全球网安事件速递

1. 美国最大光纤宽带运营商Brightspeed遭入侵，黑客组织威胁公开百万用户数据

黑客组织Crimson Collective入侵Brightspeed，窃取超100万用户个人信息，威胁公开更多数据。Brightspeed正紧急调查，强调重视网络安全。该组织以勒索为目的，曾多次攻击云环境并公开敏感数据。【外刊-阅读原文】

2. 俄罗斯背景APT组织UAC-0184利用Viber间谍软件监控乌克兰军方

俄罗斯黑客组织UAC-0184通过Viber发送恶意ZIP文件，针对乌克兰军政机构进行钓鱼攻击，使用伪装文档和HijackLoader部署Remcos木马窃取情报，预计2025年持续行动。【外刊-阅读原文】

3. 具备远程控制能力的GravityRAT木马攻击Windows、Android和macOS系统

GravityRAT是跨平台木马，伪装合法软件攻击政府、军事等目标，窃取敏感数据。采用高级规避技术检测虚拟环境，难以分析。通过伪造应用传播，长期控制设备，由专业团队运作，持续更新攻击手段。【外刊-阅读原文】

4. n8n工作流平台曝高危漏洞（CVSS 9.9）：认证用户可执行系统命令

n8n曝高危漏洞(CVE-2025-68668)，认证用户可执行任意系统命令，影响1.0.0至2.0.0版本。漏洞源于Python节点沙箱绕过，CVSS评分9.9。2.0.0版本已修复，建议禁用代码节点或启用任务运行器隔离。【外刊-阅读原文】

5. 新型TCC绕过漏洞：macOS面临自动化攻击风险

苹果macOS的TCC隐私框架被曝高危漏洞（CVE-2025-43530），攻击者可利用VoiceOver辅助功能模块绕过权限检查，通过篡改苹果签名文件或TOCTOU漏洞完全控制设备。苹果已发布补丁修复，建议用户立即更新系统。【外刊-阅读原文】

6. 联发科2026年首轮重大安全更新：修复移动芯片组高危漏洞

联发科发布2026年1月安全更新，修复数十款芯片组高危漏洞，包括调制解调器组件中的栈溢出和空指针解引用问题，可能导致系统崩溃或任意代码执行。用户需及时更新设备安全补丁防范风险。【外刊-阅读原文】

7. 新型ClickFix攻击利用伪造Windows蓝屏界面诱骗用户执行恶意代码

PHALTBLYX恶意软件通过伪造Booking.com钓鱼邮件诱导用户手动执行恶意PowerShell命令，利用MSBuild.exe绕过检测并植入DCRat变种，窃取系统信息。建议加强用户培训并监控可疑MSBuild.exe活动。【外刊-阅读原文】

8. 新型钓鱼攻击伪装谷歌技术支持窃取登录凭证

新型钓鱼攻击伪装谷歌技术支持，利用语音伪造和谷歌云基础设施发送钓鱼邮件，全球3200家企业受害。攻击通过可信域名和虚假验证页面窃取凭证。防御需多因素认证、安全意识培训及行为分析检测，警惕滥用合法平台的钓鱼策略。【外刊-阅读原文】

9. CVE-2025-66518：Apache Kyuubi 高危漏洞可泄露服务器本地文件

Apache Kyuubi 1.6.0-1.10.2 存在高危漏洞（CVE-2025-66518，CVSS 8.8），攻击者可绕过路径限制访问本地文件系统。建议立即升级至 1.10.3+ 修复此安全缺陷。【外刊-阅读原文】

10. 臭名昭著的Scattered Lapsus$ Hunters重出江湖：推出新型勒索软件即服务平台"ShinySp1d3r"并大肆招募内鬼

Scattered Lapsus$ Hunters组织重出江湖，推出新型勒索软件ShinySp1d3r，转向内鬼招募和云平台攻击，目标锁定年收入超5亿美元的非特定国家企业，提供分层佣金，并利用反侦察话术消除内鬼顾虑。【外刊-阅读原文】

优质文章推荐

1. 别让API成为系统的短板：风险剖析与防护之道

API安全是数字化业务的生命线，常见漏洞包括越权访问、数据泄露和逻辑缺陷，威胁用户隐私和业务连续性。需采取严格输入校验、强身份认证、加密传输及速率限制等策略，构建贯穿全生命周期的安全防护体系，确保API集成安全可靠。【阅读原文】

2. WebSocket 安全手册：从实验到防御实践

WebSocket实现实时通信但存在安全隐患，如跨站劫持、XSS注入和DoS攻击。防御措施包括强制WSS加密、验证来源、会话隔离、消息过滤、心跳机制和限流控制，确保安全使用。【阅读原文】

3. CVE-2025-66478 (React2Shell) 安全分析报告

CVE-2025-66478（React2Shell）是Next.js框架的严重RCE漏洞，CVSS 10.0分。无需认证即可通过HTTP POST触发，影响全球1200万网站。漏洞源于React Server Components反序列化时未验证原型链访问，导致任意代码执行。建议立即升级至Next.js 16.0.7+并轮换密钥。【阅读原文】

*本文内容收集自全球范围内的媒体与刊物，制作者对其完整性负责，但不对其真实性和有效性负责。

*标明为【外刊】的内容主要来源为英语国家的媒体与刊物，部分内容需要注册原链接平台账号后方可阅读。