安全419｜一周国际网安资讯：开源基础组件和互联网边缘基础设施再次成为风暴中心

OpenSSH认证绕过漏洞披露

安全研究员Ozgun Kultekin披露OpenSSH密码认证绕过漏洞CVE-2026-123158，该漏洞被命名为SSHole。漏洞根源在于OpenSSH与musl libc在不使用PAM可插拔认证模块时的字符串长度处理缺陷：攻击者提交一段256至1024字符的超长密码，系统会错误地将其解释为密码哈希，从而绕过密码校验直接登录。受影响最严重的是使用musl libc的Alpine Linux。Alpine官方于11月5日发布安全公告，要求用户升级至OpenSSH 10.6p2并重启sshd；若暂时无法升级，应立即禁用密码登录、仅保留密钥认证。由于容器镜像在云环境中大量存在，且22端口常被暴露用于运维，该漏洞影响面覆盖大量云原生工作负载。安全团队应紧急清点所有musl-based Linux镜像，优先处置暴露公网的SSH服务。

Zyxel GS1900交换机被曝新零日漏洞

Zyxel GS1900系列交换机被曝新零日漏洞CVE-2026-107441。该漏洞的特殊之处在于它绕过了厂商在2026年6月针对CVE-2026-7273发布的补丁。因此，部署GS1900的组织不能仅因已打过半年前的补丁就认为安全，必须核查固件版本、升级至2.90 Patch 3，并重新审视交换机管理接口的访问控制。这一事件暴露了网络设备补丁"看似已修、实则绕过"的风险模式，提示运维团队不能只看补丁号，要关注漏洞利用链和补丁有效性的独立验证。

苹果WebKit指针认证绕过漏洞入KEV

CISA于11月4日将苹果多个产品中的指针认证绕过漏洞CVE-2024-27834加入已知被利用漏洞（KEV）目录，要求联邦机构在11月18日前完成修复。该漏洞影响Safari、iOS、iPadOS、macOS、tvOS和watchOS，攻击者在已具备任意读写能力后可绕过指针认证（PAC）保护。苹果早在2024年5月13日就已发布修复，但CISA此番入KEV是因为威胁情报显示APT29组织在水坑攻击中实际利用了这一漏洞。安全团队应清点所有macOS/iOS设备版本，确保已升级至Safari 17.5、iOS 17.5、macOS Sonoma 14.5及以上，并对延迟更新的老旧设备加强浏览器隔离。

WordPress Core升级窗口RCE 漏洞被在野利用

CISA于11月4日将WordPress Core中的时间检查时间使用（TOCTOU）竞争条件漏洞CVE-2026-119977加入KEV目录，联邦机构修复截止日期为11月6日。该漏洞影响WordPress 4.7至7.1.3版本，触发窗口极为特殊：仅在WordPress执行完整包核心升级、将更新包解压至wp-content/upgrade/下可预测且Web可访问的临时目录期间，未认证攻击者可在这个短暂窗口内执行任意代码。WordPress安全团队已于10月28日发布7.1.4及各老分支回移修复。这一漏洞提醒运维团队：升级操作本身可能成为攻击面，应尽量在低峰期、通过维护窗口升级，并在升级期间限制公网访问wp-content/upgrade目录，升级完成后清理临时文件。

CVE-2026-76461一封邮件即可获root权限

Cisco于11月6日修订了针对Secure Email Gateway（原IronPort）严重漏洞CVE-2026-76461的紧急修复指南。该漏洞CVSS 9.8，存在于AsyncOS邮件解析逻辑中，未认证攻击者只需发送一封特制邮件，即可在邮件网关上以root权限执行任意命令。CISA已于9月将其加入KEV。此次修订的重点是：运行AsyncOS 15.5分支的客户不能简单安装补丁，需要按照Cisco最新指引执行额外的配置核查和版本验证，升级至16.5.0-780等安全版本。部署该设备的组织应立即升级，并核查是否存在异常root活动、未知进程和邮件日志异常。

Chrome 156稳定版发布 修复5个漏洞

Google于11月4日前后发布Chrome 156稳定版，修复了5个输入验证类漏洞，其中两个评分高达9.6。具体包括：CVE-2026-118328（WebRTC越界读取）、CVE-2026-118315（SVG类型混淆，可在沙箱内执行任意代码）以及V8引擎相关缺陷。

医疗AI公司Xsolis泄露140万患者数据

为美国医疗系统提供AI病例管理和利用审查解决方案的Xsolis发生数据泄露，美国卫生与公众服务部（HHS）确认受影响人数达1,396,519。涉及的医疗机构包括Mayo Clinic、UW Medicine、Legacy Health、Carle Health、VHC Health、Rochester Regional Health和Erie County Medical Center等九家。被窃取数据涵盖患者姓名、地址、出生日期、社会安全号码、诊疗信息和健康保险信息。Xsolis表示目前未发现数据被滥用，也没有勒索组织宣称负责，但原告律师事务所Edelson Lechtzin已启动调查。这是一起典型的医疗SaaS供应链泄露：Xsolis作为HIPAA商业伙伴，一旦被攻破，所有接入其AI平台的医院患者数据同时暴露。医院在选择AI供应商时，必须将数据安全事件历史和事件响应能力纳入评估，并要求供应商提供数据处理协议和事件通知SLA。

意大利听力保健巨头Amplifon美国子公司泄露133万人健康与保险信息

意大利听力保健跨国公司Amplifon的美国子公司Amplifon Hearing Health Care披露数据泄露事件，根据11月6日提交给德克萨斯州总检察长的文件，约1,332,826人受影响。攻击者闯入内部系统并复制了包含个人信息、健康信息和保险信息的文件。多家美国律师事务所已宣布对Amplifon展开法律调查，代表受影响用户评估索赔权利。Amplifon是全球最大的听力辅助设备和助听器服务商之一，客户主要为老年听障人群。健康和保险数据泄露可能导致身份盗用、保险欺诈和针对老年人的定向诈骗。

时尚电商Revolve更新泄露受害人数

美国上市时尚电商Revolve Group于11月9日向印第安纳州总检察长办公室通报，其10月29日披露的数据泄露事件共影响1,515,073人。该公司已于10月29日向美国SEC提交8-K报告，披露攻击者通过自动化手段获取了在购物账户中保存支付信息的客户数据，涉及姓名、联系信息、支付卡号和有效期。Revolve从10月底开始向受影响客户发送通知信，并建议客户联系发卡行更换卡片。

哥伦比亚一所医院被WhiteArmor勒索

勒索追踪平台ThreatMon于11月8日记录到，勒索软件组织WhiteArmor将哥伦比亚医院Clínica La Sagrada Familia列为受害者。ThreatMon同时还记录到，同日另一家医疗机构Sun Clinical Laboratories被宣称已恢复的勒索组织LockBit 5.0列为受害者。两起事件目前均处于"勒索列表已出现但尚未独立证实"状态——尚无受害者官方确认、患者诊疗受影响或证据外泄的独立报告。WhiteArmor和LockBit 5.0均采用双重勒索模式：先窃取数据，再加密系统，最后威胁公开病历。拉丁美洲医疗系统本就安全投入薄弱，2026年以来已多次成为勒索攻击目标。医院应建立离线备份、网络分段和应急转诊方案，并在事件发生后第一时间联系当地CERT和执法机构，而不是急于支付赎金。

LockBit 5.0卷土重来

已被执法机构瓦解后又以"5.0"版本重组的LockBit勒索组织，于11月8日同日宣布两起新攻击：印度在线旅游平台Yatra和巴西农业企业Grupo Telles。两起宣称目前均无独立证据证实受害者系统被攻破。LockBit作为勒索即服务（RaaS）的"鼻祖"，在2023年被美国执法机构联合打击后并未消失，而是以新架构、新站点重新运作，继续以全球企业为目标。

勒索组织Braincipher宣称攻击Hamilton Health Center

勒索追踪平台ThreatMon于11月4日记录到，勒索软件组织Braincipher将Hamilton Health Center列为新受害者。Braincipher目前尚未披露被窃数据量或被加密系统范围。这是本周医疗行业被勒索组织点名的又一家机构，医疗行业在一周内至少出现四起勒索宣称。医疗行业之所以成为勒索重灾区，一方面是因为医院业务一旦停摆直接危及生命，付费意愿强；另一方面是因为医疗系统IT老化、预算有限、离线备份不足。安全专家建议医疗行业建立网络保险、离线空气备份和跨机构应急协作机制，并定期开展勒索攻击桌面演练。

勒索团伙滥用ISPsystem虚拟机投递LockBit/Qilin/ALPHV载荷

尼日利亚国家网络事件响应团队ngCERT于11月6日发布公告，警告勒索组织正在滥用ISPsystem虚拟化平台上的商品虚拟机作为载荷投递和C2基础设施。这些虚拟机一旦开通，即可作为高带宽、稳定的平台托管LockBit、Qilin、BlackCat/ALPHV、WantToCry和Ursnif等主要勒索家族的载荷、暂存脚本和命令控制端点。

GitGuardian获5000万美元C轮

巴黎密钥安全与非人类身份（NHI）治理公司GitGuardian宣布完成5000万美元C轮融资，由Insight Partners领投，Quadrille Capital及Balderton、BPI、Eurazeo、Fly Ventures、Sapphire Ventures等现有投资方跟投。公司表示将加速美国扩张，并进入亚太、南美和中东市场，同时巩固在DACH（德奥瑞）、英国、法国和北欧的布局。目标行业为科技、金融服务和医药/医疗，这些领域合规要求严格、开发团队庞大。GitGuardian的核心产品是扫描代码仓库中的硬编码密钥、管理开发流程中的凭证，并保护机器身份。

Reco获3000万美元B轮融资

以色列AI SaaS安全公司Reco宣布完成3000万美元B轮融资，由Zeev Ventures领投，Workday Ventures、TIAA Ventures、S Ventures、Quadrille Capital等新投资方及Insight Partners、boldstart ventures、Angular Ventures等现有投资方跟投。公司表示新资金将用于扩展工程、产品和市场团队，重点是"大规模发现和保护AI应用与AI代理"。Reco的定位是发现企业影子AI应用并保护AI代理访问。

Nucleus Security获2000万美元C轮融资

位于佛罗里达州的漏洞与暴露管理（VEM）公司Nucleus Security宣布完成2000万美元C轮融资，由Delta-v Capital领投。公司CEO Steve Carter表示，新资金将使其能与客户共同扩展，并"深化云与AI驱动环境所需的情报和自动化能力"。Nucleus的产品定位是统一管理来自漏洞扫描器、云配置、攻击面管理和代码扫描的多源漏洞数据，帮助安全团队按风险优先级排序修复。

Backslash Security获1900万美元A轮融资

以色列"vibe coding"安全公司Backslash Security宣布完成1900万美元A轮融资，由KOMPAS VC领投，Maniv、Artofin Venture Capital及StageOne Ventures、First Rays Capital等现有投资方参投。Backslash的产品专注于识别AI生成代码中的安全风险，并将其嵌入开发工作流。

Palo Alto Networks报价5亿美金洽购Clutch Security

据TechCrunch 11月5日报道，Palo Alto Networks正在谈判以5亿美元现金加里程碑付款收购以色列AI代理安全初创公司Clutch Security。成立仅三年的Clutch专注于管理自主AI代理对企业内部系统的访问权限，上一轮（2026年1月2000万美元A轮）估值为8500万美元，年化经常性收入接近1000万美元，本次收购报价约为其ARR的50倍。若交易完成，这将是Palo Alto Networks今年第七笔收购，也标志着"AI代理安全"成为大厂并购的必争之地。

欧盟Cybersecurity Act 2（CSA2）立法推进

欧洲议会立法跟踪显示，欧盟《网络安全法案》第二版（CSA2）提案正在立法轨道上推进。欧盟委员会于2026年1月20日发布修订提案，作为新网络安全一揽子计划的一部分，旨在加强欧盟网络安全韧性和能力。CSA2将修订ENISA（欧盟网络安全局）的职责、更新欧盟网络安全认证框架，并扩展至ICT供应链安全。议会在2026年1月22日关于技术主权和数字基础设施的决议中，要求委员会评估现行《网络安全法案》并提出修订，重点是加强战略关键基础设施保护、防止受域外管辖实体的外国干预。配套提案还包括对NIS2指令的简化修订，减少企业合规负担。该立法进程对在欧盟运营的企业意味着未来将面对更统一的网络安全认证框架和更严格的供应链要求，企业应提前关注ENISA认证体系变化并准备合规材料。

1. 容器与Linux紧急加固：本周OpenSSH SSHhole漏洞披露即被利用，应立即清点所有musl-based Linux/Alpine容器，升级OpenSSH至10.6p2并重启sshd，禁用密码登录改用密钥认证，检查无密码账户。

2. 互联网暴露面优先处置：WordPress Core升级窗口RCE、Cisco邮件网关root漏洞、Zyxel交换机零日均已被在野利用，应按CISA KEV截止日完成修复，将公网暴露系统纳入7×24监控。

3. 第三方与IoT供应链审计：法国EFS冷库事件警示供应商入侵可直接破坏物理世界，应盘点关键基础设施供应商（含制冷、电力、维护商）的远程接入权限，对IoT控制系统实施网络分段和异常参数告警。

4. 医疗与健康数据防护：本周Xsolis、Amplifon、Revolve接连泄露，医疗SaaS和电商应采用令牌化存储支付和健康数据，对异常批量下载设置告警，并按各州法规及时通知。

5. AI代理权限治理：Palo Alto 5亿美元洽购Clutch标志AI代理安全成赛道，企业应盘点已部署的AI应用和自主代理，实施最小权限、行为审计和异常拦截，不能让AI代理持有过度数据访问权。

6. 浏览器与终端更新：Chrome 156修复多个9.6分漏洞、苹果旧漏洞被APT29利用，应通过企业策略强制推送浏览器和操作系统更新，对延迟更新设备加强隔离。

免责声明

本周报内容由安全419编辑部基于公开资讯整理汇总，旨在为网络安全从业者提供参考信息，不代表安全419的立场和观点，我们已尽力确保信息的准确性和完整性，但不对信息的及时性、准确性、完整性做出保证，同时也不构成任何安全建议、法律意见或投资推荐。依据以上内容做出任何决策前，都应独立进行进一步核实和研究，对于因使用以上内容而导致的任何损失或损害，安全419概不负责。