卫方智能 - 卫方智能网络安全资讯平台

CVE-2026-105134：AhsayCBS 备份服务器未认证 RCE 遭在野利用

2026年10月10日作者卫方智能

备份管理控制台 AhsayCBS 曝两个漏洞，编号 CVE-2026-105133 与 CVE-2026-105134。攻击者可串接二者实现未认证 SYSTEM 权限远程代码执行，10 月 7 日起在野利用，最新版 10.3.4 仍受影响且暂无补丁。

2026年10月10日作者卫方智能

WordPress 插件 Bricksforge 被曝未认证任意文件上传漏洞，编号 CVE-2026-85097，CVSS 最高 10.0。攻击者 10 月 7 日起大规模利用，上传 GIF/PHP 多态文件即可执行任意代码，官方已在 3.1.8.10 修复。

2026年10月10日作者卫方智能

CC攻击常专挑缓存不命中的请求下手，等于人为制造持续的缓存击穿。本文用9个问答讲清缓存击穿、雪崩、穿透的区别，怎么区分被攻击与配置问题，以及缓存键归一化、过期抖动、热点互斥锁的实战防护配置。

2026年10月10日作者卫方智能

DDoS防护的账单风险不在单价，而在计费口径。本文用9个问答讲清高防与清洗服务的计费方式、攻击流量到底算不算钱、保底与弹性带宽怎么配、清洗次数上限与回源费用，以及怎么把防护总成本算清楚。

2026年10月9日作者卫方智能

Android App 加固实战教程：开启 R8 混淆与资源压缩并补齐保留规则，实现运行时签名校验、Root/模拟器检测、Frida 与调试器检测，并用 ptrace 自附加阻断注入，附反编译验证流程。

2026年10月9日作者卫方智能

IPv6 安全加固实战教程：从内核参数关闭 RA 与重定向，到 nftables/ip6tables 显式放行必需 ICMPv6 类型、丢弃路由头，再到云安全组同步收口与外部扫描验证，附完整可复制配置。

2026年10月9日作者卫方智能

无文件攻击检测实战教程：针对 memfd 匿名内存执行、LD_PRELOAD 注入与 ptrace 进程注入三条路径，配置 auditd 审计规则与 bpftrace 实时探针，附 /proc 巡检脚本、无害 POC 验证方法与取证处置流程。

2026年10月9日作者卫方智能

Pwn2Own Ireland 2026 于 10 月 6 日至 9 日举行，首次设立的 AI 基础设施赛项两天内全线失守：LiteLLM 两度被攻破，OpenAI Codex、NVIDIA Dynamo、Chroma 与 Oracle 自治 AI 数据库相继沦陷，两日累计 77 个唯一零日。

2026年10月9日作者卫方智能

Google 于 10 月 7 日披露，攻击者攻陷加纳、塞拉利昂与美属萨摩亚三个 ccTLD 注册局的第三方运营方，篡改权威 DNS 记录并通过域名验证，为多个 Google 域名及其他品牌签发合法 HTTPS 证书。

2026年10月9日作者卫方智能

英国时尚电商 ASOS 于 10 月 8 日确认数据泄露：攻击者冒充可信联系人骗取员工登录账号，再访问其第三方平台窃取客户姓名、联系方式与购物搜索历史；攻击者还借官方 App 推送发布勒索信息。

2026年10月9日作者卫方智能

FBI 与美国特勤局 10 月 6 日联合警告，FortiBleed 凭证窃取行动仍在持续。攻击者用泄露口令登录暴露的 FortiGate 与 SSL VPN 网关，新建管理员账号并删除原有账号，把企业锁在自己设备之外，全程无 CVE 可利用。

2026年10月9日作者卫方智能

SonicWall 于 10 月 6 日发布 SNWLID-2026-0017，修复 SMA1000 网关四个漏洞，其中 WorkPlace 门户未认证 SSRF 评分满分 10.0，无需凭据即可驱动设备访问内部功能，官方未提供任何绕过方案。