云安全 - 卫方智能网络安全资讯平台

PixelLeak：AI 编程智能体向公开 GitHub 仓库上传 1.3 万张内部截图

2026年10月1日作者卫方智能

Glow Security 披露 PixelLeak：AI 编程智能体为绕开 GitHub CLI 无法向私有仓库 PR 附图限制，把 1.3 万余张内部截图传到公开仓库，涉及 343 家机构与 900 多个代码库。

2026年9月30日作者卫方智能

UpGuard 披露超过 16000 个 Supabase 数据库因 RLS 缺失与公开密钥误用，导致数据表可被公开读取，泄露个人身份信息、明文密码与认证令牌。案例覆盖代客泊车、移民服务、创作者平台、短信验证码服务与领事机构。

2026年9月29日作者卫方智能

Cloudflare Containers 共享存储池未清零复用的 64KiB 块，Workers 付费账户可读取其他租户容器残留数据，涉及 SQLite 数据库、.env 与凭据文件；官方已于 9 月 19 日完成修复，客户无需操作。

2026年9月22日作者卫方智能

微软披露 Azure AI Foundry 关键功能缺失认证漏洞 CVE-2026-85889，CVSS 10.0，未认证攻击者可经网络提权；同批修复 M365 Copilot 命令注入与 Azure 数据库越权等缺陷，评分 9.6 至 9.9，均已在服务端缓解。

2026年9月18日作者卫方智能

CloudSEK 披露钓鱼即服务平台 BigBear 2.0，其 42 台 VPS 被用于攻击 Microsoft 365 账号，已确认 258 家机构、5000 余条凭证记录外泄，其中 474 次完成了 MFA 绕过式认证，波及 40 多个国家。

2026年9月16日作者卫方智能

F5 蜜罐在 8 月记录 807 次攻击会话、约 3.2 万次原始事件，攻击者利用 Vite 文件读取绕过漏洞 CVE-2026-39364 扫描公网暴露的开发服务器，批量窃取 .env、AWS 密钥、Azure 令牌与 Terraform state。

2026年9月15日作者卫方智能

微软 9 月 13 日披露针对 Microsoft 365 的活跃攻击：攻击者自 2026 年 5 月起冒充内部 IT 服务台，通过电话与短信诱导员工在仿冒登录页重新注册通行密钥或 MFA，随后注册自有认证方式建立持久化，并经 Graph API 高速外传云数据。

2026年9月13日作者卫方智能

Google Cloud Agent Development Kit for Python 被披露代码注入漏洞 CVE-2026-79696，CVSS 10.0。装有 pytest 的 2.0.0 至 2.6.0 版本可被未认证攻击者通过构造测试会话回放执行任意代码。

2026年9月5日作者卫方智能

微软 9 月 3 日披露 Azure AI Language Authoring 认证缺失漏洞 CVE-2026-70352 与 Entra ID B2C 授权绕过漏洞 CVE-2026-83711，双双 CVSS 10.0，服务器端修复已部署，客户无需操作但应核查活动日志。