HackerNews 编译，转载请注明出处： 奥地利数据保护机构于周三作出裁定，认定微软通过其教育软件非法追踪学生 —— 具体违规行为包括未向学生提供数据访问权限，以及在未获得同意的情况下使用 Cookie（小型数据存储文件）。 奥地利数据保护局（Datenschutzbehörde，简称 DSB）的这一裁决，源于 2024 年奥地利隐私倡导组织 “noyb”（全称 “none of your business”，意为 “与你无关”，专注于数据隐私维权）提起的投诉。该组织指控这家科技巨头在处理儿童数据时，...

Zimbra 协作套件（Zimbra Collaboration）中一个现已修复的安全漏洞，于今年早些时候被作为零日漏洞（指未被厂商发现、未修复的漏洞）利用，攻击者借此针对巴西军方发起网络攻击。 该漏洞编号为CVE-2025-27915，CVSS 漏洞评分（衡量漏洞严重程度的标准）为 5.4，本质是 Zimbra 经典网页客户端（Classic Web Client）中的存储型跨站脚本漏洞（XSS） 。其成因是对 ICS 日历文件中的 HTML 内容过滤不充分，最终可导致攻击者执行任意代码。...

网络安全研究人员已标记 Python 软件包索引（PyPI，Python Package Index）仓库中的一个恶意软件包。该包声称可提供创建 SOCKS5 代理服务的功能，同时暗藏类似后门的隐秘功能，能在 Windows 系统上投放额外有效负载（恶意代码）。 这个名为 “soopsocks” 的欺诈性软件包，在被下架前累计被下载 2653 次。它由一名名为 “soodalpie” 的用户于 2025 年 9 月 26 日首次上传，而该用户账号也正是在当天创建的。...

威胁参与者正积极利用 “服务查找器”（Service Finder）WordPress 主题存在的一个严重安全漏洞。该漏洞可使攻击者未经授权访问任意账户（包括管理员账户），进而控制存在漏洞的网站。 此次被追踪为CVE-2025-5947（CVSS 评分：9.8，属于严重级别）的身份验证绕过漏洞，影响的是 “服务查找器预订”（Service Finder Bookings）插件 —— 该插件是 “服务查找器” 主题的捆绑插件。该漏洞由一名化名 “Foxyyy” 的研究人员发现。...

Legit Security 近日披露了 GitHub Copilot Chat 人工智能助手的一个漏洞，该漏洞导致敏感数据泄露并允许攻击者完全控制 Copilot 的回复。 通过结合内容安全策略（CSP）绕过与远程提示注入，Legit Security 的研究员 Omer Mayraz 成功从私有仓库中泄露了 AWS 密钥和零日漏洞信息，并影响了 Copilot 向其他用户提供的回复。...

一个名为 TwoNet 的亲俄黑客组织在不到一年的时间里，从发起分布式拒绝服务（DDoS）攻击转向瞄准关键基础设施。 最近，该威胁行为者声称攻击了一家水处理厂，但事实证明这是一个由威胁研究人员专门设置的高仿真蜜罐系统，用于观察攻击者的行动。这场对诱饵设施的入侵发生在 9 月，揭示了威胁行为者从初始访问到实施破坏性行动仅用了约 26 小时。...

SonicWall 公司周三披露，未经授权的第三方访问了所有使用其云备份服务的客户的防火墙配置备份文件。 该公司表示："这些文件包含加密的凭证和配置数据；虽然加密仍保持有效，但持有这些文件可能会增加遭受定向攻击的风险。" 该公司还指出，正在着手通知所有合作伙伴和客户，并已发布工具协助进行设备评估和补救。同时，公司也在敦促用户登录系统检查自己的设备状况。...

HackerNews 编译，转载请注明出处： 一种名为 ClayRat 的安卓间谍软件攻击活动正迅速演变，该软件通过伪装成 WhatsApp、谷歌相册（Google Photos）、TikTok 和 YouTube 等热门应用，借助 Telegram 频道与仿冒钓鱼网站的组合手段，将俄罗斯用户列为攻击目标。 移动安全公司 Zimperium 的研究员维什努・普拉塔帕吉里在一份提交给《黑客新闻》（The Hacker News）的报告中指出：“一旦激活，该间谍软件可窃取短信、通话记录、通知和设备信息，调用前置摄像头拍照，甚至能直接从受害者设备发送短信或拨打电话。”...

网络犯罪分子正针对美国高校及其他机构发起攻击活动，将员工的薪资款项转移至由攻击者控制的账户中。 微软表示，这些被称为 “工资单海盗” 的黑客通过钓鱼邮件获取 Workday等第三方平台的访问权限。微软称：“自 2025 年 3 月以来，我们发现 3 所高校中有 11 个账户被成功入侵，这些账户被用于向 25 所高校的近 6000 个邮箱账户发送钓鱼邮件。” 该公司研究人员在 2025 年上半年全程追踪到了这一攻击活动，并指出，尽管威胁行为体的目标是 Workday 账户，但其他多个存储员工人力资源或支付信息的系统也可能面临风险。...

网络安全研究人员正提醒公众警惕一场针对 WordPress 网站的恶意攻击活动：攻击者通过注入恶意 JavaScript 代码，将网站访客重定向至可疑站点。 网站安全公司 Sucuri 的研究员普贾・斯里瓦斯塔瓦在上周发布的分析报告中指出：“访客会被注入‘无交互感染型恶意软件’（drive-by malware），例如伪装成 Cloudflare 验证页面的恶意内容。” 该公司表示，其启动调查的起因是一位客户的 WordPress 网站向访客推送了可疑的第三方 JavaScript 代码。最终调查发现，攻击者对网站主题相关文件 “functions.php” 进行了恶意篡改。...