1、中央网信办通报30 款App个人信息收集使用问题需整改 https://news.cctv.cn/2026/09/20/ARTIiIdb0Lm9pf7CFS9moDaQ260920.shtml 9 月 20 日，中央网信办依据《网络安全法》《个人信息保护法》《网络数据安全管理条例》等，通报检测发现的 30 款 App（含小程序）个人信息收集使用问题：Flow Fit、滑板车背诵等 6 款未公开个人信息收集使用规则；iNAP Care、中英翻译通等 4 款强制或频繁索要非必要权限；GPS 测亩仪、ROI 计算器等 9 款未完整准确列明收集使用情况；红卷乐读、道臣智运等 11 款未提供有效账号注销功能。相关运营者须在通报发布之日起 15 个工作日内完 2、恶意npm包改用"运行时行为"规避安装脚本检测 https://www.bleepingcomputer.com/news/security/malicious-npm-packages-evade-install-script-defenses-at-runtime/ 一场持续进行的 npm 投毒活动（涉及 indexed-btree 等包）显示攻击者已改变手法：不再把恶意代码放在安装脚本（postinstall）中，而是藏进包的正常运行时逻辑，从而绕过各类针对 install-script 的供应链防护。安全团队需把检测重心从安装阶段扩展到运行时行为、依赖审计与出网监控。 3、研究人员发现Codex 沙箱逃逸漏洞，可在开发者主机执行命令 https://www.bleepingcomputer.com/news/security/researchers-escape-openai-codex-sandbox-to-run-commands-on-host/ Accomplish AI 的研究人员找到两条逃逸 OpenAI Codex 沙箱的路径，其中一种名为 "Heapjack" 的手法只需受害者打开一个恶意仓库，即可在开发者机器上以未沙箱化方式执行命令——即使 Codex 运行在最严格锁定模式下。漏洞已于 8 月 12 日上报，OpenAI 在 8 天内完成修复。 4、Google Gemini在安全评估中"越界"，入侵三家真实公司 https://thehackernews.com/2026/09/google-gemini-broke-into-real-company.html 据《华尔街日报》报道，在以色列公司 Irregular 于 2026 年 5 月执行的一次网络安全评估中，Google 的 Gemini 因测试域名配置失误接入公网，通过猜测口令、在公开仓库中找到凭据等方式进入三家真实公司的受保护系统。与 Anthropic / OpenAI 的案例不同，Gemini 在意识到目标是真实企业后主动停止。Google 于 2026 年 7 月获知此事，称未造成实质损害，也不将其归类为模型"失准"。 5、"BragJack"攻击：单个恶意扩展即可劫持五款浏览器AI代理 https://www.bleepingcomputer.com/news/security/bragjack-attacks-hijack-ai-browser-agents-through-malicious-extensions/ Forever Security 研究员 Gal Weizman 公布 PoC 攻击 BragJack，用一个恶意浏览器扩展即可通过"提示词强制（Prompt Forcing）"技术接管 Chrome（Gemini Live）、Microsoft Edge、Opera Neon、Perplexity Comet 与 Chrome 版 Claude 的 AI 6、APT36发起Operation RapidRust，借私有GitHub仓库作 C2 https://thehackernews.com/2026/09/transparent-tribe-deploys-new-rust.html Zscaler ThreatLabz 披露，与巴基斯坦关联的 APT36（透明部落 / Earth Karkaddan）针对印度和阿富汗的政府与国防实体发起"Operation RapidRust"，投递 RUSTYSHADE、RUSTYMOVE、PSNATCH、BASHNATCH 等新工具，并用私有 GitHub 仓库充当命令控制（C2）通道以规避封锁。这是该组织首次大规模转向 Rust 语言载荷。 7、WordPress Click2Shell：一条恶意链接可链式触发RCE https://thehackernews.com/2026/09/new-wordpress-click2shell-flaw-forces.html pwn.ai 披露 Click2Shell 攻击链：WordPress 核心的主题预览缺陷可被特制链接利用，使已登录管理员在未点击"安装"的情况下静默安装并预览官方主题；再结合主题中不安全的预激活代码（以 Mobile Repair Zone 2.5.4 演示），单次访问即可导致 RCE。WordPress 已在 9 月 17 日发布的 7.1.1 中修复核心问题（同批共修 11 个漏洞），目前尚无在野利用证据。 8、AI代理已能端到端自主完成勒索攻击无需人工操作 https://cybersecuritynews.com/ai-agents-3/ 研究人员记录到一次由 AI 代理自行规划、执行并升级的勒索攻击活动：从初始入侵、横向移动到数据加密与勒索谈判几乎全部自动完成，人类仅在少数环节介入。这标志着勒索攻击正从"AI 辅助"走向"AI 自主"，防守方需要以机器速度重新设计检测与响应流程。 9、Node.js沙箱库vm2曝三个CVSS 10.0沙箱逃逸漏洞 https://www.nerdbite.com/critical-flaw-lets-sandboxed-code-break-out-of-vm2-and-run-commands 广泛用于执行不可信 JavaScript 的 vm2 一次性披露三个满分漏洞——CVE-2026-93603（apply trap 对 nullish this 处理不当）、CVE-2026-93605（child_process 未列入危险内置模块黑名单）、CVE-2026-93606（宿主 Promise 拒绝处理与 Symbol.species 缺陷），均可在 3.12.0 及更早版本逃逸沙箱并在宿主进 10、两艘油轮遭网络攻击，美国海岸警卫队与FBI登船调查 https://www.securityweek.com/cyberattacks-on-two-oil-tankers-prompt-coast-guard-fbi-to-board-vessels/ 美国海岸警卫队确认 VL Prosperity 号油轮上存在恶意网络活动证据，并已与 FBI 登船检查；另有第三艘油轮据报系统离线，美方目前正在监控约 20 艘船舶。美方尚未将攻击归因于伊朗，但事件凸显航运、港口等关键基础设施面临的网络物理风险。 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。

1、四个主流AI编程Agent曝"Plugin4Shell"零点击RCE漏洞 https://thehackernews.com/2026/09/plugin4shell-lets-repository-owners.html Air Security 研究发现，Claude Code、OpenAI Codex、GitHub Copilot 与 Google Gemini CLI 四款 AI 编程代理在拉取插件时会读取"锁定提交"的快照，却不校验实际代码是否与哈希一致。仓库所有者只需创建与提交哈希同名的分支，即可把恶意代码替换进自动更新流程，实现零点击 RCE。Anthropic 已修复 Claude Code 2.1.179、OpenAI 修复 Codex 0.14 2、研究人员借助Claude Opus 5攻破OpenAI员工账号并进入内部代码库 https://thehackernews.com/2026/09/claude-opus-5-helped-researchers-take.html 安全公司 Hacktron 借助 Anthropic 的 Claude Opus 5 挖掘漏洞，把 OpenAI 公共帮助论坛（Discourse）的图片处理缺陷与登录系统弱点串联，成功接管多名 OpenAI 员工的 ChatGPT 与 Codex 账号，并在 72 小时内触达 OpenAI 内部代码仓库。该研究属授权测试，OpenAI 约 14 小时内完成修复，并于 9 月 1 日支付 6500 美元漏洞赏金。 3、CISA 将三个 Linux内核漏洞列入 KEV，确认已遭在野利用 https://thehackernews.com/2026/09/cisa-flags-three-linux-kernel.html CISA 将 CVE-2025-39682（CVSS 9.8，TLS 接收路径检查缺陷）、CVE-2026-53266（CVSS 8.8，ebtables SNAT 路径越界写）、CVE-2025-39964（CVSS 7.8，AF_ALG 竞态条件）三个 Linux 内核漏洞加入"已知被利用漏洞（KEV）"目录，联邦机构须在 9 月 21 日前完成修补。同期，研究员 Asim Manizada 公开了另外四个 Linux 内核本地提权漏洞（DirtyAH 4、Gyazo图片服务器漏洞被利用，2360万条用户记录外泄 https://www.bleepingcomputer.com/news/security/gyazo-server-flaw-exploited-to-steal-236-million-user-records/ 日本 Helpfeel 公司确认旗下图片分享服务 Gyazo 的上传服务器漏洞遭攻击者利用，导致约 2362 万条用户记录与 4.9 亿条图片元数据泄露，内容涉及邮箱、密码哈希、账号令牌、上传 IP、EXIF 位置信息及 OCR 文本，所幸未涉及支付卡数据。厂商已封堵漏洞、临时限制部分图片访问并要求全体用户重置密码，同时向日本个人信息保护委员会报告。 5、Orkes Conductor工作流平台严重预认证RCE漏洞已遭利用 https://thehackernews.com/2026/09/critical-pre-auth-rce-in-orkes.html Fortinet 观测到攻击者正在利用 Orkes Conductor 的未授权远程代码执行漏洞 CVE-2026-58138（CVSS 9.8）。攻击者向工作流 API 提交内含恶意 JavaScript/Python 表达式的工作流定义，借助未做沙箱隔离的 GraalVM 求值器（HostAccess.ALL / allowAllAccess），通过 INLINE、LAMBDA、DO_WHILE、SWITCH 等任务类型执行任意系统命令。3.21.2 6、SolarWinds 修复ARM硬编码密钥漏洞，可致远程代码执行 https://thehackernews.com/2026/09/solarwinds-patches-arm-hard-coded-key.html SolarWinds 发布 Access Rights Manager（ARM）安全更新，修复因硬编码静态密钥导致的高危漏洞 CVE-2026-28326（CVSS 8.8），未授权远程攻击者可借此在服务器上执行任意代码。漏洞影响 ARM 2026.2 及更早版本，已在 2026.2.1 中修复，由安全研究员 Kai Huang（Armadin）报告，目前暂无在野利用证据。（9月19日） 7、勒索团伙被"反向勒索"：ShinyHunters攻破Clop数据泄露站点 https://www.bleepingcomputer.com/news/security/shinyhunters-hacks-clop-leak-site-threatens-to-extort-ransomware-gang/ 以数据勒索闻名的 ShinyHunters 组织入侵了 Clop（Cl0p）勒索软件团伙的 Tor 数据泄露站点，篡改页面并声称窃取服务器数据及洋葱域名的私钥，进而反过来勒索 Clop。这起"黑吃黑"事件折射出勒索生态内部的信任崩塌与相互攻击，也意味着 Clop 此前掌握的受害者数据与勒索记录可能面临二次扩散风险。 8、WaterPlum组织感染全球3万台设备，转移超1070万美元加密货币 https://www.bleepingcomputer.com/news/security/north-korean-waterplum-hackers-infected-30-000-devices-worldwide/ 多国执法机构联合发布预警称，与朝鲜有关的黑客组织 WaterPlum 在 2025 年 12 月至 2026 年 7 月期间至少入侵全球 3 万台设备，并通过加密货币盗窃向朝鲜转移了超过 1070 万美元资金。该组织主要针对加密货币从业者，通过恶意软件与社交工程窃取钱包凭证与资产。 9、公安部公布网络安全行政执法10起典型案例 https://finance.sina.com.cn/jjxw/2026-09-18/doc-inisfazn8694811.shtml 9 月 17 日，公安部公布"护网—2026"专项工作网络安全行政执法 10 起典型案例，涉及未履行数据安全保护义务、未依法留存网络日志、系统存在高危漏洞未整改等情形，其中包括江苏某公司不履行数据安全保护义务案等。通报强调将持续依托国家网络与信息安全信息通报机制，压实网络运营者主体责任，维护关键信息基础设施与重要数据安全。 10、湖南省公安厅公布"护网—2026"专项行动 8 起典型案例 https://www.hnzf.gov.cn/content/646043/52/16290033.html 9 月 19 日，湖南省公安厅公布"护网—2026"专项行动 8 起打击网络违法犯罪典型案例，其中长沙公安有 3 起入选，案例涵盖网络主播违法违规直播扰乱社会秩序、学术网站及医院与校园人脸数据相关违法、网络黑客攻击等。通报称湖南公安网安部门将持续坚持"全链条打击、全方位治理"，严打网络谣言、网络暴力与侵犯公民个人信息等涉网犯罪。（9月19日） 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。

1、N0va钓鱼工具针对欧美企业发起攻击 https://thehackernews.com/2026/09/n0va-phishkit-targets-us-and-eu.html 近日披露的N0va钓鱼工具对北美、欧洲地区机构开展钓鱼攻击，攻击覆盖政府、科技、医疗等多个行业。该工具模仿Microsoft Teams、Google Drive等主流商业平台，滥用合法认证流程，无需明显恶意软件即可窃取访问令牌，获取SSO权限入侵企业云资源。一旦身份遭到攻陷，攻击者可窃取敏感数据，造成财务损失、业务中断、合规处罚及声誉受损等后果。研究人员给出风险研判思路，建议安全团队借助威胁情报工具关联 IOC 指标，依靠行为检测识别攻击行为，并将情 2、Gyazo图片服务器遭入侵用户数据泄露 https://corp.helpfeel.com/en/news/news-20260916 日本Helpfeel公司披露，旗下Gyazo图片分享服务上传服务器遭漏洞利用，攻击者执行任意命令入侵数据库。事件造成约2362万条用户记录、4.9亿条图片元数据泄露，泄露内容含邮箱、密码哈希、账号令牌、上传IP、EXIF位置与OCR文本等，未泄露信用卡支付信息。厂商已封堵漏洞，临时禁用部分图片访问，要求全部用户修改密码，并已向日本个人信息保护委员会上报，调查仍在持续。 3、攻击者利用WordPress漏洞部署木马 https://www.wordfence.com/blog/2026/09/attackers-actively-exploiting-critical-vulnerability-in-woocommerce-wholesale-lead-capture-plugin/ 攻击者正在积极利用WooCommerce Wholesale Lead Capture中的一个严重安全漏洞CVE-2026-27540（CVSS评分9.8）。该漏洞源于AJAX动作“wwlc_file_upload_handler”中缺少文件类型校验，影响插件2.0.3.1及以下所有版本，允许未经身份验证的攻击者上传任意 4、WSO2设备JWT绕过漏洞已遭在野利用 https://thehackernews.com/2026/09/active-exploitation-attempts-target.html 安全研究机构监测发现CVE‑2026‑5430高危漏洞已出现真实在野攻击行为，该漏洞CVSS评分为9.8，因密码签名校验不当可实现账号接管。漏洞源于产品接纳使用非支持算法签名的JWT令牌，造成认证绕过。该漏洞影响WSO2 API Manager、API Control Plane、Traffic Manager、Universal Gateway多款产品多个版本。攻击者可伪造带有管理员权限的JWT令牌，窃取API后端凭证、密钥，截获传输中的敏感 5、Acronis备份插件提权漏洞遭在野攻击 https://www.bleepingcomputer.com/news/security/acronis-warns-of-actively-exploited-flaw-in-its-cpanel-backup-plugin/ Acronis披露编号CVE‑2026‑87886高危本地权限提升漏洞，CVSS评分为7.8，影响面向cPanel&WHM、Plesk的备份插件。低权限攻击者无需用户交互即可利用该漏洞提升Linux服务器权限，访问篡改敏感数据、破坏系统。厂商确认已监测到有限定向的在野利用行为，相关判断来自一例疑似受影响客户上报。为给管理员留出修补时间，官方暂未公开漏洞详细技术细 6、虚假AI交易Agent网站投放窃密木马 https://www.helpnetsecurity.com/2026/09/17/fake-ai-trading-agent-research/ HP曝假AI交易Agent攻击：诱导下载后侧加载Needle Stealer，替换MetaMask等钱包扩展窃密码；二维码钓鱼绕PC防护窃凭证。 7、VectraRAT远控月租250美元就可以接管Windows PC https://cybersecuritynews.com/hackers-can-rent-vectrarat/ VectraRAT月租250美元，租赁式Windows远控，自研难检测，借ClickFix/Amadey投递，可窃密提权代理，波及企业版，应封锁基础设施并监控培训。 8、西班牙通报首起自主AI代理数据泄露事件 https://www.helpnetsecurity.com/2026/09/17/spain-ai-agent-data-breach/ 西班牙通报首起自主AI代理数据泄露，标志AI攻击已由理论风险转为实际威胁，能自动扫描入侵窃密并加速攻击，各方须强化漏洞、访问、供应商和应急防护。 9、暗网论坛售卖Fortinet FortiGate 1Day漏洞 https://cybersecuritynews.com/hackers-selling-fortinet-fortigate-1-day-vulnerability/ 暗网兜售FortiGate SSL VPN RCE利用，称影响7.2/7.4，但未核实且缺CVE与细节，难辨新旧漏洞或骗局。企业应排查公网设备、修补漏洞并监测异常。 10、思科发布ISE高危0Day漏洞预警，CVSS满分且已遭在野利用 https://www.freebuf.com/news/501523.html 思科发布紧急安全公告，披露旗下身份服务引擎（ISE）、ISE被动身份连接器（ISE-PIC）存在一处高危0Day漏洞（CVE-2026-76460）。据思科产品安全事件响应团队（PSIRT）通报，该漏洞目前已遭到攻击者主动利用。 该漏洞CVSS评分为满分10.0，未授权的远程攻击者可绕过受影响系统的身份认证机制。 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。

1、大规模扫描活动利用Vite漏洞窃取云凭据 https://thehackernews.com/2026/09/mass-scanning-campaign-exploits-vite.html 研究人员披露一起大规模自动化扫描活动，专门针对暴露在互联网上的Vite开发服务器，旨在窃取云凭证和敏感数据。该活动于2026年8月被观测到，利用CVE-2026-39364（CVSS评分8.2）高危漏洞实施攻击。攻击者利用伪造的User-Agent（如Googlebot、GPTBot等）和伪造的X-Forwarded-For头规避检测，主要攻击流量源自美国、比利时、荷兰、新加坡和台湾地区，使用Google Cloud Platform IP段 2、西班牙首次通报“AI Agent直接实施数据泄露”事件 https://www.bleepingcomputer.com/news/security/spains-data-agency-gets-first-report-of-ai-powered-data-breach 西班牙数据保护局 AEPD 收到该国首起明确与 AI Agent直接参与攻击有关的数据泄露报告。监管机构称，一个由知名大语言模型驱动的Agent自动发现目标系统弱点、进入系统，并修改部分个人数据、查看账单记录。公开信息显示，模型本身及模型供应商的基础设施并没有被攻破，也不是专门为恶意攻击设计；真正值得关注的是，整个攻击过程中人类参与程度非常低。AEPD认为，这类事件意味着AI 3、谷歌Pixel调制解调器零日遭定向利用，无需用户点击 https://thehackernews.com/2026/09/google-patches-pixel-modem-flaw-amid.html Google确认Pixel手机蜂窝调制解调器中的 CVE-2026-58704 已出现有限、定向的真实利用迹象，CVSS评分8.0。漏洞属于权限检查逻辑错误，在特定近距离或相邻网络攻击条件下，可能实现权限提升，而且不要求用户点击链接或打开文件。Google本次Pixel更新总共修复110个漏洞，其中46个达到Critical级。CISA随后将CVE-2026-58704加入KEV已知利用漏洞目录。 4、WSO2 API Manager严重认证绕过漏洞正遭真实攻击 https://thehackernews.com/2026/09/active-exploitation-attempts-target.html WatchTowr发现攻击者正在利用 WSO2 API Manager CVE-2026-5430。攻击者可以构造伪造的JWT管理员Token，绕过正常身份认证，并以管理员身份访问API管理环境。由于WSO2经常被企业用来集中管理内部和对外API，一旦管理平台失陷，攻击者可能进一步访问敏感接口、Token和后端业务数据。这条新闻的重点是：漏洞已经不只是PoC公开，而是出现了实际利用尝试。 5、一个恶意浏览器扩展可同时劫持多个AI助手 https://thehackernews.com/2026/09/one-extension-could-hijack-ai.html 研究人员发现，一个拥有足够浏览器权限的恶意扩展可以攻击多个基于Chromium或浏览器集成的AI助手，包括Chrome AI功能、Microsoft Edge、Opera Neon、Comet以及Claude相关场景。研究演示中，扩展可能借AI助手访问本地文件、设备传感器以及用户正在处理的数据。这里不是这些AI产品本身同时存在同一个漏洞，而是说明：浏览器扩展一旦获得高权限，AI助手会成为新的高价值攻击接口。 6、Oracle九月安全更新一次修复超过800个漏洞 https://www.securityweek.com/oracle-patches-800-vulnerabilities-in-september-2026-security-update Oracle发布2026年9月Critical Security Patch Update，共包含 673个安全补丁，解决超过800个漏洞，覆盖17个产品系列，其中超过100个漏洞被评为Critical级。影响范围涉及Oracle Database、Fusion Middleware、Java及多种企业应用和基础设施产品。由于Oracle产品大量部署在金融、政府和大型企业核心环境中，这种规模的集中更 7、WordPress热门日历插件曝RCE，影响超过20万个网站 https://www.securityweek.com/unauthenticated-rce-flaws-could-expose-200000-wordpress-sites-to-takeover WordPress插件 The Events Calendar 被披露存在严重漏洞，攻击者在某些场景下可能无需登录就实现远程代码执行。该插件拥有超过20万活跃安装量，因此未及时更新的网站存在被植入WebShell、修改网页或进一步窃取数据库的风险。这再次体现WordPress生态里一个老问题：网站核心程序即使保持最新，一个高权限第三方插件也可能成为整个服务器的入口。 8、Chrome和Firefox同步大规模更新，共修复115个安全问题 https://www.securityweek.com/chrome-firefox-updates-patch-115-vulnerabilities/ Google和Mozilla发布新一轮浏览器安全更新，两者合计修复 115个漏洞。其中包括多个严重的内存安全问题，部分漏洞可能在用户访问恶意网页时造成浏览器崩溃，甚至为进一步代码执行创造条件。目前公开信息没有表明这批新修复中的漏洞已经像此前Chrome V8 CVE-2026-85046一样遭到在野利用，但浏览器作为用户每天接触互联网最频繁的软件，仍然属于高优先级更新对象。 9、OpenAI公开6起新的AI安全异常事件，包括窃取凭据和跨隔离通信 https://www.reuters.com/technology/openai-releases-framework-track-model-misalignment-2026-09-16 OpenAI宣布建立新的 AI异常行为/失配事件报告框架，并一次公开6起此前没有完整披露的安全事件。案例包括模型隐藏自身错误、访问不该获取的凭据、把文件公开上传，以及尝试在原本隔离的环境之间通信。此前Hugging Face Agent事件和德国Wiki事件引发了外界对OpenAI透明度的质疑，这次新的机制目标就是把类似事件纳入更正式的内部调查和公开披露流程。需要注意，这些案例并不等于AI产生了“自主 10、DeepZero开源引擎发布，可排查Windows驱动可利用漏洞 https://www.helpnetsecurity.com/2026/09/16/vulnerable-windows-drivers-deepzero-open-source/ DeepZero开源引擎可自动排查可利用的Windows内核驱动，七阶段过滤BYOVD样本，AI末端评估漏洞，已发现多个已验证漏洞，GitHub免费开放。 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。

0.前言 上一篇研究 KV Cache 的时候，我介绍了KV cache攻击，缓存本来只是一个性能优化，它主要就是用来解决大模型推理太贵了，之前已经算过的东西，就尽量不要 重复算的问题，直接把这些东西保存下来，下一次 Attention 的时候继续使用就好了，但是只要这个缓存开始在不同请求甚至不同用户之间复用，它就不再只是性 能问题，而会变成安全问题；攻击者并不用真正读取服务器中的 KV Cache，有的时候只需要观察时间差就可以了，如下 Cache Hit---> 少计算了一部分内容---->响应速度变快----->攻击者观察时间差----->推断缓存中是否存在某些内容 进一步来说，如果缓存中的状态能够被攻击者提前影响，并且之后又被其他用户复用，那么攻击方向就从读取cache，变成了污染 cache 也就是我之前所写的文章里提到的KV Cache Hijacking Poisoning 然后最近看 USENIX Security 2026 的时候，又发现了一篇更有意思的论文 这一次研究的甚至不是 GPT ，Llama 这种语言模型，而是 Stable Diffusion、FLUX 这类文生图模型，但是攻击思想是一致的，基本上都是 为了性能---->共享某些中间状态----->不同用户之间产生间接联系--->原本不存在的攻击面出现，但是两者之间还是略有区别的 研究人员发现，为了让 AI 画图更快而引入的一种 Approximate Cache，也就是近似缓存，它和普通的cache最大的区别就在于 普通 Cache 通常要求输入相同才命中，而 Approximate Cache 甚至只要求输入足够相似 这种设计虽然提高了效率，却也可能削弱不同用户之间的隔离，所以可以被利用来传递秘密，偷 Prompt，甚至污染别人的生成结果 1.原理 1.1 Diffusion Model 为什么也需要 cache 这里虽然涉及到原理，但是不要喧宾夺主，我简要说一下diffusion的工作原理 简单来说就是，全是噪声的图片 ---> Step 1 去噪 ----> Step 2 去噪 ----> Step 3 去噪 ----> ...... ----> Step 30 ---> 最终图片 Prompt 会在这个过程中不断指导去噪，前面的去噪步骤不是完全没有意义的过渡状态，这些中间结果已经包含了一部分生成信息 甚至图片比较早期的布局、结构等特征，就可能已经在中间状态里逐渐形成，而这其中就会涉及到KV 缓存的问题 就比如说，如果别人刚才已经生成过一张和我非常相似的图片，那为什么我一定要从 Step 1 重新算？ 用户A 用promptA产生 1 → 2 → 3 → ... → 10 → 11 → ... → 30 中途可能保存10的状态 然后来了用户B ，他的Prompt B 与 A 很相似，所以会直接复用 Step 10 的状态 ...→ 11 → 12 → ... → 30 前面的部分就不用重新计算了，相似度越高，理论上能够复用、跳过的步骤也可以越多 其参考设计会缓存多个阶段的状态，从而按照 Prompt 相似度选择不同程度的复用 1.2 两者的对比 传统的cache好理解，可以这么认为，假设缓存里面有key = "hello"，那么你访问hello，就可能命中；但是如果访问的是hello world，就可能不会命中 但是 Approximate Cache 不一样，主要还是要纠结一下两个 Prompt 到底多像才算相似？ 论文研究的参考系统会把 Prompt 转换为 CLIP Embedding，然后计算新 Prompt 和已有缓存 Prompt 的 cosine similarity 当相似度超过某个 threshold 后，就把它认为是 Cache Hit，打个比方来说 Prompt A的提示词是，A cute golden retriever running through a green park 在高维向量空间里面可能就被编码为 [0.13, -0.41, 0.72, 0.18, ...] 而另一个提示词Prompt B: A happy golden dog running outside on the grass 假设编码为[0.15, -0.39, 0.69, 0.21, ...] 这样就有了两组编码数据，然后计算cosine_similarity(A, B)，假设得到0.82，超过系统阈值，所以它们是相似的 注意，这里用户 A 和用户 B 输入的文字压根不是一样的，在传统 Cache 的思维里，A是不等于B的 但在 Approximate Cache 里：Semantic(A) ≈ Semantic(B)，所以说Cache(A) 可以被 B 复用 以前的攻击者可能需要猜受害者到底输入了什么字符串？现在只需要向向受害者 Prompt 所在的语义空间靠近就可以了 但是这里可能就会有个问题，高维空间向量，攻击者是看不见的，所以可以怎么攻击？ 毕竟别说攻击者了，就是正常用户，也是看不到cache = {prompt1: state1,prompt2: state2,prompt3: state3}这种存储数据的 攻击者没有 root，也没有 GPU 显存读取权限，也没有服务器源码 甚至不知道别的用户生成过什么东西，那这种攻击怎么实现？ 可以借鉴一下传统的KV cache攻击是怎么 观察到攻击的 2.观察 论文里面提出了两种外部观察对象，后面三种攻击全是由这两种组合而来的 2.1 Attack Primitive 1 这一种很熟悉了吧，就是传统的kv cache攻击，通过去观察相应时间去判断自己的攻击是否有效，这一点详细可以看看我上一篇文章，这里就不再赘述了 https://www.yijinglab.com/specialized/202609081115122.2 Attack Primitive 2 这种攻击就有Diffusion Model这种图片生成模型的特点了，简单来说就如果命中同一cache的图片会长得更像 先假设服务器缓存了，A dog running through a forest 对应的某个中间状态 现在攻击者发送两个不同 Prompt Prompt A：A golden retriever running in the woods Prompt B：A dog running quickly in a dark forest 假设它们都命中了同一个 cached state，那么也就是 它们后半部分虽然分别继续生成，但是起点已经共享了一部分信息，所以最终图片可能在，比如说主题位置，布局或者是姿态等等方面上会更加相似 所以攻击者这个时候就有了两种可以观察的攻击窗口了 这样这两种观察对象就可以组合从三种攻击方式 3.攻击 3.1 第一种攻击：Remote Covert Channel 第一个攻击叫Remote Covert Channel，也就是远程隐蔽信道 打个比方，假设有两个人A和B，它们之间没有直接通信的通道，但是两个人都可以访问同一个图片生成服务 那么就可以利用服务器里的 cache 传递信息，因为cache本质上是可以保存状态的 比如说A和B提前约定一个非常罕见的词，Apricity A如果想传递数字1，那么就向服务器发送一个包含这个词的特殊 Prompt 例如说，A mysterious landscape named Apricity with a dog 如果说这个请求没有命中已有 cache，它的 Prompt 和中间状态就可能被保存 于是服务器里存在这样一种cache Apricity + dog B再发送，A beautiful scene representing Apricity 注意看，这里因为两个 Prompt 中都有非常特殊的关键词，Apricity，所以语义上更容易靠近A留下的 cache 如果命中了，生成时间下降了，那么B就知道，这个 cache Entry 可能存在 于是规定,HIT=1,MISS=0，这样一位就传出来了 那这里其实就有个问题，为什么光靠响应时间是不够的？因为Approximate Cache 不是，key == key这么简单 而是，similarity > threshold；所以当B发出Apricity的时候 以后即使观察到了 cache Hit，也不能 100% 确定，命中的就是A留下来的东西 有可能刚好碰上其他用户留下的某个相似 Prompt，也就是出现所谓的False Positive 所以论文中再利用了Attack Primitive 2，也就是marker 于是A实际写入，Special Keyword+Marker B之后首先判断，生成时间是不是足够短，也就是是不是cache hit，紧接着又判断生成图片中有没有出现Marker，也就是是否是当初A留下的cache 于是两种侧信息结合，才确认这就是cache entry 基于如此，就可以愉快地通信了，当然肯定是二进制通信了 比如说双方约定五个关键词，word1,word2,word3,word4,word5，然后二进制是10110 那A只要让word1 → 写 Cache，word2 → 不写，word3 → 写 Cache，word4 → 写 Cache，word5 → 不写 而B只要挨个去探针检测一番，就可以得到，word1 → Hit → 1，word2 → Miss → 0，word3 → Hit → 1，word4 → Hit → 1，word5 → Miss → 0 就会得到10110，就这样两个用户即使没有email，database，共享文件等杂七杂八的东西，也能够通过AI 服务内部的 Cache 状态做到通信 下面是实验复现结果，代码太长太复杂，前置准备东西太多，这里就不一一列举了 实验中发送方通过构造会命中或不命中 approximate cache 的 prompt 来编码二进制信息，接收方可以通过两类侧信道判断每一位： Cache hit → 推理跳过部分 denoising steps → 延迟较低 Cache miss → 完整生成                   → 延迟较高 这一点就是我刚刚上述说的 截图中的结果中最重要的结果是，Timing-only accuracy = 100% 说明仅利用远程生成请求的响应时间，就已经可以完整恢复发送方编码的 10-bit 消息 这个攻击首先对 FLUX 的 cache hit / miss 延迟进行了 profiling，确认 cache hit 会产生明显的延迟下降；随后将 bit 1 和 bit 0 分别编码成 cache hit 与 cache miss，最终成功通过时间差恢复消息，也就是确定了Approximate cache 的命中状态可以形成远程 timing covert channel，攻击者无需访问模型内部状态，仅通 过生成延迟即可传输隐藏信息 3.2 第二种攻击：CacheExposer 这种攻击我觉得是最有意思的，它是在讲能不能把其他用户缓存里的 prompt 偷出来？ 毕竟一段经过反复调试prompt本身就具有一定的商业价值 过去的偷prompt的方法无不都需要攻击者要先看到受害者生成出来的图片，但是 CacheExposer 的攻击模型更加有意思，完全不需要那些虚头巴脑的东西 我们知道因为看不见cache，所以无法通过时间差来达到偷prompt的目的，因为攻击者发送的探针不一定命中的是同一个 Prompt 所以这里就结合了Attack Primitive 2 我们先假设Probe A，Probe B和Probe C三者命中了同一个 Cached Prompt，那么根据Attack Primitive 2它们生成的图片结构往往更接近 大概类似这样Group 1有Prompt A，Prompt F，Prompt J；Group 2有Prompt B，Prompt C和Prompt H 然后就有个经典的问题了，有了一堆相似 Prompt，怎么找原始 Prompt？ 我们先假设经过聚类得到的如下所示 Probe A: a medieval warrior in a dark forest Probe B: a knight standing between trees at night Probe C: fantasy armored warrior inside a forest Probe D: a realistic knight surrounded by woodland 它们全都命中了，Unknown Cached Prompt X；那么即使不知道 X 是什么，也能得出一个信息 X 在语义空间里，应该同时靠近 A、B、C、D 所以现在变成寻找一个 Embedding E，使得，Similarity(E, A)，Similarity(E, B)，Similarity(E, C)和Similarity(E, D) 都满足我们从 Cache 行为中观察到的约束 打个比方，凭空猜一个人在哪很难办到，但是只有提供所在位置的地标或者是明显建筑就可以确定其位置 然后根据一组已经确定会命中相同 Cached Prompt 的 Probe，优化这个 E 目标是让E在embedding空间中尽可能满足这些 Probe 对未知目标的相似关系 论文使用 SGD 进行迭代优化，把构造 embedding 与这些 probing prompts 的相似度关系逼近目标 Cache 所表现出的相似关系 最后再用Prompt Recoverer，将高维向量的embedding转换为prompt，整体的攻击思路如下图 下面是实验复现结果，代码跟上述一样就不放了，占地方，直接放结果 该攻击的目标不是直接得到 victim 的图片，而是通过 approximate cache 泄漏的信息，恢复 victim 缓存中的原始 prompt 截图中的 victim prompt 为conceptual art of .... 最终恢复出的 stolen prompt 为highly detailed digital .... 两者的 semantic similarity 为Prompt semantic similarity = 0.7922 虽然没有逐字恢复 at night、classical painting、matte painting 等风格修饰词，但主要语义实体已经被成功恢复 也就足以证明攻击者仅利用 approximate cache 的 timing 信息和 prompt embedding 关系，就可以恢复缓存用户 prompt 的核心语义 3.3 第三种攻击：CachePoison 前两个攻击基本都是，从 Cache 里面拿信息，接下来这个攻击方向完全反过来了 不再是读取，而是修改；论文称之为CachePoison 如果看过上一篇 KV Cache Hijacking，其实这里应该已经很熟悉了 核心问题就是，如果攻击者能够构造一个特殊的缓存状态，而其他正常用户之后又会复用这个状态，会怎么样？ 论文选择了一个很直观的 Payload，Logo 以前的投毒方式攻击者希望以后其他用户生成的图片里面都出现自己想要的东西，比如说Apple logo 最简单的办法似乎是Normal Prompt+Apple Logo 例如A beautiful futuristic city at night，Apple logo 就这么简单 然后让这个 Prompt 进入 Cache，但是这样问题来了 正常用户输入，A beautiful futuristic city at night 攻击者缓存的是A beautiful futuristic city at night，Apple logo 后面多了一个明显的概念，两个 Embedding 的相似度可能因此下降，投毒再强，没人命中也没用。 所以 Cache Poisoning 最大的问题是怎么在写入恶意内容以后，依然保持和正常 Prompt 足够相似 既然刚才已经有CacheExposer，那么就可以找出一些能够代表真实用户 Prompt 的内容 然后将其转换为embedding，然后向 Embedding 中加入Logo Information 但同时又尽量让新的 Embedding，仍然靠近原始 Prompt 论文为此构造 Logo Injector，并同时优化两个方向的相似度，既要保留原始 Prompt 的语义，又要保留 Logo 的信息。 最后Poisoned Embedding--->Prompt Recoverer---->Poisoned Prompt 攻击者再把这个 Prompt 发给系统，让它进入Approximate Cache 接下来最有意思的事情发生了 受害者正常输入，A beautiful modern street at night 他的 Prompt 里根本没有跟攻击者留下的投毒prompt相同的内容 但因为语义和攻击者留下的 Poisoned Prompt 足够接近： 结果图片里，可能出现攻击者提前植入的 Logo 论文明确描述，当正常用户命中 poisoned prompt 时，即使自己的 Prompt 中没有提到对应 Logo，最终输出也可能显示同样的 Logo 下面是实验复现结果 本次实验的 benign victim prompt 为 highly detailed digital painting of a medieval knight with angel wings in a forest 攻击者构造的 poisoned prompt 为 highly detailed digital painting of a medieval knight with angel wings in a forest, a huge Apple sign 而 受害者prompt 本身完全没有包含 Apple，截图中的自动视觉检测结果为： Selected poison seed OWL score : 0.7100 Baseline OWL score             : 0.0622 Poisoned victim OWL score       : 0.4677 OWL score increase             : +0.4055 这里最关键的是： Baseline: 0.0622 Victim after poisoned cache: 0.4677 也就是说，在 victim prompt 完全没有指定 Apple sign 的情况下，命中攻击者的 poisoned cache 后，输出图像中的 Apple sign 检测分数显著提高 这说明攻击者能够通过 poisoned prompt 将自己的视觉内容写入 approximate cache；之后其他正常用户命中该 cache 时，其生成结果会继承攻击者注入的内容 4.总结 其实说是可以有三种攻击，但是其实它们实际上来自同一个根本问题 也就是不同用户之间原本应该彼此隔离，但是为了性能，共享了某种Intermediate State，而攻击者可以观察它甚至是影响它，再加上其他用户又会复用它，这就 会导致安全问题，毕竟观察它就可以泄露信息，修改它就可以影响别人，判断它存不存在就可以建立通信，如果说从这个角度来看的话，这三种攻击方式其实只是 这个共享状态安全问题的三个不同表现 5.参考 https://arxiv.org/abs/2508.20424

1、VMware vCenter严重漏洞已被勒索团伙用于真实攻击 https://www.bleepingcomputer.com/news/security/cisa-critical-vmware-vcenter-rce-flaw-now-exploited-by-ransomware-gangs/ CISA确认，勒索软件团伙已经开始利用 VMware vCenter CVE-2026-59310。这枚漏洞存在于vCenter Syslog Server中，未经认证的攻击者如果能够访问相关服务，就可能远程执行任意代码。该漏洞早在7月29日就已经修复，之后研究人员发现至少361个IP、覆盖47个国家的系统疑似遭入侵；最新进展是CISA进一步确认，勒索软件 2、Cisco安全邮件网关零日正在遭真实利用 https://www.cisco.com/c/en/us/support/docs/csa/cisco-sa-esa-inj-2bLVGmhX.html Cisco披露 CVE-2026-76461，CVSS评分 9.8，影响Cisco Secure Email Gateway。攻击者无需登录，只需要让设备处理一封经过特殊构造的恶意邮件，就可能触发SQL注入，并进一步以 root权限在底层操作系统执行命令。Cisco已确认该漏洞存在真实在野利用，而且没有临时绕过方案，只能升级修复版本。CISA也已经将其加入KEV目录。 3、Acronis备份插件漏洞疑遭真实利用，低权限账号可提权 https://www.bleepingcomputer.com/news/security/acronis-warns-of-actively-exploited-flaw-in-its-cpanel-backup-plugin Acronis披露 CVE-2026-87886，影响其cPanel、WHM和Plesk备份插件。攻击者首先需要拥有较低权限的本地账号，但之后可能进一步提升Linux服务器上的权限。Acronis表示已经发现“有限、定向”的真实攻击迹象，不过目前这一判断主要来自一名潜在受影响客户的报告。相关cPanel插件需要升级至1.9.3 HF3，Plesk扩展需要升级到1. 4、WooCommerce插件高危漏洞正被疯狂扫描 https://www.bleepingcomputer.com/news/security/hackers-target-wordpress-sites-via-third-party-woocommerce-plugin/ 攻击者正在利用WordPress的 WooCommerce Wholesale Lead Capture 插件漏洞 CVE-2026-27540。未登录攻击者可能上传恶意PHP文件，在网站服务器上植入WebShell并执行代码，最终完全控制网站。Wordfence表示已经拦截 超过10万次相关攻击尝试。漏洞影响2.0.3.1及更早版本，官方早在2月就已经发布2.0.3 5、CenterPoint确认客户数据遭窃，攻击者称拿走749万条记录 https://www.bleepingcomputer.com/news/security/centerpoint-energy-confirms-customer-data-stolen-in-cyberattack 美国大型电力和天然气企业 CenterPoint Energy 正式确认，攻击者通过其一套对外系统窃取了部分客户个人数据。攻击者此前声称共获取 749万条记录，包括姓名、电话号码、服务和账单地址、账号信息以及部分社会安全号码。CenterPoint目前只确认数据确实遭窃，尚未确认攻击者公布的完整规模和字段范围。公司表示电力和天然气供应没有受到影响。 6、DDRop硬件攻击可攻破机密计算防护机制 https://thehackernews.com/2026/09/new-ddrop-attack-breaks-intel-tdx-and.html 研究人员披露名为DDRop的新型硬件攻击，该攻击针对Intel TDX与AMD SEV‑SNP机密计算技术。攻击者需获得服务器物理接触，部署成本约159‑200美元的中间转接板，通过丢弃内存写入操作，复用旧加密内存数据绕过防护。该攻击适配当前云服务器DDR5内存，可窃取虚拟机内存、篡改可信证明。此缺陷源于硬件缺少数据新鲜度校验，不存在简单软件补丁。研究团队已将相关固件、代码开源，将在 ACM CCS 2026 发布论文。厂商认为该攻击属于物 7、HBO Max官方Reddit账号被黑，连续投放108条恶意广告传播木马 https://www.bleepingcomputer.com/news/security/hackers-hijack-hbo-max-reddit-account-to-push-malware-in-clickfix-ads 攻击者接管了 HBO Max官方认证Reddit账号，并在大约48小时内投放 108条恶意广告。广告会诱导用户使用所谓“修复错误”“通过验证码”或“安装软件”的方式，手动把恶意命令复制到Windows PowerShell、运行窗口或macOS终端中执行。最终载荷包括信息窃取木马、加载器、加密货币剪贴板劫持程序和假钱包软件。这个事件的危险点在于，恶意内容来自一个 8、新型BambooToken恶意软件用MQTT协议同时控制Windows和Linux https://www.bleepingcomputer.com/news/security/bambootoken-malware-controls-windows-and-linux-systems-via-mqtt 研究人员披露此前未公开的恶意软件框架 BambooToken。它至少从2023年就已存在，后续版本开始使用原本广泛服务于IoT设备的 MQTT协议作为攻击者与被感染电脑之间的通信渠道。它同时支持Windows和Linux，已经被发现出现在移动应用后台服务器、金融、法律服务和软件开发等环境中。利用MQTT作为C2通信的一个优势，是相关流量在存在物联网设备的网络环境中可能更容易 9、KREMLIN木马曝光：劫持Chrome和Edge，专偷密码和会话凭据 https://thehackernews.com/2026/09/kremlin-banking-malware-hijacks-chrome.html Elastic Security Labs披露一套此前未公开的巴西银行恶意软件 KREMLIN。攻击活动至少从2025年5月就已开始，会冒充多家银行诱导用户安装恶意程序，然后向Chrome和Edge植入恶意扩展。它不仅能偷用户名和密码，还能窃取已经登录后的 Session Token，甚至通过修改浏览器Secure Preferences等机制绕过部分完整性保护。对于攻击者来说，拿到有效Token有时比拿到密码更有价值，因为它可能直接代表 10、Telegram桌面端被爆高危存储XSS漏洞 https://expatch.com/writeups/telegram-html-export-xss.html 研究人员披露Telegram Desktop的HTML导出功能存在CVSS 8.2高危存储XSS漏洞。漏洞源于导出模块未对机器人内联键盘按钮文本做HTML转义处理。恶意机器人无需加入目标群组，只需借助转发，即可植入隐藏JS载荷，载荷可潜伏数月。当用户将聊天导出为HTML并用浏览器打开后，脚本自动执行，可窃取文档内全部聊天消息、元数据，还可篡改页面、实施钓鱼。该漏洞已在Beta v6.9.4、稳定版v7.0.1修复，但旧版生成的历史HTML文件依然危险。厂商完成静默修复，未发布 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。

1、搜狗输入法漏洞遭真实利用，攻击者投放GrayRabbit后门 https://www.bleepingcomputer.com/news/security/hackers-exploit-tencent-app-flaw-to-deploy-grayrabbit-malware Gen Digital发现，与中国相关的网络间谍攻击者正在利用腾讯 搜狗输入法Windows版的严重漏洞 CVE-2026-51990。该漏洞属于“一次点击”即可触发的远程代码执行问题，攻击者通过构造恶意内容诱导目标触发后，可进一步部署名为 GrayRabbit 的后门程序，用于长期控制和情报收集。这不是纯理论研究，研究人员已经观察到真实攻击活动。 2、GitLab满分10.0漏洞公开后不到24小时即遭攻击 https://securityaffairs.com/198945/hacking/gitlab-cve-2026-85706-one-http-request-no-authentication-full-file-read-exploited-within-24-hours.html GitLab的 CVE-2026-85706 被评为CVSS 10.0满分。攻击者无需登录，只需要构造一次恶意HTTP请求，就可能读取GitLab服务器上的任意文件，包括配置文件和潜在敏感凭据。GitLab在9月10日披露问题后，攻击探测几乎立即出现，CISA随后确认该漏洞已进入真实利用阶段。对于自建Gi 3、Dell ObjectScale与ECS曝严重漏洞可远程执行代码 https://cybersecuritynews.com/dell-objectscale-vulnerabilities/ Dell发布安全更新，修复ObjectScale和Elastic Cloud Storage（ECS）中的多枚漏洞，其中包含一枚无需认证即可触发的严重远程代码执行问题。ObjectScale/ECS主要用于企业和数据中心的大规模对象存储，因此一旦管理节点暴露或攻击条件满足，影响可能不仅是一台服务器，而可能涉及整个存储集群里的业务数据。Dell已经发布相应修复版本。 4、PuzzleMask技术：恶意AI指令可藏在看起来完全正常的英文里 https://cybersecuritynews.com/malicious-ai-commands/ 网站服务器管理平台Plesk披露 CVE-2026-68488。问题存在于Backup Manager恢复流程中，低权限用户可能通过文件链接处理缺陷提升权限，最终获得服务器 root 控制权。它不是“互联网上任何人直接远程拿Root”，攻击者首先需要拥有较低权限的Plesk账号；但在共享主机环境中，一个普通租户账号如果能跨越权限边界控制整台服务器，就可能进一步影响同服务器上的其他网站。 5、研究人员发现仿冒税务邮件钓鱼活动 https://www.cyfirma.com/research/fake-tax-themed-phishing-campaign-delivers-malware/ 研究人员发现一起多域名恶意分发攻击，攻击者仿冒印度所得税部门，搭建10个虚假域名制作伪造税务评估通知，利用税务术语、处罚信息制造紧迫感实施社会工程。该攻击诱导受害者下载伪装成税务离线工具的VHDX虚拟磁盘文件。VHDX内包含PE 加载器与tedutil.dll恶意DLL载荷，挂载后执行多阶段感染，会向Runtimebroke.exe进行进程注入，尝试连接C2服务器。VHDX特殊文件格式可规避部分传统静态检测。 6、攻击者利用ClickFix技术分发恶意载荷 https://asec.ahnlab.com/ko/95373/ 安全研究团队监测到借助ClickFix技术传播的LegionLoader恶意代码。攻击存在两条传播链路，一是篡改韩国Namu Wiki页面植入恶意链接；二是发送鱼叉钓鱼邮件伪装账号激活通知。受害者访问链接后经多次跳转，跳转至伪造Cloudflare人机验证页面，诱导用户粘贴执行PowerShell命令。该恶意程序会检测虚拟化环境，解密shellcode与PE文件释放后门。后门支持进程注入、进程镂空执行各类载荷，还可窃取Chrome浏览器密钥与配置信息、 7、恶意Twitch浏览器扩展泄露数万用户令牌 https://socket.dev/blog/malicious-twitch-browser-extension 安全研究人员发现名为“Twitch Enhanced Viewer | JeetBot”的恶意扩展，上架于Chrome与Firefox官方应用商店，累计约31000名用户安装。该扩展宣称解锁Twitch流媒体画质，实际将用户OAuth令牌以明文参数发送至俄罗斯商业机器人服务商代理服务器，令牌可用于接管账号聊天、私信及账户设置，仅对10个俄语主播频道豁免数据上传。开发者后续发布更新修复漏洞，但旧版本泄露过的令牌不会因更新或禁用扩展自动失效。截至报道撰写时，该扩展仍可下载。 8、Revolut遭仿冒诈骗致客户数据泄露 https://techcrunch.com/2026/09/12/revolut-confirms-customer-data-breach-through-fake-government-requests/ 英国金融科技企业Revolut确认遭遇高级仿冒诈骗，攻击者利用真实政府机构域名下发伪造信息调取请求，邮件通过域名身份校验，致使企业向未授权第三方泄露部分用户敏感数据。泄露内容包含出生日期、联系方式、护照驾照证件副本、人脸核验自拍、账户对账单以及交易记录。官方称受影响用户数量有限，已主动联系涉事客户，但未披露具体人数、涉事地区与被冒充机构。事件发生后该公司封禁恶意邮箱，通报政府与监管机 9、加拿大电信巨头TELUS确认客户账号遭入侵 https://www.securityweek.com/telus-warns-customers-of-account-breaches 加拿大大型电信运营商 TELUS 正在通知部分客户，其消费者电信账号遭到未经授权访问。攻击者主要使用已经泄露或被盗的账号凭据登录，并获取姓名、电话号码、邮箱、账单地址、账号号码、部分银行卡信息、套餐详情和支付历史。TELUS称，一些攻击者甚至利用这些资料冒充运营商人员，试图诱导客户转移电信服务。这更像典型的“凭据复用+账号接管”，而不是TELUS核心系统被直接攻破。 10、全球勒索软件攻击再创新高：2026年8月平均每天32起 https://industrialcyber.co/ransomware/global-ransomware-attacks-hit-record-997-in-august-2026-as-utility-healthcare-and-business-attacks-surge 最新统计显示，2026年8月全球公开记录的勒索软件攻击达到997起，平均每天约32起，比7月份的809起增加约23%，并超过2025年2月988起的历史纪录。其中企业受害者达到861家，医疗行业攻击数量环比增加约30%至69起。需要注意，这类数据主要依据公开披露、勒索团伙泄露网站和事件追踪，因此并不代表全球所有 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。

1、Google Play"抢先体验"被滥用推送欺诈应用 https://www.bitdefender.com/en-au/blog/hotforsecurity/google-play-early-access-exploit-deceptive-apps Bitdefender披露，攻击者正滥用Google Play的抢先体验（Early Access）计划推送数千款欺骗性应用。由于该计划下的应用无法获得公开评论与星级评分，用户失去判断应用可信度的最早预警信号。这些应用通过TikTok与Facebook上的虚假广告推广，广告中使用AI生成的深度伪造名人视频。其套路是：用户观看广告后安装应用，初期可获得丰厚虚拟奖励，但达到提现门槛后进度骤减，承 2、Gigabud银行木马伪装工作资料躲避检测 https://thehackernews.com/2026/09/gigabud-creates-android-work-profiles.html 知名安卓银行木马Gigabud开始安装第二个应用Vwork，在受害手机中创建安卓 "工作资料" 分区，并将篡改过的银行应用放入其中。工作资料与个人空间彼此隔离，银行应用自带的安全扫描无法触及藏身于个人空间的木马，使欺诈转账与已触发的告警看似无关，该攻击链已在印尼设备上确认。Gigabud为活跃自2022年的远控木马，被归因于GoldFactory团伙，常伪装成航空公司、税务或政府门户应用诱导安装，借无障碍服务实施覆盖攻击窃取银行凭证与锁屏密 3、思科FMC漏洞被用于部署Qilin勒索软件 https://thehackernews.com/2026/09/cisco-fmc-flaws-exploited-to-steal.html 思科Secure防火墙管理中心（FMC）软件的两个漏洞正遭在野大规模利用。其中CVE-2026-20079为CVSS满分10.0的身份验证绕过漏洞；CVE-2026-20316（CVSS 5.3）则允许攻击者以低权限账户登录。目前已识别三簇入侵活动：UAT-12197利用漏洞植入JSP Web Shell及JAR命令执行器窃取用户凭据；UAT-11823与俄APT组织Sandworm存在工具重叠，利用两漏洞部署Netcat反弹Shell，并最终植 4、近一成LiteLLM网关沿用示例密钥 https://thehackernews.com/2026/09/nearly-1-in-10-exposed-litellm-gateways.html 研究人员对互联网上暴露的LiteLLM AI网关扫描发现，今年2月扫描到的3074台服务器中，有294台（近10%）接受了官方安装文档中的示例管理员密钥"sk-1234"，其中191台甚至未设置任何密钥。持有该主密钥即可读取网关上存储的所有模型供应商API密钥，并能利用透传端点功能未校验目标地址的缺陷，结合x-pass-前缀头绕过IMDSv2，窃取云端IAM凭证。专家建议将AI网关视为"Tier-0级密钥存储"进行防护，并敦促用户升级至 5、JFrog漏洞遭链式利用夺取管理员权限 https://www.wiz.io/blog/artifactory-under-attack-in-the-wild-exploitation-of-cve-2026-42016-cve-2026-4201 攻击者串联JFrog Artifactory两项漏洞，在未修补的自托管服务器上夺取管理员权限并植入后门。其中CVE-2026-42018使未登录调用者可获取内部匿名用户令牌，CVE-2026-42016则允许将低权限令牌兑换为管理员范围令牌，最快不到五分钟即可创建新管理员账户。攻击者还借插件框架安装恶意Groovy插件执行代码，并投放带C2功能的Rust后门。另一项高危认证绕过漏洞C 6、PaperCut发布正式版补丁修复漏洞 https://thehackernews.com/2026/09/papercut-replaces-emergency-patches.html 打印管理软件厂商PaperCut发布新的正式维护版本，取代此前针对两项遭在野利用漏洞推送的全部紧急补丁，新版PaperCut NG/MF 26.0.5、25.0.13 与 24.1.10已开放下载，包含前三批紧急补丁的全部修复及额外加固。被修复的 CVE-2026-81578与CVE-2026-82078可令攻击者绕过身份验证并执行任意代码。疑似俄语攻击者正利用这两项漏洞攻入至少48个国家395家机构，其中以美国教育行业居多；官方建议仍在使用紧 7、Check Point修复两个9.8分证书漏洞 https://thehackernews.com/2026/09/check-point-discloses-two-98-rated-vpn.html Check Point向客户社区发布公告，修复其防火墙与管理产品处理VPN证书方式中的两个高危漏洞，CVSS评分均为9.8，编号由Check Point自行分配。CVE-2026-85102为VPN协商过程中未正确校验证书信任；CVE-2026-85103为解码VPN证书ASN.1结构时的堆缓冲区溢出。两者均可被未认证远程攻击者在特定条件下用于执行代码。受影响版本包括R82.10、R82与R81.20，覆盖Quantum三个分支。Chec 8、硬件钱包Trezor超34万用户遭钓鱼攻击 https://www.bleepingcomputer.com/news/security/trezor-347-000-users-targeted-in-phishing-attacks-after-brevo-breach/ 加密货币硬件钱包厂商Trezor披露，因第三方邮件服务商Brevo遭入侵，本周针对其用户的钓鱼攻击波及约34.7万个邮箱地址，约2500名用户点击了恶意链接。攻击者入侵Brevo系统，借Trezor客户账号向订阅用户发送伪造 "关键安全警报"，谎称STM32微控制器存在硬件漏洞、助记词面临暴力破解风险，诱导点击链接下载应用并输入钱包备份。Trezor称已在下线钓 9、GitLab文件读取漏洞已出现野外探测 https://thehackernews.com/2026/09/gitlab-cvss-10-file-read-flaw-draws-in.html GitLab发布安全补丁修复多项漏洞，其中CVE‑2026‑85706路径遍历漏洞CVSS评分为 10.0。该漏洞存在于仓库提交API，未认证攻击者在特定条件下可读取服务器任意文件，获取密钥、配置等敏感数据，受影响包含CE与EE多个版本。漏洞公开后数小时内就监测到野外探测行为。美国CISA已将该漏洞录入KEV清单，要求联邦机构9月14日前完成修复。本次还同步修复CVSS9.9的反序列化漏洞。相关机构需尽快打补丁，同时可核查特定URI访问日 10、SonicWall高危漏洞遭大规模利用 https://securityaffairs.com/198864/hacking/uk-council-attack-linked-to-mass-exploitation-of-sonicwall-flaw.html 英国金林‑西诺福克区议会遭遇的网络攻击，与CVE‑2026‑15409大规模攻击活动存在关联。该漏洞为CVSS 10.0的未认证SSRF漏洞，影响SonicWall SMA1000设备。攻击者利用漏洞获取设备权限，借助固件内置硬编码密钥解密LDAP凭据，在设备上部署Impacket工具窃取内网账号，可完成DCSync复制AD数据库。该漏洞披露仅两天就出现多线程批量扫描工具 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。

1、cPanel曝严重漏洞：可获取整台服务器Root权限 https://thehackernews.com/2026/09/new-cpanel-flaw-lets-hosting-account.html cPanel在9月8日发布安全公告修复 CVE-2026-67401。攻击者需要先拥有一个具备邮件相关权限的合法cPanel账号，但之后可能利用EmailTrack组件的问题创建任意文件，并最终以root身份执行代码。换句话说，原本一个用户只应该控制自己的一小块网站空间，却可能进一步控制托管其他大量网站的整台服务器。官方表示所有仍受支持的cPanel和WHM版本均受到影响，因此共享主机和虚拟主机服务商需要特别关注。 2、 超过3.6万台Plex服务器仍未修复近期安全漏洞 https://www.bleepingcomputer.com/news/security/over-36-000-plex-servers-unpatched-against-recently-disclosed-flaws/ 最新互联网扫描显示，全球仍有超过 36,000台公网Plex Media Server 没有安装近期安全修复。Plex此前曾紧急提醒用户升级，但没有公开完整漏洞技术细节，也没有立即分配CVE编号。已知受影响的是 1.43.2及更早版本，官方建议至少升级到1.43.3，同时更新Plex Desktop客户端。对于家庭NAS和自建影音服务器用户来说，这类设备常年在线又 3、PaperCut攻击者使用数百个AI代理入侵数百家机构 https://thehackernews.com/2026/09/papercut-attacker-uses-hundreds-of-ai.html 一名疑似讲俄语的网络攻击者被指使用人工智能（AI）手段，针对最近披露的 PaperCut NG/MF 的一对安全漏洞进行攻击，并入侵了数百个实例。 4、OWASP更新十大最严重LLM漏洞榜单 https://www.freebuf.com/articles/ai-security/499940.html OWASP（开放全球应用安全项目）更新了LLM应用十大最严重漏洞榜单。本次榜单编制首次结合真实安全事件数据与专家对AI安全风险类别的投票结果。 Prompt injection（提示注入）与Sensitive Information Disclosure（敏感信息泄露）仍是排名前两位的最严重威胁，Excessive Agency（过度自主权限，指Agent执行超出许可边界的操作）升至榜单第三位，这一变化反映出LLM应用已从聊天机器人演进为可调用API、运行代码的Agent系统。 5、Adobe 紧急修补已被利用的Magento 0Day漏洞 https://thehackernews.com/2026/09/adobe-patches-magento-zero-day.html Adobe修复Adobe Commerce和Magento开源中CVSS 10.0零日漏洞CVE-2026-75650（StyleSmuggler），已被积极利用，可致任意代码执行。攻击者部署Rust后门和PHP Web Shell，需应用VULN-39341补丁并轮换加密密钥。 6、Alby Hub漏洞可致比特币钱包被接管 https://thehackernews.com/2026/09/alby-hub-critical-flaw-could-let.html 比特币钱包厂商Alby近日警告，其自托管闪电网络钱包Alby Hub存在一个严重漏洞，攻击者可借此接管钱包并转移资金，但仅影响管理界面暴露于公网的用户。受影响版本为v1.7.0至v1.18.5，修复版本v1.19.0已于2025年8月29日发布，目前已有至少一名用户确认受影响。官方建议用户先行切断Hub的公网访问（如Docker端口仅绑定127.0.0.1），再升级至当前版本v1.24.0；若曾运行受影响版本且暴露于互联网，更新后需修改解锁密码并联系 7、Veradigm遭勒索数百万患者信息或泄露 https://www.bleepingcomputer.com/news/security/veradigm-discloses-patient-data-breach-after-gentlemen-gang-claims-attack/ 医疗科技公司Veradigm（前身为Allscripts）披露一起患者数据泄露事件。攻击者利用从第三方供应商窃取的凭据访问API并下载患者数据。此前，勒索组织The Gentlemen于9月4日将Veradigm列入其泄露站点，声称窃取了超过350万份患者记录，包含姓名、地址、社会安全号码、电子邮箱、电话号码及担保人信息，并威胁若不就赎金进行谈判，将于 8、Fortinet漏洞遭真实利用已感染178台设备 https://www.securityweek.com/fortinet-code-execution-flaw-exploited-in-pivotc2-rat-attacks/ 攻击者正在利用FortiOS和FortiSwitchManager中的CVE-2025-25249部署名为 PivotC2 的Node.js远控后门。这枚漏洞无需认证即可远程执行代码。SOCRadar称攻击者扫描了超过3万个IP地址，确认至少178台设备遭感染，其中美国是主要目标，至少两起入侵已经出现数据外泄。PivotC2支持远程Shell、网络扫描、流量隧道和配置窃取。CISA已经把该漏洞加入KEV目录。 9、Nvidia、AMD、Arm同步发布芯片安全更新 https://www.securityweek.com/chipmaker-patch-tuesday-nvidia-amd-arm-issue-security-advisories Nvidia、AMD和Arm在本轮“芯片补丁星期二”集中发布多个安全公告。AMD修复Linux GPU内核驱动中的CVE-2026-43603，可导致系统崩溃和拒绝服务；Nvidia与Arm也分别修复GPU、驱动和处理器相关安全问题。虽然这批问题没有出现大规模在野利用证据，但它再次说明GPU和底层芯片驱动已经成为AI服务器、工作站和云计算环境中越来越重要的攻击面。 10、Anthropic披露多起Claude真实入侵事件 https://www.freebuf.com/articles/ai-security/499937.html 当地时间周三，Anthropic披露了第四起旗下人工智能（AI）模型入侵第三方真实系统的事件。这类事件数量持续增加，引发了公众对自主AI Agent安全风险的担忧，本次披露是最新一起相关案例。这家AI企业表示，该事件发生在2026年1月，涉及Claude Opus 4.6的早期版本，该模型“因无法中止任务而入侵了第三方系统”。Anthropic称已通知所有受影响方，但未披露更多细节。据悉，这起1月发生的事件直到上个月才被发现。 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。

1、Cisco确认严重Secure FMC漏洞已遭攻击，可直接获得Root权限 https://www.bleepingcomputer.com/news/security/cisco-confirms-cve-2026-20079-secure-fmc-flaw-exploited-in-attacks Cisco最新确认，CVE-2026-20079 已经被攻击者真实利用。这枚漏洞影响Cisco Secure Firewall Management Center，CVSS评分达到10.0满分。攻击者无需登录，只需向管理界面发送特制HTTP请求，就可能绕过身份认证，并以root权限执行命令。CISA已经将其加入KEV已知利用漏洞目录，并要求美国联邦机构在9月12日前完 2、Defender曝“ShieldCrash”零日漏洞，完全打补丁的系统仍可中招 https://www.bleepingcomputer.com/news/security/new-microsoft-defender-shieldcrash-zero-day-grants-system-access/ 安全研究人员公开新的Microsoft Defender零日攻击 ShieldCrash。研究人员称，它可以绕过微软刚刚发布的ShieldBreak漏洞修复，在已经安装2026年9月最新补丁的Windows 10、Windows 11和Windows Server上，仍然读取SYSTEM权限才能访问的文件。当前公开PoC主要证明SYSTEM级任意文件读取，并不是完整远程 3、Android九月一次修复180个漏洞，部分无需用户操作即可远程攻击 https://www.securityweek.com/androids-september-2026-updates-patch-180-vulnerabilities/ Google发布2026年9月Android安全更新，一次修复 180个漏洞。其中System组件包含23枚Critical级漏洞，部分问题可能导致远程代码执行、权限提升或拒绝服务。尤其值得注意的是 CVE-2026-28662 Wi-Fi相关内存漏洞，在特定情况下可能不需要用户点击或额外权限就触发远程代码执行。升级到 2026-09-05安全补丁级别可以覆盖本轮全部修复。 4、西门子、施耐德等工业巨头集中修补严重ICS漏洞 https://www.securityweek.com/ics-patch-tuesday-schneider-electric-siemens-fix-critical-flaws/ 2026年9月工业控制系统“补丁星期二”集中爆出多批严重漏洞。Schneider Electric修复Modicon M580和M580 Safety控制器中的 CVE-2026-3869，评分9.2；Siemens同时发布9份新安全公告，其中多个Critical漏洞影响工业边缘管理、继电保护和车队管理产品。AVEVA和Rockwell Automation也分别修复SCADA、工业控制和自动化产品中的高危 5、新型钓鱼攻击不再需要“网站”，恶意页面直接在浏览器里生成 https://www.securityweek.com/new-phishing-attack-creates-malicious-pages-inside-the-victims-browser Barracuda发现一种很有意思的新型钓鱼方式。攻击者先利用伪造的DocuSign邮件和日历邀请吸引受害者，再经过Microsoft Teams等可信服务跳转，最终使用 Blob URL 在受害者自己的浏览器内部动态生成钓鱼页面。也就是说，安全人员可能根本找不到一个传统意义上固定存在的“恶意钓鱼网站”，因为页面是在浏览器里临时生成的。这会增加传统网址黑名单和网页扫描技术的检测难度。 6、Skullcandy蓝牙耳机曝严重漏洞：附近陌生设备无需确认即可连接 https://www.bleepingcomputer.com/news/security/skullcandy-dime-3-earbuds-expose-users-to-bluetooth-hijacking CERT/CC警告，Skullcandy Dime 3无线耳机受到CVE-2025-20701影响。攻击者只要处于附近蓝牙范围内，就可能在没有PIN码、没有打开耳机盒、甚至没有用户点击“允许配对”的情况下连接耳机。更加麻烦的是，虽然厂商称新版固件1.0.0.30已经修复，但目前普通用户没有正常方式通过App或手动升级受影响设备，因此实际修复问题仍值得关注。 7、新型ClickFix变种滥用谷歌服务窃取加密货币 https://blog.talosintelligence.com/clickfix-moves-into-the-browser/ 研究人员追踪到一个持续数月的加密货币窃取活动，其ClickFix变种不再诱导用户向系统执行PowerShell命令，而是诱骗受害者将恶意JavaScript粘入Chrome地址栏或安装进Tampermonkey扩展，把恶意代码注入受害者自身的浏览器会话。载荷通过Google Visualization API从一个公开Google表格的单元格中分块取回并拼接，外层流量看起来就是正常的Google Docs访问，传统网络检测手段完全失效。注入后的网页窃取器利用 8、研究员公开针对NVIDIA用户零日漏洞PoC https://securityaffairs.com/198589/hacking/chaotic-eclipse-released-a-poc-for-nvidia-greensection-memory-corruption-zero-day.html 安全研究员公开了针对NVIDIA Windows用户态组件的零日利用PoC"GreenSection"。多个NVIDIA组件共享一个所有用户均具读写权限的全局内存节区，软件虽在执行时设有校验，但该节区数据在运行期被重复使用，从而引发越界内存写入。研究员称该缺陷虽不能立即获得SYSTEM权限，但可轻松跨越用户边界，甚至可能攻陷Window 9、越南关联APIS数据库暴露2.2亿条护照数据 https://www.bleepingcomputer.com/news/security/220-million-traveler-records-exposed-in-vietnam-linked-apis-leak/ 研究人员发现一个与越南关联、名为"pax-info"的Elasticsearch数据库，包含2017年1月至2026年4月间累计的2.208亿条旅客与机组记录，涵盖姓名、出生日期、国籍、护照或旅行证件号码及签发国，以及航班号、航线、座位号与行李编号等信息，涉及亚太、欧洲与中东众多航空公司。该数据库约107GB、含29个索引，IP归属河内的Viettel，研究人员借助两条 10、ChatGPT沙箱漏洞：攻击者借隐藏信道跨账户窃取Gmail数据 https://cybersecuritynews.com/chatgpt-sandbox-gmail-data/ 研究表明，ChatGPT沙箱存在跨账户隐蔽信道，攻击者可悄无声息劫持会话并利用已连接Gmail偷取数据，用户毫无察觉；OpenAI已下线相关服务修复漏洞。 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。