安全资讯 - 卫方智能网络安全资讯平台

银之皿外卖平台 650 万条信息或泄露：外包服务器商遭勒索

2026年10月14日作者卫方智能

日本外卖寿司品牌银之皿的运营方 RIDE ON EXPRESS 控股 10 月 13 日宣布，其官网与 App 注册的最多约 650 万条个人信息可能已泄露，承载数据的第三方服务器运营商遭到勒索软件攻击。

2026年10月14日作者卫方智能

SAP 10 月安全补丁日修复 20 个漏洞，其中 CVE-2026-89111 位于 Cloud SDK for Python，CVSS 满分 10.0。攻击者控制租户子域即可把 OAuth2 令牌请求引向自己的服务器，窃取客户端凭据。

2026年10月14日作者卫方智能

Bloom Security 发现 npm 可信发布机制存在缺陷，1 个失效的仓库 slug 就能继承原有信任关系，向不属于自己的包推送恶意版本。受影响包超过 1500 个，累计下载量逾 1000 万次。

2026年10月14日作者卫方智能

微软 10 月补丁日一次修复逾 1400 个漏洞，约 78 个为严重级，创下月度纪录。其中 CVE-2026-96951 可绕过 Mark of the Web 保护，已是本月唯一在野利用的零日，CISA 同日纳入 KEV。

2026年10月14日作者卫方智能

Ivanti 确认 Connect Secure VPN 网关存在零日漏洞 CVE-2026-104935 并已被在野利用。Volexity 披露攻击者串联三个零日，在一台完全打补丁的 22.8R2.4 设备上取得未认证 root 权限，CISA 已将漏洞列入 KEV。

2026年10月13日作者卫方智能

10 月 11 日至 12 日，TypeScript 校验库 Zod 的仓库主分支被曝推入恶意 preinstall 脚本，安装时经以太坊智能合约取指令并执行二级载荷；恶意版本最终未进入 npm 正式分发包。

2026年10月13日作者卫方智能

Veeam 发布 KB4934 修复 Backup & Replication 12 中的 CVE-2025-64393（CVSS 9.4）：仅需被官方文档描述为只读的 Backup Viewer 角色，低权限用户即可在备份服务器上以 SYSTEM 权限执行代码。

2026年10月13日作者卫方智能

思科 10 月 7 日发布一批加固公告，License On-Prem 的加密签名校验缺陷 CVE-2026-76482 评分满分 10.0，APIC 三枚 9.8、Meraki 9.6 同步修复，除升级外无官方绕过方案。

2026年10月13日作者卫方智能

10 月 11 日夜间，法国多家连锁超市制冷系统被远程攻击，黑客启动强制除霜并把温度设定抬高到 50 摄氏度，数百家门店生鲜报废，全国损失预估达数千万欧元。

2026年10月13日作者卫方智能

GitLab 于 10 月 8 日发布紧急补丁 19.4.2、19.3.4、19.2.8，修复 CVE-2026-97229——CI/CD 正则编译器整数溢出，未认证即可在自建服务器执行任意代码，CVSS 满分 10.0。

2026年10月12日作者卫方智能

Zscaler ThreatLabz 披露恶意 Terraform provider 投毒活动：名为 terraform-provider-awsbeta_v1.0.0 的恶意 provider 在加载时执行代码，用伪装成字体的 .woff 文件投递 FLATROOF 与 ROOFDECK 后门。

2026年10月12日作者卫方智能

勒索组织 The Gentlemen 于 10 月 11 日同时把数据流平台 Confluent 与数据安全厂商 BigID 挂上泄露站；同周 Redact 声称勒索医疗器械商 DexCom，Rhysida 泄露马里兰州一郡 2.6TB 记录。