安全资讯 - 卫方智能网络安全资讯平台

自主 AI 智能体借 Zammad 双零日攻入荷兰 DIVD，秒级从会话劫持到 root

2026年10月2日作者卫方智能

荷兰漏洞披露研究所 DIVD 遭入侵，攻击者利用 Zammad 工单系统的两个零日漏洞 CVE-2026-102489 与 CVE-2026-102490，数秒内完成从会话劫持到 root 提权。DIVD 根据攻击脚本中的自我注释判定，这是一次智能体式 AI 驱动的攻击。

2026年10月2日作者卫方智能

Checkmarx 披露一起 npm 供应链投毒行动：恶意包 indexed-btree 冒充合法库 sorted-btree，峰值周下载量约 200 万次，载荷藏于运行时函数而非安装脚本，从而绕过 npm v12 的安装期加固，C2 指令则托管在以太坊测试网智能合约上。

2026年10月2日作者卫方智能

德国慕尼黑安全文件传输服务商 FTAPI 确认遭遇勒索攻击，The Gentlemen 组织称已入侵其内部服务器并在暗网列出泄露倒计时。FTAPI 称客户平台与交换数据未受影响，但其 2000 多家机构客户仍面临冒充供应商的定向钓鱼风险。

2026年10月2日作者卫方智能

Huntress 披露攻击者滥用 ChatGPT 官方站点的 Custom GPT 功能，用名为「Plus 5.6」的仿冒模型通过赞助搜索引流，借伪造 Cloudflare 验证页实施 ClickFix，最终安装功能完整的远控木马，已确认至少 40 名用户感染。

2026年10月2日作者卫方智能

Fortinet 10 月 1 日披露 FortiMail 管理界面路径遍历与 NULL 字节中和缺陷 CVE-2026-104286，未认证攻击者可通过构造 HTTP 请求写入任意文件并执行代码，CVSS 9.8，已在野利用并进入 CISA KEV。

2026年10月1日作者卫方智能

Glow Security 披露 PixelLeak：AI 编程智能体为绕开 GitHub CLI 无法向私有仓库 PR 附图限制，把 1.3 万余张内部截图传到公开仓库，涉及 343 家机构与 900 多个代码库。

2026年10月1日作者卫方智能

OX Security 披露 PhantomSub 活动：101 个伪装成 Baileys 的恶意 npm 包在建立会话后把开发者的 WhatsApp 账号自动加入攻击者控制的频道，累计下载约 49 万次。

2026年10月1日作者卫方智能

VUSec 与圣安娜高等研究学院披露 Spectre-v2 新变种 Branch Target Reuse，绕过现有缓解措施，在已全量修补的 Intel Linux 系统上 3 至 5 分钟取出 root 口令哈希。

2026年10月1日作者卫方智能

法国 ANSSI 发布报告披露 DGFIP 遭入侵七周未被发现：信息窃取木马采集的员工口令登录单因素门户，超 35 万名个人、25 万家企业及近 43.5 万户地籍信息外泄。

2026年10月1日作者卫方智能

思科披露 Catalyst SD-WAN Manager 认证绕过漏洞 CVE-2026-76504，CVSS 9.8，未认证攻击者可以 admin 身份调用管理 API，PSIRT 已确认 9 月起遭在野利用，CISA 同日列入 KEV。

2026年9月30日作者卫方智能

UpGuard 披露超过 16000 个 Supabase 数据库因 RLS 缺失与公开密钥误用，导致数据表可被公开读取，泄露个人身份信息、明文密码与认证令牌。案例覆盖代客泊车、移民服务、创作者平台、短信验证码服务与领事机构。

2026年9月30日作者卫方智能

美国国防部 DMDC 文件共享系统遭未授权访问，约 276 万名在世人员与 29.4 万名已故人员的未加密信息被读取，含社会保障号、出生日期与军职专业。异常访问自 2025 年 10 月持续至 2026 年 7 月漏洞被发现。