一场针对暴露于互联网的 Vite 开发服务器的大规模扫描活动，正试图从 AWS 和 Azure 部署中窃取云凭据和配置。 该行动利用了 CVE-2026-39364 的漏洞利用程序，这是一个高危漏洞，允许在 Vite 7.1.0 至 7.3.2 版本以及 8.0.5 之前的 8.x 分支中绕过文件读取/访问控制。 该漏洞于 4 月 7 日披露，允许未经身份验证的攻击者操纵 HTTP GET 请求中的查询参数，以绕过安全限制并以明文形式从通常无法触及的位置检索文件。...

一款名为 Twitch Enhanced Viewer | JeetBot 的浏览器扩展在 Chrome 和 Firefox 官方商店上架，会将用户的 Twitch OAuth 会话令牌发送至一个商业机器人服务。 该扩展的安装量超过 3 万，被宣传为一款合法的 Twitch 第三方工具，可以屏蔽广告、强制 1080p（全高清）播放、绕过区域限制并启用频道积分收集。 然而，应用安全公司 Socket 的分析显示，该扩展会捕获 Twitch Web 客户端使用的授权标头，提取用户 OAuth 令牌，并通过代理服务器发送这些凭据。...

日本数字厅发现了一起数据泄露事件，可能暴露了约 24.6 万行包含政府雇员个人信息的记录。 该机构称，攻击者通过利用 Government Solution Service (GSS) 所使用的一台 VPN 设备中的漏洞获得了初始访问权限。 调查于 6 月 25 日开始，此前该机构从一名维护和运营人员的账户中检测到大规模文件访问。...

ExPatch 安全研究人员在 9 月 12 日发布的文章中表示，Telegram Desktop 中的一个缺陷使机器人的消息能够在用户导出为 HTML 文件的聊天中植入隐藏 JavaScript。 在 Telegram 中，该消息看起来很普通，带有一个链接按钮，脚本只有在有人用网页浏览器打开导出文件时才会运行。随后它可以将该文件中的每一条消息复制到攻击者控制的服务器，或重写页面所显示的内容。 Telegram 于 7 月发布了修复程序，但应用更新不会更新用较早版本导出的文件，因此旧的 HTML 导出文件仍可能携带该脚本。...

研究人员披露了一种名为 DDRop 的新型硬件攻击，它通过静默丢弃对服务器内存的写入来攻破 Intel 和 AMD 机密计算中的内存保护，使处理器持续读取旧的加密数据，仿佛它是最新数据一样。 该攻击需要一名已控制服务器软件、并能短暂接触机器的攻击者，在处理器和内存模块之间插入一块称为 interposer（中介板）的小型电路板。 该中介板的制造成本不到 200 美元。DDRop 可对 Intel TDX、Intel Scalable SGX 和 AMD SEV-SNP 生效，这些硬件被云服务用于在使用过程中保护客户数据私密，甚至对云提供商也保密。...

威胁情报公司 Hunt.io 表示，一名攻击者在泰国最大宽带运营商之一 3BB 的网络内部活动，并使用一款名为 MeshCentral 的合法管理工具维持对内部机器的远程控制。 该公司通过检查攻击者遗留在互联网上开放的一台服务器发现了此次入侵，该服务器保存了攻击者自己的工具以及一份已被其控制的机器列表。 研究人员在 2026 年 6 月 3 日捕获了这台暴露的服务器，当时该行动仍在进行中。其上的工具是从 3BB 自身网络内的一台计算机运行的，一份恢复的文件显示攻击者获得了对一台内部服务器的完全管理控制权，即 root 权限。...

在一封携带有效域凭据的伪造政府电子邮件通过其校验后，Revolut 交出了 KYC 文件、自拍照和 Bitcoin 交易历史。 据 TechCrunch 报道，Revolut 于 2026 年 9 月 12 日确认，在收到从运行于某实际政府机构域基础设施内的电子邮件地址发出的欺诈性信息请求后，其向一个未经授权的第三方披露了敏感客户数据。9 月 11 日开始流传的客户通知中称，该通信携带有效的域身份验证凭据，...

乌克兰律师兼 Conti 恶意软件开发者 Oleksii Lytvynenko 因勒索软件攻击被判处四年美国监禁。 Oleksii Oleksiyovych Lytvynenko 在转行编写恶意软件之前，按大多数说法，在乌克兰拥有一段相当普通的法律职业生涯。美国司法部宣布，一家美国联邦法院本周判处这名 44 岁的男子四年监禁，罪名是共谋实施电信欺诈，与其在 Conti 中的角色有关，...

荷兰国家网络安全中心 (NCSC) 警告称，Check Point VPN 中被追踪为 CVE-2026-85102 和 CVE-2026-85103 的两个关键漏洞被利用已迫在眉睫。 尽管尚未有公开的概念验证 (PoC) 漏洞利用报告，但该机构正敦促各组织尽快安装修复这两个问题的安全更新。 "NCSC 评估认为被利用的可能性和潜在影响都很高，并预计很快就会出现利用尝试，"NCSC 警告道。...

根据研究人员 Spencer Kitts、Thomas Larsen 和 Sydney Von Arx 发布的一份新报告，2026 年 5 月针对 RubyGems 的"重大恶意攻击"是一群 OpenAI 智能体所为。 5 月 12 日，Mend.io 软件供应链安全高级产品经理 Maciej Mensfeld 披露了一起协同网络攻击的细节，该攻击以数百个垃圾 gem 针对 Ruby 编程语言的包管理器，促使维护者暂停新用户注册约四天。...