安全资讯 - 卫方智能网络安全资讯平台

CVE-2026-85097：Bricksforge 插件未认证文件上传致 RCE 在野利用

2026年10月10日作者卫方智能

WordPress 插件 Bricksforge 被曝未认证任意文件上传漏洞，编号 CVE-2026-85097，CVSS 最高 10.0。攻击者 10 月 7 日起大规模利用，上传 GIF/PHP 多态文件即可执行任意代码，官方已在 3.1.8.10 修复。

2026年10月9日作者卫方智能

Pwn2Own Ireland 2026 于 10 月 6 日至 9 日举行，首次设立的 AI 基础设施赛项两天内全线失守：LiteLLM 两度被攻破，OpenAI Codex、NVIDIA Dynamo、Chroma 与 Oracle 自治 AI 数据库相继沦陷，两日累计 77 个唯一零日。

2026年10月9日作者卫方智能

Google 于 10 月 7 日披露，攻击者攻陷加纳、塞拉利昂与美属萨摩亚三个 ccTLD 注册局的第三方运营方，篡改权威 DNS 记录并通过域名验证，为多个 Google 域名及其他品牌签发合法 HTTPS 证书。

2026年10月9日作者卫方智能

英国时尚电商 ASOS 于 10 月 8 日确认数据泄露：攻击者冒充可信联系人骗取员工登录账号，再访问其第三方平台窃取客户姓名、联系方式与购物搜索历史；攻击者还借官方 App 推送发布勒索信息。

2026年10月9日作者卫方智能

FBI 与美国特勤局 10 月 6 日联合警告，FortiBleed 凭证窃取行动仍在持续。攻击者用泄露口令登录暴露的 FortiGate 与 SSL VPN 网关，新建管理员账号并删除原有账号，把企业锁在自己设备之外，全程无 CVE 可利用。

2026年10月9日作者卫方智能

SonicWall 于 10 月 6 日发布 SNWLID-2026-0017，修复 SMA1000 网关四个漏洞，其中 WorkPlace 门户未认证 SSRF 评分满分 10.0，无需凭据即可驱动设备访问内部功能，官方未提供任何绕过方案。

2026年10月8日作者卫方智能

CloudSEK 与 Checkmarx 披露 MALFEX 供应链行动：8 个恶意 npm 包累计被下载 40,767 次，通过 postinstall 钩子投递 Overlord RAT 与 Node.js 窃密程序，其中 3 个包截至披露时仍在线。

2026年10月8日作者卫方智能

Lumen Black Lotus Labs 披露 Canto Incognito 行动：恶意软件 PoeLLM 自 2026 年 4 月以来攻陷 3400 余台暴露的 AI 与 LLM 基础设施，植入加密货币矿机并组建僵尸网络，其 C2 地址被编码进诗歌以规避检测。

2026年10月8日作者卫方智能

思科 10 月 7 日发布 NX-OS 安全加固公告，修复 7 个漏洞，其中 CVE-2026-76471 为 NX-API 未认证远程代码执行，CVSS 9.8，可致交换机以 root 权限被控或崩溃重启，无缓解措施。

2026年10月8日作者卫方智能

HPE 于 10 月 6 日发布安全公告 HPESBNW05158，披露 HPE Networking ClearPass Policy Manager 存在 28 个漏洞，其中 10 个严重级，含未认证反序列化 RCE（CVE-2026-76750，CVSS 9.8）与多处认证绕过。

2026年10月8日作者卫方智能

JFrog 披露 LMCache 多进程缓存服务未认证远程代码执行漏洞 CVE-2026-105192，CVSS 9.8，影响 0.3.9 至 0.5.5，官方尚无修复版本，暴露端口的 LLM 推理集群风险最高。

2026年10月7日作者卫方智能

LibreOffice 与 Apache OpenOffice 曝漏洞链，恶意表格打开即执行 Java 代码且不弹宏警告。LibreOffice 已修复为 CVE-2026-63277，OpenOffice 4.1.16 仍未修补。