邮件安全 - 卫方智能网络安全资讯平台

MTA-STS 邮件传输加密加固实战配置

2026年10月7日作者卫方智能

MTA-STS 邮件传输加固教程：用 DNS 策略声明加 HTTPS 托管策略文件，强制对端使用有效证书的 TLS，配合 TLS-RPT 获取失败报告，附策略文件、Nginx 托管配置与 testing 到 enforce 的切换验证。

2026年10月6日作者卫方智能

微软带外重发 2026 年 9 月 Exchange Server 安全更新 V2，补上 CVE-2026-96940 授权缺陷。该漏洞 CVSS 8.8，已认证攻击者可在同租户内读取他人邮箱与附件，且已安装 9 月原版更新的服务器不受保护。

2026年10月3日作者卫方智能

钓鱼邮件处置完整流程：Postfix 限制批量投递、Rspamd 拦截高危附件与双扩展名、Sieve 隔离区与上报入口、Message-ID 统计影响面、会话吊销与凭据重置，附网关封禁规则。

2026年10月2日作者卫方智能

Fortinet 10 月 1 日披露 FortiMail 管理界面路径遍历与 NULL 字节中和缺陷 CVE-2026-104286，未认证攻击者可通过构造 HTTP 请求写入任意文件并执行代码，CVSS 9.8，已在野利用并进入 CISA KEV。

2026年9月29日作者卫方智能

服务器被列入黑名单多因 SMTP 开放中继。本文给出 Postfix 收敛 mynetworks、补齐 reject_unauth_destination、启用 SASL 认证与发信速率限制的完整配置，附 nc 与 swaks 四项外部验证方法。

2026年9月27日作者卫方智能

Zimbra 协作套件 OnlyOffice 组件曝未认证路径遍历漏洞，CVSS 9.8，攻击者借公开 Briefcase 文档篡改未签名字段即可写入文件并执行命令。官方修复版本 10.1.21，同批还修了三个 9.3 分存储型 XSS。

2026年9月25日作者卫方智能

加拿大网络安全中心 9 月 24 日更新通告，确认 5 月已修补的 Roundcube 预认证 SQL 注入 CVE-2026-48842 正被在野利用。Shadowserver 追踪到 52.3 万个公网实例，cPanel 默认预装该组件。

2026年9月15日作者卫方智能

思科 9 月 14 日披露 Secure Email Gateway 邮件解析 SQL 注入漏洞 CVE-2026-76461，CVSS 9.8，未认证远程攻击者发送一封特制邮件即可取得 root 权限。CISA 同日纳入 KEV，9 月 17 日前须修复，官方无缓解措施。

2026年9月7日作者卫方智能

Microsoft Exchange 认证绕过漏洞 CVE-2026-62911（CVSS 8.0）补丁已发布近一个月，公开 PoC 使攻击门槛大幅降低，Shadowserver 监测到 21899 个暴露 IP 仍未修复，德国 85% 本地部署未打补丁。

2026年8月18日作者卫方智能

Symantec 披露中国背景黑客组织 Jewelbug（Earth Alux/REF7707）通过共享 webmail 模板注入 JavaScript 劫持 15 个中东国家政府机构账户，同一 C2 面板并行运营 OKX/Binance 高仿钓鱼站加密货币诈骗。

2026年8月18日作者卫方智能

ShinyHunters 通过社工攻击入侵 RingCentral 云通信平台，盗取 623GB 数据遭拒后公开 280GB 压缩包，Have I Been Pwned 确认波及 160 万账户姓名邮箱电话住址。

2026年8月10日作者卫方智能

SPF、DKIM、DMARC 三项邮件认证协议配置全流程：DNS 记录编写、opendkim 密钥生成与 Postfix 集成、DMARC 策略演进与报告监控，附验证命令与常见问题。