HackerNews 编译，转载请注明出处： BeyondTrust 警告客户修复其 Remote Support（RS）和 Privileged Remote Access（PRA）软件中的一个严重安全漏洞，该漏洞可能允许未经身份验证的攻击者远程执行任意代码。 该漏洞编号为 CVE-2026-1731，是一个认证前远程代码执行漏洞，源于由 Harsh Jaiswal 和 Hacktron AI 团队发现的操作系统命令注入缺陷。它影响 BeyondTrust Remote Support 25.3.1 或更早版本以及 Privileged Remote Access 24.3.4 或更早版本。 无特权的威胁行为者可通过精心构造的恶意客户端请求来利用此漏洞，此类攻击复杂度低，且无需用户交互。 BeyondTrust 指出：“成功利用可能允许未经身份验证的远程攻击者以站点用户身份执行操作系统命令。”“成功利用无需身份验证或用户交互，并可能导致系统被攻陷，包括未经授权的访问、数据窃取和服务中断。” 截至 2026 年 2 月 2 日，BeyondTrust 已完成对所有 RS/PRA 云系统的安全加固，并已建议所有未启用自动更新的本地客户通过手动升级到 Remote Support 25.3.2 或更高版本以及 Privileged Remote Access 25.1.1 或更高版本来修补其系统。 Hacktron 团队在周五的一份报告中警告：“大约有 11,000 个实例暴露在互联网上，包括云部署和本地部署。”“其中约有 8,500 个是本地部署，如果未应用补丁，这些实例可能仍然存在漏洞。” 2025 年 6 月，BeyondTrust 修复了 RS/PRA 中一个高严重性的服务器端模板注入漏洞，该漏洞同样可能允许未经身份验证的攻击者实现远程代码执行。 在本文发布后，BeyondTrust 告诉 BleepingComputer，目前没有已知的针对 CVE-2026-1731 的在野利用。 曾被用作零日漏洞的 BeyondTrust 历史漏洞 尽管 BeyondTrust 表示 CVE-2026-1731 漏洞尚未在野被利用，但近年来威胁行为者已利用了其他 BeyondTrust RS/PRA 安全漏洞。 例如，两年前，攻击者利用两个 RS/PRA 零日漏洞（CVE-2024-12356 和 CVE-2024-12686）入侵 BeyondTrust 系统后，使用窃取的 API 密钥成功攻击了 17 个 Remote Support SaaS 实例。 CISA 于 12 月 19 日将 CVE-2024-12356 添加到其已知被利用漏洞目录中，并命令美国政府机构在一周内确保其网络安全。 BeyondTrust 为全球 100 多个国家的超过 20,000 家客户提供身份安全服务，其中包括全球 75% 的财富 100 强公司。Remote Support 是该公司的企业级远程支持解决方案，可帮助 IT 支持团队远程解决问题，而 Privileged Remote Access 则作为安全网关，对特定系统和资源强制执行授权规则。 消息来源:bleepingcomputer.com： 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： Veeam发布安全更新，修复其Backup & Replication软件存在的多个漏洞，其中包括一个可导致远程代码执行的 “严重” 级别漏洞。 该漏洞编号为CVE-2025-59470，通用漏洞评分系统（CVSS）评分为9.0。 Veeam在周二发布的公告中指出：“该漏洞允许备份操作员或磁带操作员通过发送恶意的时间间隔或排序参数，以 PostgreSQL 数据库用户权限执行远程代码。” 根据Veeam官方文档，备份操作员可执行启动 / 停止现有备份任务、导出备份、复制备份、创建 VeeamZip 格式备份等操作；而磁带操作员则有权限运行磁带备份任务或磁带目录任务、弹出磁带、导入 / 导出磁带、将磁带移入介质池、复制或擦除磁带、设置磁带密码。 也就是说，这两类操作员角色均拥有较高权限，企业本就应采取充分防护措施，防止相关权限被滥用。 威睿表示，尽管该漏洞的 CVSS 评分为 9.0，但结合实际情况将其定级为 “高严重性”；同时强调，若客户遵循威睿推荐的安全配置指南，该漏洞的被利用风险将有所降低。 此外，该公司还修复了同一款产品中存在的另外三个漏洞： CVE-2025-55125（CVSS 评分：7.2）：备份操作员或磁带操作员可通过创建恶意备份配置文件，以系统管理员权限执行远程代码。 CVE-2025-59468（CVSS 评分：6.7）：备份管理员可通过发送恶意密码参数，以 PostgreSQL 数据库用户权限执行远程代码。 CVE-2025-59469（CVSS 评分：7.2）：备份操作员或磁带操作员可获得系统管理员权限写入文件。 上述四个漏洞均影响威睿 Backup & Replication 13.0.1.180 版本及所有 13.x 系列早期版本，并已在13.0.1.1071 版本中完成修复。 Veeam目前未提及这些漏洞存在在野利用情况，但鉴于该款软件此前曾被威胁行为体利用相关漏洞发起攻击，用户必须及时安装补丁完成修复。 消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 根据 Wiz 发布的新发现，Gogs 中存在一个高严重性且未修复的安全漏洞正遭到主动利用，已有超过700个可通过互联网访问的实例被入侵。 该漏洞编号为 CVE-2025-8110（CVSS 评分：8.7），是这一基于 Go 语言的自托管 Git 服务在其文件更新 API 中存在的一个文件覆写案例。据称，针对该问题的修复程序目前正在开发中。Wiz公司表示，他们是在2025年7月调查一名客户机器上的恶意软件感染时，意外发现了这个零日漏洞。 根据 CVE.org 上的漏洞描述：”Gogs 中 PutContents API 对符号链接的处理不当，允许本地代码执行。“ 这家云安全公司指出，CVE-2025-8110 实际上是对一个先前已修复的远程代码执行漏洞（CVE-2024-55947，CVSS 评分：8.7）的绕过。该漏洞允许攻击者向服务器上的任意路径写入文件，并获取服务器的 SSH 访问权限。CVE-2024-55947 已于 2024 年 12 月由维护者修复。 Wiz 表示，攻击者可以利用 Git（以及因此的 Gogs）允许在 git 仓库中使用符号链接，并且这些符号链接可以指向仓库外的文件或目录这一事实，来绕过 Gogs 为解决 CVE-2024-55947 而实施的修复。此外，Gogs 的 API 允许在常规 Git 协议之外修改文件。 因此，攻击者可以利用这种未能妥善处理符号链接的缺陷，通过一个四步过程实现任意代码执行： 创建一个标准的 git 仓库。 提交一个指向敏感目标的单个符号链接。 使用 PutContents API 向该符号链接写入数据，导致系统跟随链接并覆写仓库外的目标文件。 覆写 “.git/config” 文件（特别是 sshCommand 配置）以执行任意命令。 至于在此次攻击活动中部署的恶意软件，据评估是基于 Supershell 的有效负载。Supershell 是一个开源命令与控制框架，常被中国黑客组织使用，能够建立到攻击者控制服务器（”119.45.176[.]196″）的反向 SSH shell。 Wiz 称，利用 CVE-2025-8110 的攻击者在感染后本可以采取措施删除或在客户云工作负载上留下的已创建仓库（例如 “IV79VAew / Km4zoh4s“），但他们并没有这么做。这种粗心大意表明这可能是一场”打了就跑”式的攻击活动。 总体而言，互联网上暴露着大约 1,400 个 Gogs 实例，其中超过 700 个已显示出被入侵的迹象，特别是存在由8个字符随机组成的所有者/仓库名称。所有已识别的仓库均创建于 2025年7月10日 左右。 研究人员 Gili Tikochinski 和 Yaara Shriki 表示：”这表明单一的攻击者，或者可能是一组都使用相同工具的攻击者，应对所有感染负责。“ 鉴于该漏洞目前没有修复补丁，用户必须禁用公开注册功能，限制其暴露在互联网上，并扫描实例中是否存在具有8字符随机名称的仓库。 此次披露之际，Wiz 同时警告，威胁行为者正将泄露的 GitHub 个人访问令牌作为高价值入口点，用以获取对受害者云环境的初始访问权限，甚至利用它们实现从 GitHub 到云服务提供商控制平面的跨云横向移动。 当前的核心问题是，拥有通过 PAT 获得的基本读取权限的威胁行为者，可以利用 GitHub 的 API 代码搜索功能，发现直接嵌入在工作流 YAML 代码中的密钥名称。更复杂的是，如果被利用的 PAT 具有写入权限，攻击者就可以执行恶意代码并清除其恶意活动的痕迹。 研究员 Shira Ayal 表示：”攻击者利用被盗的 PAT 在代码库中发现 GitHub Action Secrets 的名称，并在新创建的恶意工作流中使用这些名称来执行代码并获取 CSP 密钥。我们还观察到威胁行为者将密钥外泄到他们控制的一个 Webhook 端点，完全绕过了 Action 日志。“ 消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 据 Wordfence 的监测数据显示，WordPress 平台的 Sneeit Framework 插件中存在的一个高危安全漏洞已被攻击者在野环境中积极利用。 此次涉及的远程代码执行漏洞编号为 CVE-2025-6389（CVSS 评分 9.8），影响该插件 8.3 及以下的所有版本，该漏洞已于 2025 年 8 月 5 日发布的 8.4 版本中完成修复。目前该插件的活跃安装量超 1700 个。 Wordfence 表示：“该漏洞成因是 [sneeit_articles_pagination_callback ()] 函数接收用户输入后，直接将其传入 call_user_func () 函数执行。这使得未授权攻击者能够在服务器上执行代码，进而可用于植入后门，或是创建新的管理员账户等操作。” 也就是说，攻击者可利用该漏洞调用任意 PHP 函数，比如通过 wp_insert_user () 函数创建恶意管理员账户。一旦成功创建，攻击者便能借此掌控整个网站，注入恶意代码，将网站访客重定向至钓鱼网站、恶意软件下载页面或垃圾信息站点。 Wordfence 指出，针对该漏洞的在野利用始于 2025 年 11 月 24 日（即漏洞公开披露当日），该公司已拦截超 13.1 万次针对此漏洞的攻击尝试，仅过去 24 小时内就记录到 15381 次攻击。 攻击详情 部分攻击行为表现为向 “/wp-admin/admin-ajax.php” 端点发送特制 HTTP 请求，创建如 “arudikadis” 这类恶意管理员账户，并上传可能用于获取后门访问权限的恶意 PHP 文件 “tijtewmg.php”。 攻击来源的 IP 地址如下： 185.125.50[.]59 182.8.226[.]51 89.187.175[.]80 194.104.147[.]192 196.251.100[.]39 114.10.116[.]226 116.234.108[.]143 这家 WordPress 安全厂商还发现，攻击者使用的恶意 PHP 文件具备目录扫描、文件及权限的读写删操作、ZIP 文件解压等能力，涉及的恶意文件包括 “xL.php”“Canonical.php”“.a.php”“simple.php”。 据 Wordfence 披露，“xL.php” 后门程序由一款名为 “up_sf.php” 的漏洞利用 PHP 文件下载获取，同时该文件还会从外部服务器（racoonlab [.] top）下载 “.htaccess” 文件至受攻击主机。 伊斯万・马尔顿表示：“这份.htaccess 文件可确保 Apache 服务器上特定扩展名的文件能被正常访问。当其他.htaccess 文件限制了脚本访问（比如在上传目录中）时，该文件就能发挥作用。” ICTBroadcast 漏洞被用于传播 Frost DDoS 僵尸网络 与此同时，VulnCheck 称其监测到攻击者利用 ICTBroadcast 的高危漏洞（CVE-2025-2611，CVSS 评分 9.3），针对其蜜罐系统发起新攻击，通过下载 Shell 脚本加载器，获取多个不同架构版本的名为 “frost” 的恶意二进制文件。 这些恶意文件在执行后，会自行删除载荷与加载器以清除攻击痕迹，其最终目的是对目标发起分布式拒绝服务（DDoS）攻击。 VulnCheck 的雅各布・贝恩斯称：“这款 frost 二进制文件整合了 DDoS 攻击工具与传播逻辑，内置了针对 15 个 CVE 漏洞的 14 种利用程序。其传播方式的关键在于，攻击者并非对全网进行无差别攻击，frost 会先对目标进行检测，只有发现预期的特定特征时才会发起漏洞利用。” 例如，该恶意程序仅在接收到包含 “Set-Cookie: user=(null)” 的 HTTP 响应，且后续请求的响应中包含 “Set-Cookie: user=admin” 时，才会利用 CVE-2025-1610 漏洞发起攻击；若未检测到这些特征，程序则会保持休眠状态。相关攻击均来自 IP 地址 87.121.84 [.] 52。 尽管相关漏洞已被多个 DDoS 僵尸网络利用，但鉴于互联网上易受攻击的暴露系统不足 1 万台，证据表明此次攻击属于小规模定向操作。 贝恩斯补充道：“这限制了基于这些 CVE 漏洞构建的僵尸网络规模，也意味着该攻击者的体量相对较小。值得注意的是，用于传播该样本的 ICTBroadcast 漏洞利用程序并未出现在二进制文件中，说明攻击者还具备未被发现的其他攻击能力。” 消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 微软于周四发布了带外安全更新，以修复一个Windows Server Update服务中的严重漏洞。该漏洞的概念验证漏洞利用已公开，并且已在野外遭到积极利用。 相关漏洞为CVE-2025-59287（CVSS评分：9.8），这是WSUS中的一个远程代码执行漏洞。该漏洞最初由微软在上周发布的”补丁星期二”更新中进行了修复。 三位安全研究人员 MEOW、f7d8c52bec79e42795cf15888b85cbad 以及 CODE WHITE GmbH 的 Markus Wulftange 因发现并报告此漏洞而获得致谢。 该缺陷涉及WSUS中不受信任数据的反序列化问题，允许未经授权的攻击者通过网络执行代码。值得注意的是，该漏洞不影响未启用WSUS服务器角色的Windows服务器。 在一个假设的攻击场景中，远程未经身份验证的攻击者可以发送一个特制的事件，该事件会在”传统序列化机制”中触发不安全的对象反序列化，从而导致远程代码执行。 根据HawkTrace的安全研究员Batuhan Er的说法，该问题”源于发送到GetCookie()端点的AuthorizationCookie对象的不安全反序列化，其中加密的cookie数据使用AES-128-CBC解密，随后通过BinaryFormatter进行反序列化，但缺乏适当的类型验证，从而使得能够以SYSTEM权限执行远程代码。” 值得注意的是，微软自己此前曾建议开发人员停止使用BinaryFormatter进行反序列化，因为该方法在处理不受信任的输入时不安全。BinaryFormatter的一个实现随后在2024年8月的.NET 9中被移除。 “为全面解决CVE-2025-59287，微软已为以下受支持的Windows Server版本发布了带外安全更新：Windows Server 2012、Windows Server 2012 R2、Windows Server 2016、Windows Server 2019、Windows Server 2022、Windows Server 2022, 23H2版（Server Core安装）以及Windows Server 2025，”微软在一次更新中表示。 安装补丁后，建议执行系统重启以使更新生效。如果无法应用此带外更新，用户可以采取以下任一行动来防范该漏洞： 在服务器中禁用WSUS服务器角色（如已启用） 在主机防火墙上阻止对端口8530和8531的入站流量 “在安装更新之前，请勿撤销任何这些临时解决方案，”微软警告说。 此消息发布之际，荷兰国家网络安全中心表示，其从”可信合作伙伴处获悉，在2025年10月24日观察到了CVE-2025-59287的滥用行为。” 向NCSC-NL报告了此次野外利用的Eye Security表示，他们首次观察到该漏洞在UTC时间早上6:55被利用，目的是投递一个针对某未具名客户的Base64编码的有效载荷。该有效载荷是一个.NET可执行文件，”获取请求头’aaaa’的值并使用cmd.exe直接运行它。” “这是发送给服务器的有效载荷，它使用名为’aaaa’的请求头作为要执行命令的源，” Eye Security的首席技术官Piet Kerkhofs告诉The Hacker News。”这避免了命令直接出现在日志中。” 当被问及利用行为是否可能早于今天发生时，Kerkhofs指出，”HawkTrace的概念验证两天前就发布了，它可以使用标准的ysoserial .NET有效载荷，所以是的，利用所需的要素已经具备。” 网络安全公司Huntress也表示，他们检测到威胁行为者从大约UTC时间2025年10月23日23:34开始，针对公开暴露在其默认端口（8530/TCP和8531/TCP）上的WSUS实例。然而，该公司指出，由于WSUS通常不会暴露8530和8531端口，CVE-2025-59287的利用范围可能有限。 “攻击者利用暴露的WSUS端点发送特制请求（对WSUS Web服务的多个POST调用），触发了针对更新服务的反序列化远程代码执行，”该公司表示。 此次利用活动导致WSUS工作进程生成了”cmd.exe”和PowerShell实例，从而下载并执行了一个Base64编码的PowerShell有效载荷，目的是枚举暴露的服务器以获取网络和用户信息，并将结果外泄到攻击者控制的webhook[.]site URL。 “我们现在看到对微软WSUS服务中的预身份验证远程代码执行漏洞进行了无差别的野外利用，该漏洞在10月初被披露，” watchTowr的Benjamin Harris在一份声明中表示。”此漏洞的利用是无差别的。” “如果一个未打补丁的WSUS实例在线，那么在此阶段，它很可能已经被攻陷。在2025年，真的没有任何合法理由让WSUS可以从互联网访问——任何处于这种情况的组织可能需要指导来了解他们是如何陷入这种境地的。” “我们已经观察到8000多个实例暴露在外，包括极其敏感、高价值的组织。这不仅限于低风险环境——一些受影响的实体正是攻击者优先考虑的目标类型。” 当联系置评时，微软的一位发言人告诉该刊物：”我们在发现初始更新未能完全缓解该问题后重新发布了此CVE。已安装最新更新的客户已受到保护。” 该公司还强调，该问题不影响未启用WSUS服务器角色的服务器，并建议受影响的客户遵循其CVE页面上的指南。 鉴于概念验证漏洞利用的可用性和已检测到的利用活动，用户必须尽快应用补丁以减轻威胁。美国网络安全和基础设施安全局也已将该漏洞添加到其已知被利用漏洞目录中，要求联邦机构在2025年11月14日之前进行修复。   消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： Sitecore体验平台中被披露存在三个新的安全漏洞，攻击者可能利用这些漏洞实现信息泄露和远程代码执行。 根据watchTowr Labs的报告，这些漏洞具体如下： CVE-2025-53693 – 通过不安全的反射实现HTML缓存投毒 CVE-2025-53691 – 通过不安全的反序列化实现远程代码执行（RCE） CVE-2025-53694 – ItemService API中存在信息泄露漏洞，受限匿名用户可通过暴力破解手段获取缓存密钥 Sitecore已于2025年6月针对前两个漏洞发布了补丁，并在7月修复了第三个漏洞。公司表示“成功利用相关漏洞可能导致远程代码执行以及对信息的非授权访问”。 这些发现是基于watchTowr在6月份详细报告的同一产品中的另外三个漏洞： CVE-2025-34509（CVSS评分：8.2） – 使用硬编码凭证 CVE-2025-34510（CVSS评分：8.8） – 通过路径遍历实现认证后远程代码执行 CVE-2025-34511（CVSS评分：8.8） – 通过Sitecore PowerShell扩展实现认证后远程代码执行 watchTowr Labs的研究员Piotr Bazydlo表示，新发现的漏洞可以组合成一个完整的攻击链，通过将认证前的HTML缓存投毒漏洞与一个认证后的远程代码执行问题相结合，从而入侵完全打好补丁的Sitecore体验平台实例。 导致代码执行的完整攻击链如下：威胁行为者可以利用（如果暴露的）ItemService API轻松枚举存储在Sitecore缓存中的HTML缓存密钥，并向这些密钥发送HTTP缓存投毒请求。 随后，此攻击可与CVE-2025-53691链接，提供恶意的HTML代码，最终通过无限制的BinaryFormatter调用实现代码执行。 “我们成功利用了一个受限严重的反射路径来调用一个方法，该方法允许我们污染任何HTML缓存密钥，”Bazydlo说。“这单一的原语操作打开了劫持Sitecore体验平台页面的大门——并从此处投放任意JavaScript以触发认证后远程代码执行（Post-Auth RCE）漏洞。”       消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 技术细节公开仅24小时，黑客已开始利用Wing FTP服务器中的高危远程代码执行漏洞。监测到的攻击行为包含多轮系统枚举与侦察指令，并通过创建新用户实现持久化控制。 该漏洞编号为CVE-2025-47812，获评最高危级。其本质是空字节注入与Lua代码注入的组合漏洞，允许未授权攻击者以系统最高权限（root/SYSTEM）执行任意代码。Wing FTP作为支持Lua脚本的安全文件传输管理方案，广泛应用于企业及中小型网络环境。 6月30日，安全研究员Julien Ahrens发布技术报告，指出漏洞源于C++对空终止字符串的不安全处理及Lua输入验证缺失。其演示表明：用户名字段插入空字节可绕过认证检查，并向会话文件注入Lua代码。当服务器加载这些文件时，即可以root/SYSTEM权限执行恶意指令。 该研究员同时披露Wing FTP另外三处漏洞： CVE-2025-27889：通过特制URL诱使用户提交登录表单后，因JavaScript变量(location)包含密码导致凭证泄露 CVE-2025-47811：默认以root/SYSTEM权限运行且无沙盒隔离，显著放大远程代码执行危害 CVE-2025-47813：超长UID Cookie可泄露文件系统路径 所有漏洞影响7.4.3及更早版本。供应商于2025年5月14日发布7.4.4修复版本（除CVE-2025-47811被评估为低风险未处理）。 网络安全平台Huntress的研究人员成功构造漏洞验证程序（详见视频演示），并监测到技术细节公开次日（7月1日）即有攻击者利用该漏洞入侵客户系统。攻击者向loginok.html发送含空字节的用户名，生成恶意.lua会话文件注入Lua代码。注入代码通过十六进制解码载荷，利用certutil工具下载远程恶意软件并以cmd.exe执行。 Huntress发现同一Wing FTP实例在短期内遭到五个不同IP地址攻击，表明存在大规模扫描与利用尝试。攻击指令涵盖系统侦察、持久化维持及cURL数据外泄。攻击失败可能源于“攻击者操作生疏或Microsoft Defender拦截”，但关键漏洞已被明确利用。 企业应立即升级至7.4.4版本。若无法升级，建议采取以下缓解措施：禁用或限制HTTP/HTTPS访问入口、关闭匿名登录功能、实时监控会话目录可疑文件。       消息来源： bleepingcomputer； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文