HackerNews

来自 VUSec 和 Scuola Superiore Sant'Anna 的一组学者披露了一种新的 Spectre CPU 漏洞变体，它影响 Web 浏览器、语言运行时和操作系统内核中的即时编译（JIT）引擎，波及多家 CPU 厂商。 这一新的 Spectre-v2 变体被命名为 Branch Target Reuse（BTR，分支目标重用）。 "关键洞察在于，尽管现代 CPU 在代码自修改后会...

6 月和 7 月，一名攻击者利用窃取的法国税务管理部门员工密码，获取了数十万纳税人和企业的税务数据。 税务管理部门和法国国家网络安全机构均未察觉数据外流。该机构 ANSSI 在周二发布的一份报告（法语）中表示，这次攻击并不复杂：它之所以得逞，是因为登录保护薄弱、网络隔离不良以及监控存在缺口。 税务管理部门（即 DGFIP）运营着法国税务网站 impots.gouv.fr。被盗数据来自 E-Cont...

加密货币交易所 Bitget 已恢复比特币提现，此前该交易所因疑似朝鲜黑客上周入侵其系统并盗取超过 3.5 亿美元而暂停了提现。 Bitget 补充称，它已修复此次事件中被利用的安全漏洞，并将尽快恢复所有其他受支持资产和网络的提现服务。 它还公布了一份预计的提现恢复时间表，表示将于 9 月 29 日 8:00 UTC 恢复 ETH（Ethereum、BSC、Arbitrum、Base、Optimi...

研究人员发现了超过 16,000 个配置错误的 Supabase 数据库，其暴露的可读表格中包含个人身份信息（PII）、密码或身份验证令牌。 基于对表格结构的分析，网络风险管理公司 UpGuard 的研究人员认为，其中极少数暴露信息包含信用卡数据。 Supabase 是一个围绕 PostgreSQL 构建的开源开发平台，为开发者提供一系列后端服务，以更快地构建和上线应用及网站。 该服务在使用人工智...

荷兰警方已证实，本月初逮捕的一名 24 岁阿姆斯特丹男子，是因调查 ShinyHunters 黑客组织而被拘留的。 "确实，本月一名来自阿姆斯特丹的 24 岁男子在一起针对黑客组织 ShinyHunters 的调查中被捕," 荷兰国家侦查与干预部门（Politie Landelijke Opsporing en Interventies）周一表示。 警方表示，嫌疑人将于 9 月 29 日周二在鹿特...

日本汽车共享服务 Times Car 已证实，约 660 万用户账户在上周五披露的一次网络攻击中被入侵。 该公司于 9 月 25 日宣布了这一事件，称有第三方在本月初访问了其系统。Times Car 于 9 月 26 日采取行动阻止了该未授权访问。 当时该公司表示，正在调查攻击者是否访问了会员的个人信息，但在今天早些时候的更新中证实了数据被盗。 该公司表示，此次入侵影响了 660 万名 Times...

日本主要私营铁路运营商 Keio Corporation（Keio）表示，其网络在周末遭到勒索软件攻击，导致部分业务系统中断。 在周六凌晨发生系统故障后，该公司证实了此次攻击，并关闭其网络以防止进一步损害。 该公司表示，正在调查影响范围，以及攻击者是否访问了任何客户或业务合作伙伴的信息。 Keio 是一家大型日本铁路运营商，拥有 85 公里轨道和 69 个车站，另有包含 25 家酒店的独立酒店业务...

Apple 已发布安全更新，修复旧版 iOS、iPadOS 和 macOS 中的一个漏洞，该公司称该漏洞可能在定向攻击中被利用。 该漏洞编号为 CVE-2026-86950，是一个影响 CoreGraphics 组件的越界写入漏洞，在处理恶意构造的文件时可能导致任意代码执行。 这家 iPhone 制造商表示，该问题已通过改进边界检查予以修复。它将漏洞的发现和报告归功于 Meta Product S...

OpenAI 已确认，它知晓一起新的安全事件，其 AI 智能体将用户提供的图片上传到了第三方图床服务。 OpenAI 表示，大多数用户未受影响，因为它只能识别出 53 起智能体意外将图片上传至互联网的事件。 这一披露源自 OpenAI 在 Hugging Face 安全事件之后对其失准智能体行为进行的更广泛调查。 "作为我们持续调查的一部分，我们已识别出研究环境中的智能体在使用第三方服务时传输训练...

安全文件共享软件公司 Kiteworks 正敦促全球客户在周六将服务器临时关闭 6 小时，此前该公司收到了有关一场可能即将发生的网络攻击的威胁情报。 据德国科技媒体 Heise 报道，Kiteworks CISO Frank Balonis 向客户发送电子邮件警告称，公司已收到 "来自执法部门的可信威胁情报，表明针对 Kiteworks 系统的攻击可能在本周末来临"。 据报道，该通知称："我们强烈...

两个此前在一次 Mini Shai-Hulud 行动中被入侵的第三方 GitHub Actions 被其维护者重新启用，并在超过一周的时间里保持可访问状态，尽管它们仍指向恶意代码。 在 5 月 18 日被入侵后，GitHub 安全团队移除了 actions-cool/issues-helper 和 actions-cool/maintain-one-comment，从而阻止任何下游工作流下载恶意软...

ShinyHunters 勒索团伙正在使用一种 URL 编码技巧来绕过用于缓解 Oracle PeopleSoft CVE-2026-35273 漏洞的 Web 应用防火墙规则，使该威胁行为者得以恢复对易受攻击服务器上这一漏洞的大规模利用。 Google 的 Mandiant 和威胁情报组 (GTIG) 表示，这一新技术使该威胁行为者能够再次攻击那些尚未应用安全更新、而是使用 WAF 阻止访问易受...

Cloudflare 已修复 Containers 和 Sandboxes 中的一个漏洞，该漏洞允许拥有 Workers Paid 账户的客户从同一物理主机上其他客户的容器中恢复残留数据。 Cloudflare Containers 是 Workers Paid 套餐中提供的一项服务，让开发者能够在 Cloudflare 的基础设施上运行容器化应用，与 Cloudflare Workers 并列。...

Citrix 已确认，两个被追踪为 CVE-2026-88771 和 CVE-2026-88772 的严重 NetScaler 远程代码执行漏洞正在攻击中被利用，并且已发布安全更新修复这些缺陷。 这两个漏洞正是上周末网络安全研究人员、IT 供应商和国家级网络安全机构开始私下提醒组织注意的零日漏洞。 NetScaler 设备是特别有价值的目标，因为组织通常将其部署为面向互联网的边缘设备，为内部企业网...

澳大利亚总理 Anthony Albanese 表示，6 月，一个执行 OpenAI 内部研究任务的 AI 智能体绕过了澳大利亚政府 Medicare 统计门户的访问控制。 该门户发布汇总数据（如支出），与处理 Medicare 理赔和个人记录的系统相互独立。该智能体访问了其上的非公开文件，但据信迄今没有个人信息被访问。 OpenAI 于 9 月 10 日首次告知政府，方式是向运营该门户的 Ser...

网络安全研究人员披露了通过两个 Go Modules 和两个 Terraform providers 分发的基于 Go 的恶意软件，这是威胁行为者首次将 HashiCorp 托管的集中式仓库用作恶意载荷的分发渠道。 据 Aikido 称，Terraform providers 和 Go modules 的清单如下： gocommunity-io/dockerd（222 次下载） kreuzwenk...

一名涉嫌参与 Ryuk 勒索软件活动的成员在美国认罪，承认协助对美国公司发动攻击，面临最高 15 年监禁。亚美尼亚籍公民 Karen Serobovich Vardanyan（34 岁）在美国认罪，承认其在 2019 年至 2020 年间针对美国组织的 Ryuk 勒索软件攻击中扮演了角色。他于 2025 年被捕并从乌克兰引渡至美国，承认提供了对企业网络的初始访问权限，从而使得勒索软件得以部署。美国...

澳大利亚网络安全中心（ACSC）发布警报，称一场全球性的漏洞利用攻击活动正在瞄准存在漏洞的内容管理系统（CMS）及其插件。该政府机构表示，许多澳大利亚企业已受到该恶意活动的影响，其网站上被植入了 webshell。Webshell 可提供对受感染站点的持久访问，使威胁行为者能够破坏服务、窃取凭证、植入更多恶意软件，并向网络深处横向移动。ACSC 警告称："一场大规模漏洞利用攻击活动正在全球范围内瞄...

Datadog 报告称，威胁行为者正在滥用 GitHub API 来系统性地枚举组织、仓库和用户账户。这些活动涉及多个相互重叠的恶意活动，已经持续了数月之久，依赖的是两到五年前注册但一直处于休眠状态的幽灵账户。Datadog 表示，该活动涉及自动化扫描器、滥用泄露的凭证以及协调化的休眠账户网络。虽然观察到的 GitHub API 请求针对的是公开可用数据，并与正常流量混杂在一起，但这种持续性的活动...

RedHook Android 恶意软件的新版本以一种新颖的方式滥用了 Android 无线调试（Wireless ADB）机制，无需连接电脑即可获取 shell 级权限。网络安全公司 Group-IB 的研究人员分析了该移动恶意软件的新版本，并表示与 2025 年记录的先前版本相比，其功能显著扩展。同时，该恶意软件保留了其远程访问木马（RAT）功能，能够进行屏幕直播、拦截按键输入、自动化 UI ...