 26 日上午发现异常，12:30--14:30 救护车被迫改道至阿尔伯克基和圣菲的其他医院------UNM 医院是新墨西哥州唯一的一级创伤中心 。门诊手术与预约当日全部暂停，医学院、护理学院、药学院、人口健康学院课程停课两日。次日核心电子系统恢复上线，院方评估为"影响部分终端设备，未穿透核心系统与服务器"。
- 团伙 BYOD 在泄露站点认领，声称攻陷 36,000 台设备、拿到 Oracle HR 与薪酬库、学生记录、内部邮件、电子病历名册和全体师生 SSN。随后发布"致歉"声明：为医院部门剩余被加密设备免费提供解密密钥，并愿向受影响患者每人支付最高 2,500 美元。院方声明"未向任何组织作出让步"，并提醒公众警惕以补偿为名的二次诈骗。
- 这条要记进培训素材：勒索团伙开始用"人道主义"话术做声誉管理，本质仍是施压手段。任何"先付款/先提供证明再补偿"的话术都应视为社工。
University Hospitals（俄亥俄州克利夫兰）：事发一周后网站与 MyChart 患者门户仍大面积不可用，部分地点出现网络连接问题、保险预授权受阻。医生改为电话提醒患者就诊。
iRhythm：HHS 备案显示受影响人数 820 万（6 月事件，可穿戴心电监测 Zio 厂商）。

5.4 其他值得记录的事件

事件	规模	要点
索尼网络通信（Sony Network Communications）	2,585,481 条 So-net/plala 记录 + 54,401 个邮箱账号	10 月 19 日入侵，含 Docomo Hikari 用户
美国国土安全部人员数据	超 4 万份	涉及 CBP 与 ICE 特工，含姓名、职务、电话、邮箱、工作地点、任务分配，覆盖正式雇员与外包人员。由 DDoSecrets 发布，官方未确认完整性与入侵路径。Okta 称无证据显示自身系统被入侵
智利 Huatacondo 光伏电站	103 MW 光伏 + 98 MW/312 MWh 储能	8 月 27 日遭网络攻击后连续两个月 0% 可用，10 月 27 日调度日报仍列为强制断开。OT 攻击的物理后果不在停机那一刻，在恢复周期
Aurora → Meleghy Automotive & Cie.（德国汽配）	---	泄露含 Tesla Model Y 与 Opal 工装、CAD/DFM 树、PLC/SPS/机器人备份、TISAX/IATF 审计与纠正措施记录、员工护照与签证档案。PLC 备份和产线布局泄露等于把工控环境图纸交出去
Aurora → EWM Group（英国时尚零售）	503,878 会员 + 约 21,000 员工	员工数据含薪资、国民保险号（P11D）、银行 sort code 与账号（WAGESTRANSFER 库）、孕产假与病假记录、含伤情的事故报告；100+ GB Outlook PST；313 个 SQL Server 备份（122 个库）；83 GB 电商交易数据（2021-01 至 2026-08）
Whitearmor → Echo Global Logistics	索要 1,000 万美元	声称持有 206 万条索赔记录、153,727 票货运、261,440 条报价（7.05 亿美元采购额）、3,890 条员工身份映射、9,122 家承运商
Wallstreet → Fortrex	---	北美食品加工卫生解决方案提供商，10 月 28 日上架

六、APT 与定向攻击动态

6.1 Swallowtail（APT28 / Fancy Bear / Forest Blizzard）：低噪音长周期渗透北约防务链

研究人员披露该组织对两个北约成员国的政府部门、国防承包商和外交实体发动定向攻击，受害者包括一家执法机构、一家海军造船企业和一家军用航空发动机制造商。行动定位是长期战略侦察与敏感情报搜集，不是即时变现。

手法上刻意压低噪音：鱼叉邮件投递贴合北约会议、防务合作、外交议题的伪装文档作为诱饵；轻量化后门；伪装 C2 通信；低频内网活动。研究人员通过样本哈希、C2 通信指纹、域名注册信息、流量特征和历史同源线索，把零散痕迹串成"初始接入 → 内网探查 → 权限爬升 → 长期潜伏"的完整链路。

截至报告发布，部分关联 C2 基础设施仍在线，攻击者可随时重启通信或横向扩展。按美方定性，该组织隶属俄军总参谋部情报总局（GRU），长期聚焦欧洲与北美的军事、国防及政府目标。

6.2 伊朗背景行为体：伪装成勒索软件做间谍

分析人员发现一起假旗行动：伊朗国家背景的操作者刻意采用"Chaos"勒索团伙的身份，实际目的不是加密勒索，而是情报搜集。

关键手法：

协作平台社工：通过 Microsoft Teams 直接发起定向社工窃取凭证，绕过传统邮件网关防线。
重点是绕 MFA，不是加密：不部署加密器，集中攻破有效身份并维持持久访问。
文件签名伪装：恶意二进制以"Donald Gay"这个假作者名签名，规避特征检测。
战术逻辑：让应急响应团队把注意力放在隔离、解密、数据恢复上，为隐蔽外泄争取驻留时间。

防御启示： 收到勒索通知但没有实际文件加密、系统锁定和真实赎金沟通的，应当立即按隐蔽间谍入侵处置，而不是按勒索事件走流程。同时收紧 Teams 外部租户通信权限，MFA 升级到 FIDO2/Passkey 这类抗钓鱼形态。

6.3 其他定向活动

Volt Typhoon 相关分析 持续更新：利用快速轮换的"Silent Train"中继网络（被入侵的 IoT、SOHO 路由器和企业管理设备），重叠中继链可在数分钟内重建，单次操作平均四小时、按设备类别分工，会话结束即清理痕迹。主要入口之一是 Cisco Catalyst SD-WAN 控制器 CVE-2026-20127（CVSS 10.0），落地 KeyDrift 恶意软件窃取 SD-WAN 控制器上的加密密钥与凭证。同一批零日还覆盖 Versa Director 和 N-able N-central 等管理平台。共同点是都打管理层，不打业务层。
攻击者开始用 AI 编码代理做批量化侦察与脚本生成，单个操作者能在数天内完成上万台设备的指纹识别。这类能力本身与国别无关，防守侧要假设"扫描密度会继续上升"。

七、执法与监管

7.1 FBI "Omegaline" 行动：查封防弹主机 Virtualine

10 月 27 日，美国弗吉尼亚东区联邦检察官办公室宣布法院授权查封 virtualine[.]net。该服务同时以 Secury、Massgod、Spamhouse、Lanedo、Omegatech 等名义运营，在 Exploit.in、HackForums 等犯罪论坛公开招揽客户。

检方引用的两句广告词很能说明性质：2024 年 9 月在 Exploit.in 称"除儿童内容和恐怖活动外，所有非法/黑帽活动都可以用 Virtualine"；2025 年 6 月在 HackForums 称"Virtualine 忽略的滥用投诉比你过去三个心理医生加起来还多"。2026 年 3 月起还推出"额外保护计划"------收到执法请求就把客户基础设施迁到无关的空壳公司再重新启用。收款走标注 BTC [NO-AML] 的未托管地址。

协同与后续：

FBI 华盛顿外勤办公室主导，德国黑森州警、荷兰 Midden-Nederland 警局、英国 NCA 参与，OverRIPE、Lumen 提供技术支持，Chainalysis 提供链上情报。
10 月 28 日荷兰警方在 Limburg 一处数据中心查扣数十台物理服务器、下线数百台虚拟服务器，掌握 3,000 多名客户的数据并表示将对相关用户采取后续行动。
未宣布任何逮捕或起诉 。查封域名只是让新客户找不到店，已租出的基础设施仍可继续服务钓鱼页和 C2。运营方在备用域名发布公开信否认指控，并称"我可以改个名字、建个新站、继续干，也许一天，也许更短"。Silent Push 观察到 Omegatech（AS202412）的网段路由可见度极低但尚未完全离线。

给防守侧的动作： 屏蔽品牌名而不只是域名（Virtualine 及全部别名）；把已知高置信恶意 ASN/IP 段纳入边界日志与告警；定期刷新 ASN-to-IP 映射，做好 CDN 白名单，避免误封；保留每条封禁的理由审计记录。

7.2 其他执法动作

FBI "Operation Blackout"（尼日利亚）：9 人被捕，查扣 53 台电子设备，在多个国家识别出 1,100 万美元可冻结资金。尼日利亚执法机构与伦敦合作方配合。
医院勒索案判决 ：布鲁克林联邦法院 10 月 27 日判处乌克兰籍 Artem Stryzhak 70 个月监禁，罪名是共谋欺诈与敲诈，受害者含多家医院。同伙 Volodymyr Tymoshchuk 在逃，美国国务院悬赏 1,100 万美元征集线索。团伙未被瓦解，基础设施、附属成员和手法仍在。

7.3 国内监管动态（与本单位直接相关）

《公安机关网络空间安全监督检查办法》2026 年 10 月 1 日起施行（2026 年 7 月 1 日公安部部务会议审议通过）。几个条款需要落到流程上：

条款	内容	对单位的实际影响
线上巡查	公安机关可通过网络信息巡查、信息审核能力测试、漏洞扫描等方式开展线上巡查，不影响正常业务运行	日常巡查是常态化的，不以"没收到通知"为不存在
信息审核能力测试	须提前三个工作日告知被检查对象巡查时间、范围	收到告知后要能马上组织配合，不能临时抓瞎
远程检测	设区的市级以上公安机关可对关键信息基础设施以外的网络设施、信息系统做漏洞探测、渗透性测试；须提前三个工作日告知时间、范围，不得干扰破坏正常运行，并通报同级网信部门、行业主管部门	渗透测试的合规边界明确了，"未经授权的渗透"与"依法开展的检测"分得清
基础电信网络	对其开展漏洞探测、渗透性测试，依照《关键信息基础设施安全保护条例》执行	走 CII 那套更严格的程序
现场检查	日常性现场检查，有行业主管部门的，原则上以行业主管部门为主	融媒体中心的现场检查主体大概率仍是广电主管部门

国家网络安全通报中心 10 月 26 日通报 84 款 App 违规收集个人信息，依据中央网信办、工信部、公安部联合发布的《关于开展 2026 年个人信息保护系列专项行动的公告》，检测时间为 2026 年 9 月 4 日至 10 月 15 日。问题分布：

问题类型	数量
隐私政策未逐一列明收集使用目的、方式、范围（含第三方代码/插件）	45
首次运行未明显提示阅读隐私政策、默认勾选同意、隐私政策难以访问、未完整告知处理者信息与保存期限	16
未采取有效安全技术措施防止数据泄露	12
向其他处理者提供个人信息前未征得用户同意	11
无隐私政策	6
未提供有效账号注销功能	5
未提供撤回同意途径	3
未制定未成年人个人信息处理规则	3
未建立便捷的个人行使权利受理机制	1
收集个人信息前未征得用户同意	1

名单里有一批公共服务类主体：白城中心医院（微信服务号）、浦东国际机场、海口美兰机场、北京地铁、北京公交、多家三甲医院小程序、国信证券、贵阳银行、51 信用卡管家、东方甄选等。上期通报的 82 款经复测仍有 24 款存在问题，相关分发平台已予以下架。

这条对融媒体中心有直接参照意义：自建 App、微信服务号/小程序、以及嵌入的第三方 SDK 和插件，都在检查范围内。"隐私政策没写清第三方 SDK 收什么"是这次占比最高的一类问题（45 款），也是最容易补的一类。

CNVD 周报（10 月 19 日--25 日）： 收录 623 个漏洞，高危 334、中危 260、低危 29，平均分值 6.75；0day 漏洞 488 个，占 78%。按影响对象分：WEB 应用 440、网络设备 84、应用程序 59、安全产品 15、智能设备 12、操作系统 6、数据库 4、工业控制系统 3。事件型漏洞 39,648 个，环比下降 17%。本周出现零日代码攻击的包括 Tenda AC19 缓冲区溢出、Leave Management System SQL 注入（CNVD-2026-41298）。

八、AI 安全专题

8.1 监控层本身可以被攻击

10 月 22 日，METR 与 Redwood Research 公布了对某 AI 厂商内部智能体监控系统的独立红队评估，发现的问题很具体：

未受监控的 compaction 事件------智能体总结和压缩对话历史的那一刻，内容脱离了监控视野；
可以欺骗监控器本身------通过注入指令影响监控判断；
工具覆盖缺口------部分智能体工具落在监督范围之外；
序列化差异------数据序列化方式的不同造成可利用的缝隙。

同一天，Anthropic Fellows 计划发布了针对恶意编码智能体的阻断分类器研究，同样发现监控注入、跨多上下文攻击和覆盖缺口是真实可用的绕过路径。

结论不客气但必要：在你攻击过监控层之前，监控不能算作一个已被验证的控制措施。 这直接影响所有正在上 AI 智能体的单位------"我们加了一层监控"不等于"我们有控制"。

8.2 提示注入的首个在野案例：一个 markdown 文件

10 月，研究者在真实环境中捕获到一起针对 AI 编码智能体的间接提示注入攻击。攻击者通过网页投递，把一个名为 AGENTS.md 的恶意 markdown 文件静默写入受害者的 ~/Downloads 目录，伪装成工程笔记。用户在该目录启动编码智能体时，智能体把文件当作可信的项目指令解析，按其中指示重写自己的配置文件、尝试安装恶意 npm 包、并具备窃取登录 token 的条件。实验室复现成功率超过 90%。

没有补丁，也不会有补丁 ------智能体读取 AGENTS.md 是设计行为本身。任何"从可写入目录读取指令文件"的智能体都具备这个特性。

可落地的收紧措施：

不要在 Downloads、Desktop、临时目录启动编码智能体，固定使用受控的工作目录；
把 AGENTS.md、CLAUDE.md、.cursor/rules 等指令文件纳入版本管理与代码评审，不认来源不明的；
智能体的文件写权限和网络出口默认最小化，敏感凭证不放本机明文；
终端检测规则补一条：非常规目录出现指令文件 + 智能体进程读取 + 紧接着的 npm/包管理安装行为。

8.3 相关研究补充

MUZZLE（东北大学 Khoury 学院 + Mozilla）：自动化红队框架，三阶段（侦察 → 攻击合成 → 反思）自动搜索能绕过特定网页智能体的注入载荷，攻击者权限等同于普通网页用户。目标是让漏洞发现可以并行化。
注入位置效应（Trust Region Effect） ：arXiv 2610.38867 的研究把注入内容固定，只改注入位置。结果显示智能体对环境不同区域的隐式信任度差异显著------同一句不安全指令放在仓库文档（README、TODO）里被遵循的概率，平均是放在代码或数据文件里的 2.6 倍。这意味着防御不能只过滤内容，还得管住"哪里来的"。
MCP 协议级缺陷：有论文对 MCP 规范做了形式化安全分析，指出三项架构层面的问题------服务器可声明任意权限而无能力证明、双向采样缺少来源认证导致服务端提示注入、多服务器配置下的隐式信任传递。测量显示 MCP 的架构选择使攻击成功率比等效非 MCP 集成高出 23--41%。
智能体在研发流程中的双面性 ：安全研究系统 Cipher 在不到 4 小时的自主分析中发现 EPICS Base（粒子加速器、聚变实验等科研设施控制系统）的 4 个漏洞；Chrome 本次修复的缺陷中也有 AI 辅助研究发现的身影。发现侧在提速，利用侧也在提速，中间的时间差就是防守方的全部窗口。

九、国内威胁动态："银狐"新团伙"镜昙（G02）"

10 月 23 日，CNCERT 与启明星辰联合发布《关于"银狐"木马"镜昙（G02）"团伙攻击态势深入分析报告》。这是本周国内最值得逐条读的一份材料。

9.1 规模数据

指标	数值
活动起始	2026 年 7 月下旬（最早可追溯至 7 月 22 日），9 月集中爆发
监测区间	2026-07-17 至 2026-10-20
累计被控设备	5,834 台
单日上线被控端峰值	252 台（8 月 20 日）
C2 日访问峰值	727,802 次
目标行业	金融财务、银行、税务
目标人群	简体与繁体中文用户

9.2 相比历史分支的四项技术迭代

维度	历史分支	镜昙（G02）
载荷载体	MSI 安装包、NSIS/Inno Setup 封装的 EXE	IMG / ISO / VHD 镜像文件
配置混淆	简单逆序后硬编码	逆序 → 加密（RC4）→ 逆序三重混淆
配置存储	硬编码在样本内	配置与 shellcode 合并后整体加密，独立存放于专属文件，由独立模块解密执行
生命周期	无限制	内置失活时间，到期弹窗退出进程

镜像载体为什么有效： 相当一部分终端检测策略只按 PE 头查文件，IMG/ISO/VHD 直接落在这个视野之外。解压 ZIP 得到镜像文件，挂载或直接执行，静态检测基本失效。

失活时间的取证含义： 本次样本编译于 2026 年 9 月 3 日，配置里写着 9 月 6 日失效。过期后弹框退出。取证窗口天然只有几天，按季度做样本普查的做法在这里完全失效。

9.3 攻击链

传播入口：SEO 污染 + 仿冒软件下载站。仿冒站点统一使用"星河科技软件下载中心"标题，话术是"安全、稳定、快速的软件分发中心"。搜索"星河科技软件下载中心"时，排名靠前的结果大多是仿冒站。
基础设施 ：自有 C2/中转域名池 28 个（19 个 .club + 9 个 .cc），命名呈"字母+数字"或纯字母规律（acms555、taku788、moik77a、qzqy688 等），疑批量注册。钓鱼侧单 IP（64.81.30.137）承载 16 个域名，C2 侧走非标端口直连 IP。
诱饵文件 ：财税主题命名------tax-documentsXX、Reconcile an account.zip、Statement of Outstanding Account.zip、Bank Statement.zip、Purchase Order、company-XX。
落地执行（白加黑） ：镜像内是合法程序 AMD.0903002123.exe + 恶意 DLL xwEB_eLF.dLl。DLL 先解密配置、校验系统时间是否超过失效时间，未过期则在 %public%\NVTELEMETRY\【32 个随机数字】.【3 个随机字母】\ 目录下落地，把合法程序复制为 NvTelemetryBridge64.exe（伪装 NVIDIA 遥测组件），再以管理员权限启动并侧载恶意 DLL。
远控：向 C2（如 acms555.club）发起 TCP 连接，下载"登录模块"，具备文件管理、键盘记录、插件动态加载、重启关机等完整远控能力。
持久化与对抗 ：插件数据存注册表 HKCU\Console\0（32 位）/ HKCU\Console\1（64 位），减少磁盘取证痕迹；核心 DLL 经 VMProtect 加壳。
通信协议特征 ：4 字节总长度 + 10 字节原始密钥（与 0x36 相加后作为真正异或密钥）+ 有效载荷。写过 IDS 规则的可以直接拿去对流量。
载荷分发：阿里云 OSS 6 个 bucket（东京/雅加达/香港）+ 腾讯云 COS 6 个 bucket（新加坡/香港/雅加达）+ AWS S3，三家云厂商分池托管。

样本 SHA-256：1886e9fb95c4b1a62ae192e688f583f9d4c444f02082a7768041603517f52f52

9.4 防御清单（可直接落地）

必做（本周内）

软件下载一律走官方渠道或单位正版软件平台；提醒全体员工对搜索结果中标注"广告""推广"的下载链接保持警惕。
邮件网关、上网行为管理阻断 tax-documents、Bank Statement、Purchase Order、Statement of Outstanding Account 等财税主题的可执行压缩包。
出口按报告公布的恶意域名与 IP 封堵（C2 域名包括 acms555[.]club、acuf444[.]club、aeyh688[.]club 等；控制端 IP 段以 156.251.11.58、192.252.187.52、202.61.160.183:446、156.234.7.46:443 为代表），同时全网终端按哈希做一次全盘扫描。

检测规则补三类（不要只查 PE 头）

IMG/ISO/VHD 的挂载与执行行为；
%public%\NVTELEMETRY\ 路径写入，且子目录名为"32 位数字.3 位字母"格式；
合法系统组件从 %public% 目录启动并侧载 DLL 的行为。

人员侧

财务、银行、税务、采购岗位的钓鱼演练换成"假冒对账单 / 采购订单"剧本，文件名就用上面那批关键词。演练不是走流程，是让他们在真收到时多停两秒。

9.5 一条必须改的习惯

Silver Fox 系列分支的迭代节奏说明一件事：投递手法在持续换代，而单位侧的检测规则往往按年更新。 从 MSI/EXE 到镜像文件，绕开的正是"只查可执行文件"这类最省事也最常见的策略。规则要跟得上家族迭代，不是跟上一次事件。

十、修复优先级

P0 --- 24 小时内（已在野利用 + 边界暴露）

事项	具体动作
PHP 全量排查	CLI 与 Web 分别查（`php -v` / `php-fpm -v`），目标 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35。注意不要照"8.2.51"这个版本号比对------那是误传，官方没有这个版本
PHP 无法立即升级的	三条缓解一起上：`memory_limit=-1`、`session.upload_progress.enabled=0`、8.5 加 `fatal_error_backtraces=0`；改完重启全部 worker
Linux 内核	打 Fragnesia（CVE-2026-46300）补丁，重点是有 Web 应用对外提供服务的服务器。暂不能打的，关闭内核 ESP 模块（会破坏该机 IPsec）
GitLab	升到 19.4.3 / 19.3.6 / 19.2.9（只到 19.4.2 不够）。持有网络与 OT 软件构建流水线凭证的实例优先
Brotli / Node2Shell	Node.js 22/24/26 打 10 月安全版；.NET 装紧急更新；Envoy / Istio 升级；容器镜像重建。边缘设备优先
Cisco ASA/FTD	检查 `webvpn` 与 `secondary-authentication-server-group`（含默认 DefaultWEBVPNGroup），升级到 9.18.4.96 / 9.20.4.50 / 9.22.3.200（ASA）或 7.2.13 / 7.4.9 / 7.6.7（FTD）。查 10 月初以来的异常重载日志
浏览器	Chrome 156.0.8078.73/.74；Chromium 系同步；强制重启，不是"提示用户更新"

P1 --- 一周内

Oracle E-Business Suite ：确认 10 月 CPU 是否已打；未打的用 EBS URL Firewall 阻断 Thin Client Framework servlet 路径。检测重点：未认证 POST 请求调用 GanttDataServer 后续接数据库查询。
Arista VeloCloud Orchestrator ：升 5.2.3.18 / 6.1.3.10 / 6.4.2.12；Web 管理界面限制到可信管理网段；对照厂商公布的两个 IOC IP 查日志。注意九月那个修复版本不覆盖这次。
Collabora richdocumentscode ：版本低于 26.4.303 的，升级或卸载，禁用无效。然后到应用目录里找不是自己放进去的 PHP 文件------观察到的攻击会植入 webshell 并搜索密码管理器和钱包。Nextcloud 29 及更早版本无法通过打补丁解决，只能升级或移除应用。
Ivanti Connect Secure ：升 25.1.1.2 / 25.1.3.0 / 25.1.3.1 / 22.8R2.5；CISA 确认被用于凭证窃取，升完要轮换凭证并检查历史入侵。
BeyondTrust Remote Support：自助部署打 BT26-05-RS；SaaS 客户已被先行修补。
NVIDIA NeMo Agent Toolkit：CVE-2026-65145（CVSS 10.0 缺失认证）------所有对外提供模型服务或智能体编排的接口，逐个确认是否需要认证才能访问。
VMware ESX：升 ESXi 8.0 Update 3j 及 9.0/9.1 对应版本。CVE-2026-41709 本身不构成入侵，但它是"入侵后不被发现"的放大器。顺便检查 ESX 主机上是否存在非预期本地账户。

P2 --- 本月内

Apple 老系统用户（iOS/iPadOS 18.x）装 18.7.11，CVE-2026-86950 是被利用的零日，回移补丁晚了一个月。
Okta Access Gateway 升到修复版本（CVE-2026-115547，CVSS 9.1）。
GoAhead 设备（含大量 IoT/嵌入式）核对固件版本与证书验证配置，6.1.1 只修了其中两项，其余需厂商更新。
Amadeus/GDS 类第三方票务与差旅系统的数据共享范围重新审视；与供应商的合同中补上"审计日志实时可见"条款。
全量清查公开代码仓库中提交过的密钥（Gitee 26,400 条有效凭证这条要当成对所有开发者的提醒），建立提交前扫描 + 定期轮换。

十一、趋势判断与建议

1. "修完到被打"的间隔已经进入 3--7 天区间。

PHP2Shell 修完 5 天入 KEV，Node2Shell 修完 6 天入 KEV，Fragnesia 入 KEV 后只给 3 天。年初还能按"周末出的洞，周一再修"排期，现在这个节奏过期了。建议把高危漏洞的处置 SLA 明确写成"识别后 72 小时内完成或落地缓解"，并在变更流程里给安全类紧急变更开一条快速通道------不然 SLA 写多少都是纸面数字。

2. 攻击面的重心继续向管理平面迁移。

Volt Typhoon 打 SD-WAN 控制器和 N-able N-central，Arista 被打的是编排器，Ivanti/BeyondTrust 是接入网关，NVIDIA NeMo 是模型编排工具，Oracle EBS 是 ERP 的应用对象库。共同特征：一台设备握着后面几十台的口令。这类资产的加固优先级应该高于业务系统------不是因为它更值钱，是因为它一倒全倒。

3. AI 双向加速，防守侧最容易忽略的是"监控层可被攻击"。

发现侧：4 小时出 4 个 EPICS 漏洞、AI 辅助挖出 Chrome 的一批缺陷。利用侧：自动生成攻击链、自动批量侦察。防守侧的新问题不是"AI 会不会被滥用"，而是**"我加的监控是不是真的在工作"**。METR 的评估给了明确清单：compaction 事件、工具覆盖缺口、序列化差异、监控注入------这四项应当作为任何智能体上线前的必查项。

4. 对县级融媒体中心而言，本周最该做的三件事：

把 PHP 和浏览器这两件"低成本高收益"的事做完。 中心的自建站点、CMS、Nextcloud 类协作系统很可能有 PHP 依赖，而浏览器重启只需要一次强制策略。这两件事投入极小，覆盖的风险面极大。
按《公安机关网络空间安全监督检查办法》调整内部流程。 三个工作日告知期意味着"随时可能被检查"，日志留存、资产台账、渗透测试授权文件、应急联系人这几样必须是现成的、能立刻拿出来的。日志留存不达标的，先补日志。
把"镜昙"这份报告变成一次全员提醒。 中心有财务、有采购、有稿件处理，工作习惯和报告里的目标人群重合度很高。一次针对性的提醒 + 一条终端检测规则，比开十次会管用。

5. 供应链侧的判断标准需要更新。

10 月这 15 起事件里，多数不是"代码有漏洞"，而是"凭证没轮换"。LiteLLM 的凭证在公开仓库躺了近五个月。所以对第三方的评估，除了问"你有没有安全认证"，更该问"你的发布凭证多久轮换一次、发布审批需要几个人"。同时，锁版本 + 校验哈希 + 新版本延迟采纳（对关键依赖等 24--72 小时，恶意版本通常几小时内就被撤）这三条，是可以立刻落地的低摩擦措施。

十二、信息来源

官方与厂商公告： CISA KEV 目录（10/26、10/27、10/28、10/29 四批）、CISA BOD 26-04、PHP 官方发布公告、GitLab 安全公告与 CVE.org 记录、Cisco PSIRT、Arista 安全公告 0199、Oracle 2026 年 10 月 CPU、NVIDIA 安全公告、Broadcom VMSA-2026-0006、Ivanti 安全公告、BeyondTrust 公告、Okta 公告、Google Chrome Release、Apple 安全更新、Microsoft MSRC/.NET 公告、Node.js 安全发布、Collabora GHSA-g3vx-3m76-fghh、Adobe 公告

国内： CNCERT（含"银狐"专项工作组）、CNVD（CNTA-2026-0007、2026 年 10 月 19--25 日周报）、CNNVD、工信部网络安全威胁和漏洞信息共享平台、国家网络安全通报中心（10 月 26 日 84 款 App 通报）、公安部《公安机关网络空间安全监督检查办法》、中央网信办、启明星辰、天际友盟、安全内参、安全客、先知社区、CN-SEC 中文网

国际安全厂商与研究机构： Anthropic 前沿红队与 Fellows 计划、METR、Redwood Research、OpenAI（漏洞报告）、Google Project Zero 相关、Imperva、Sophos、CrowdStrike、Silent Push、Chainalysis、Defused、Horizon3.ai、Volexity、Symantec、Unit 42、Recorded Future、BleepingComputer、The Hacker News、SecurityWeek、Security Affairs、Infosecurity Magazine、TechCrunch、Gizmodo、Ideastream、KRQE、PV Magazine、Threat Beat、Cyber Insider、dependencywatch、OSV/OpenSSF、GitHub Advisory Database

执法与监管： 美国司法部（弗吉尼亚东区联邦检察官办公室）、FBI 华盛顿外勤办公室、荷兰 Politie Midden-Nederland、德国 Polizei Hessen、英国 NCA、FBI"Operation Blackout"、布鲁克林联邦法院判决记录

报告完

本报告基于公开情报源整理，所有漏洞信息建议以厂商官方公告为准。修复操作请先在测试环境验证，并纳入变更管理流程。