最新文章
Top News
GitLab 严重漏洞（CVSS 10.0）可允许未经身份验证的 RCE，波及 12 年来的所有版本
GitLab 于 10 月 21 日发布修复，针对一个可让攻击者在未登录的情况下于自管服务器上运行代码的漏洞，该漏洞影响可追溯至 2014 年发布的 7.0 版本的所有版本。 即使对九天前刚打过补丁的管理员而言，这一修复也很重要：10 月 12 日的更新仅覆盖 19.2 及更高版本，而新的修复版本仅比它高一个补丁号，因此当时更新过的实例又重新落入受影响范围。...
PHP 为两个严重 PHP2Shell RCE 漏洞发布紧急补丁，利用尝试已出现
PHP 已发布紧急更新，修复语言本身中的两个严重漏洞，使无账户的攻击者可在 Web 服务器上运行代码。修复位于 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35 中，PHP 团队表示只有更新才能完全保护服务器。 这两个漏洞统称为 PHP2Shell，位于 PHP 运行时而非任何应用中，因此即使网站自身代码安全，也仍会暴露。使用 Apache mod_php 的服务器风险最高，可用的利用代码会在任何应用代码运行之前触发攻击。...
OVHcloud CLI 在 GitHub 上的发布版本被植入后门，用于窃取开发者机密
法国云和托管服务提供商 OVHcloud 警告用户，攻击者入侵了其开源命令行界面（CLI）工具，以分发信息窃取恶意软件。 攻击者劫持了一名开发者的 GitHub 账户，从而访问 OVHcloud CLI 仓库，并修改了该工具的 0.11.0 至 0.15.0 版本。 OVHcloud 提供该 CLI 工具，作为系统管理员和开发者直接从终端管理云和托管服务的替代方案，包括用于自动化任务。...
被盗的 UpdraftCentral 密钥被用于给 WordPress 网站植入后门
一名威胁行为者入侵了 TeamUpdraft 的网站——这是一家热门 WordPress 备份和安全插件的开发商——可能泄露了 UpdraftCentral 连接密钥，这些密钥可向已连接的网站发送命令。 TeamUpdraft 于周末检测到其基础设施遭到未经授权的访问，并认为黑客访问了客户数据库。 该开发商提供多款用于备份、存储和站点管理的 WordPress 工具：...
PHP 警告管理员存在两个严重漏洞，明日发布紧急补丁
PHP 安全团队警告管理员，为明天的紧急安全更新做好准备，以修复两个严重漏洞，据报道，有关这些漏洞的信息在预定披露之前已经泄露。 PHP 支撑着众多网站和 Web 应用，包括内容管理系统、电商平台和自定义 Web 服务。 PHP 开发团队在周二发布的公告中宣布，计划于 10 月 21 日周三 14:00 UTC（东部时间上午 10:00）发布安全更新，修复两个漏洞，每个漏洞在 CVSS v4.0 下均被评为 9.2 分。...
Zeabur 在两个月内遭遇第二次安全入侵后宣布关闭
开发平台 Zeabur 披露了一起网络安全事件细节：攻击者利用以明文存储的泄露内部凭证入侵其基础设施，窃取了超过 320 万条环境变量记录和 321,810 个账户的信息。 攻击者使用窃取的管理员凭证和云访问密钥入侵了 Zeabur 的共享托管基础设施和专用服务器，最终获取了其生产数据库的访问权限。 "2026 年 10 月 14 日至 15 日，攻击者使用泄露的 Zeabur 内部凭证闯入共享集群、部分专用服务器和 Zeabur 内部系统，并最终读取了平台数据库，"Zeabur 的公告写道。...
贝尔格莱德大学校长 iPhone 被确认感染 Pegasus 间谍软件，距选举仅数天
Citizen Lab 于 10 月 19 日表示，贝尔格莱德大学校长、塞尔维亚学生抗议运动的知名支持者 Vladan Đokić 的 iPhone 于 2026 年感染了 NSO Group 的 Pegasus 间谍软件。 这一发现是在塞尔维亚 10 月 25 日提前举行的议会选举前六天公布的。感染使用了零点击漏洞利用，意味着 Đokić 无需点击链接或打开文件即可被感染。 该实验室以高度置信度确认了感染，但其说明未提供 2026 年内的具体日期，未指明攻击背后的幕后黑手，并指出调查仍在进行中。...
Qilin 和 INC 勒索软件组织利用 Palo Alto Networks 漏洞绕过 MFA
Palo Alto Networks 披露，其仍在观察到勒索软件行为者利用一个已修复的、影响 PAN-OS 和 Prisma Access 的安全漏洞。 该活动涉及 CVE-2026-0257（CVSS 评分：7.8），这是一个身份验证绕过漏洞，可被恶意行为者利用来建立未经授权的 VPN 连接。该漏洞由 Palo Alto Networks 于 2026 年 5 月修复， "利用 CVE-2026-0257 的勒索软件运营者包括 Spikey Scorpius（又称 Qilin）和 Tarnished Scorpius（又称 INC），"Unit 42 研究人员在周一分享的更新中表示。就在几天前，...
黑客劫持 AOMEI 更新服务器秘密传播恶意软件
据报道，黑客入侵了 AOMEI 的服务器，通过其备份软件内置的推广功能分发恶意软件，并在短暂篡改配置文件后将其恢复原状以隐藏攻击痕迹。 这起供应链攻击发生在 2026 年 4 月至 7 月之间，目标是 AOMEI Backupper（一款用于数据备份、磁盘克隆和系统还原的 Windows 应用）所使用的更新和通知系统。 ManageEngine 威胁分析实验室（METAL）的研究人员与 Google 威胁情报组（GTIG）及 Mandiant 合作发现并调查了这一攻击活动。...
WordPress SEO 插件 Rank Math 遭入侵，被用于植入网站后门
上周发生的一起供应链攻击中，从厂商官方网站下载的部分 Rank Math PRO WordPress 插件携带了恶意软件，会在网站中植入隐藏后门。 据厂商称，在 10 月 15 日 20:02 UTC 至 10 月 16 日 07:12 UTC 期间下载该插件 3.0.123 版本的少数用户收到了被篡改的版本，激活后可能危及其网站。 "受影响的插件文件包含恶意软件，如果插件被激活，可能危及您的网站，"Rank Math 警告称。...