每日安全动态推送(26/10/14)

原创 admin 2026-10-14 10:45 北京

Anthropic 研究：物联网网络可能成为自复制 AI 蠕虫的宿主；Docker Hub 严重漏洞致用户可冒充他人推送镜像；基于 CNN-Swin Transformer 混合架构的图像化网络入侵检测研究

•  Anthropic 研究：物联网网络可能成为自复制 AI 蠕虫的宿主
https://www.darkreading.com/perimeter/anthropic-ingredients-future-ai-worms

本文的核心亮点在于Anthropic通过实验证实，当前先进的AI模型已具备在低成本IoT设备上自主执行扫描、渗透及部署载荷等关键步骤的能力，标志着“AI蠕虫”从理论走向技术可行。尽管目前仍受限于带宽与硬件，但该研究揭示了未来防御体系必须从应对“人类速度”的威胁转向对抗“机器速度”的自动化攻击的紧迫性。

•  GhostPat：Docker Hub 严重漏洞致用户可冒充他人推送镜像
https://thehackernews.com/2026/10/docker-fixes-critical-two-year-old-hub.html

本文揭示了Docker Hub中一个长达两年的严重漏洞（CVE-2026-105445），该漏洞允许攻击者利用账户转换机制窃取个人访问令牌（PAT）并冒充他人推送恶意容器镜像。尽管官方确认未发生实际利用，但此案例深刻警示了云原生基础设施中凭证管理逻辑缺陷的潜在灾难性后果。

•  利用变异 XSS 与配置错误链式攻击实现 SmarterMail 预身份验证 RCE (CVE-2026-104082-84)
https://blog.evan.lat/posts/sm/

本文揭示了 SmarterMail 中利用解析器差异绕过自定义 HTML 清洗机制，通过 iCalendar 格式实现无需交互的存储型 XSS 漏洞，最终可链式攻击达成 SYSTEM 权限远程代码执行。鉴于该漏洞影响了包括雷神、洛克希德·马丁在内的众多关键基础设施和大型企业，其技术细节对防御方具有极高的即时预警价值。

•  法国超市 Danfoss 制冷系统遭远程操控致火灾与食品损毁
https://sectoday.tencent.com/event/ZodVMaEBVJfJhgnJ1_5l

2026 年 10 月 11 日至 12 日，法国多家主要超市连锁店（包括 Intermarché、Cooperative U 和 E. Leclerc）遭遇协同网络攻击。攻击者利用丹麦制造商 Danfoss 提供的 AK-SM 和 AK-SC 系列老旧制冷控制器中的固件漏洞，远程触发强制除霜循环，导致数百台制冷设备温度飙升至 50°C。此次攻击造成大量生鲜及冷冻食品变质损毁，引发多起火灾事故，并导致数百万欧元的经济损失。法国国家网络安全局（ANSSI）及检察机关已介入调查，该事件深刻揭示了遗留工业控制系统（OT）在关键食品供应链基础设施中的严重安全漏洞及其被武器化后的物理破坏后果。

•  基于 CNN-Swin Transformer 混合架构的图像化网络入侵检测研究
https://bioengineer.org/hybrid-ai-turns-network-traffic-into-images-to-catch-cyberattacks/

该研究首创性地将卷积神经网络与Swin Transformer结合，通过把网络流量数据转化为灰度图像，实现了高达99.69%的入侵检测准确率。其最大亮点在于无需复杂的数据重平衡或特征工程预处理，即可端到端地捕捉局部异常与全局攻击模式，为应对现代网络威胁提供了极具实用价值的新范式。

•  Pwn2Own Ireland 2026：Pixel 10 零日漏洞、126 万美元奖金与 Ikotas Labs 夺冠
https://cyberinsider.com/google-pixel-10-hacked-as-pwn2own-ireland-wraps-with-1-26-million-in-rewards/

本文核心亮点在于详细记录了Pwn2Own Ireland 2026中针对Google Pixel 10和Samsung Galaxy S26等旗舰设备的三次成功远程利用，揭示了移动生态中复杂的漏洞链攻击现实。文章不仅展示了高达56.25万美元的奖金分配，更突显了从智能家庭控制器到Oracle自主AI数据库等关键基础设施面临的全新零日威胁。

•  Apache Jackrabbit 关键 WebDAV Session Hijacking 与客户端代码执行漏洞分析
https://linuxsecurity.com/news/server-security/apache-jackrabbit-webdav-session-hijacking

本文深入剖析了 Apache Jackrabbit 中两个关键漏洞（CVE-2026-92414 和 CVE-2026-92415），揭示了攻击者如何利用 WebDAV 接口绕过身份验证劫持会话，或通过恶意服务器诱导客户端执行任意文件操作。文章特别强调了服务器端与客户端漏洞的独立性及差异化的修复策略，为运维人员提供了极具实操价值的排查指南。

* 查看或搜索历史推送内容请访问：
https://sectoday.tencent.com/
* 新浪微博账号： 腾讯玄武实验室
https://weibo.com/xuanwulab
* 微信公众号： 腾讯玄武实验室

阅读原文

跳转微信打开