eMudhra 八个中间 CA 私钥被攻破，浏览器与软件紧急吊销
Mozilla 与 Chrome Root Program 于 10 月 20 日确认 eMudhra 八个中间 CA 证书的私钥已被攻破，Chrome 与 Firefox 在收到报告后数小时内封锁了这八张证书。
为什么值得看：八个中间 CA 私钥因密钥仪式缺陷可被公开推算，事件串起浏览器、Go、Linux 发行版与证书信任链的连锁处置。
全部漏洞动态
The Hacker News精选AI 评分8888 The Hacker NewsAI 评分3434 攻击者将 Vasilek 后门藏入 VMware Tools，对俄罗斯医疗机构潜伏近两年
Solar 披露，与 Belarus 结盟的 Partisan Zmiy（Cyber Partisans）在俄罗斯一家医疗机构网络内潜伏近两年，最早入侵迹象可追溯至 2024 年初，2025 年 12 月才被发现。
The Hacker News精选AI 评分5858 State Bank of India 确认数据泄露，暗网约 37.5 万条记录中识别出 3,897 条客户记录
State Bank of India 在 10 月 21 日的交易所公告中确认发生数据丢失事件，从暗网约 375,000 条记录中识别出 3,897 条含个人信息的客户记录，但尚不清楚数据来源，也尚未确认数据是否真实。
为什么值得看：银行在交易所公告中承认数据丢失，但样本核验只覆盖 4 条记录，来源与是否被入侵仍无定论。
The Hacker News精选AI 评分7878 TeamUpdraft 网站被入侵，UpdraftCentral 连接密钥被用于向 WordPress 站点植入后门
TeamUpdraft 披露其 teamupdraft.com 网站在 10 月 17-18 日周末遭未授权访问，客户数据库中的 UpdraftCentral、UpdraftVault 和 UpdraftClone 连接密钥可能被窃取，攻击者借此向 WordPress 站点植入后门插件。
为什么值得看：事件说明 UpdraftCentral 连接密钥泄露后如何被用来向 WordPress 站点下发后门插件，并给出可自查的 IOC 与处置步骤。
The Hacker News精选AI 评分7878 攻击者劫持 300 多个 Tor 出口中继，将 SSH 连接重定向至拦截服务器窃取密码
研究人员 kaba 发现，10 月初有攻击者控制 300 多个 Tor 出口中继，把经 Tor 发起的 SSH 连接重定向到 12 台拦截服务器，窃取用户输入的登录密码。
为什么值得看：复盘披露攻击者借 Ebury 后门控制 300 多个 Tor 出口中继，把 SSH 连接引向拦截服务器窃取密码，并给出可操作的排查线索。
The Hacker News精选AI 评分5858 与中国有关联的 Bronze Sandcastle 利用 Sandboxie DLL 侧加载部署后门
Sophos 披露了一个此前未被记录、与中国有关联的攻击组织 Bronze Sandcastle，该组织自 2025 年年中起针对亚洲和非洲的组织发起攻击，受害者分布在菲律宾、台湾、阿富汗、纳米比亚，可能还有韩国。
为什么值得看：Sophos 披露的攻击活动显示，攻击者反复利用 Sandboxie 等合法程序进行 DLL 侧加载，并配合加密配置文件，这种手法可以迁移到检测思路中。
The Hacker News精选AI 评分8383 微软称 Storm-0940 借 ARTEX AI 代理实施 ConnectWise 供应链攻击
微软披露，中国国家关联组织 Storm-0940 是近期 ConnectWise Cloud Backup 供应链入侵的实施者，其在攻击中用 Go 编写的代理式 AI 渗透测试框架 ARTEX 加速扫描侦察、密码喷洒和 OAuth 应用滥用。
为什么值得看：微软披露 Storm-0940 借 ConnectWise Cloud Backup 供应链入侵，用 AI 代理把跨租户密码喷洒推到每分钟 2900 次。
Security Affairs同事件AI 评分8989 AWS 称 PHP2Shell 攻击在 CVE-2026-109618 与 CVE-2026-109619 公开前四天已开始
Amazon Threat Intelligence 在 MadPot 蜜罐遥测中发现，针对 PHP 两个关键漏洞 CVE-2026-109618 与 CVE-2026-109619 的 PHP2Shell 利用尝试始于 2026 年 10 月 17 日，比漏洞公开披露早四天，来源 IP 关联商业匿名化网络。
同一件事，精选收录的是《Amazon 称 PHP2Shell 漏洞 CVE-2026-109618 与 CVE-2026-109619 在公开披露前 4 天已被尝试利用》
CyberScoopAI 评分6565 eMudhra 因私钥可被秒级重算停止签发 SSL/TLS 证书
印度 CA 机构 eMudhra 宣布停止签发 SSL/TLS 证书，此前研究人员证明其八张中间证书的私钥因随机性不足可在不到一秒内重算，其中一张私钥仅为数字 4。
Infosecurity MagazineAI 评分4040 Semperis 发现伊朗黑客组织 Prince of Persia 在美国托管 C2 基础设施
Semperis 研究人员发现伊朗国家背景黑客组织 Prince of Persia 利用位于美国的托管服务器承载其 C2 基础设施，这是至少 12 年来首次确认该组织在美国服务器上托管活动。
BleepingComputerAI 评分2222 攻击者入侵后15分钟内即枚举或窃取数据，Exaforce 分析三类机器速度攻击模式
Exaforce 分析显示攻击者进入环境后 15 分钟内即开始枚举或窃取数据，而本应发现它们的工具未能生效。三类常见模式包括：开发者 OAuth token 被盗后从 GitHub 窃取代码、ClickFix 借 Claude Code 安装指令投递 macOS 窃密程序、以及冒充 IT 的语音钓鱼骗取真实 MFA 认证。
The Hacker NewsAI 评分1818 INTERPOL 开展 Operation Serengeti III 全球执法行动，逮捕 1,462 人、捣毁 10,909 个网络犯罪网络
INTERPOL 宣布在 2026 年 6 月 29 日至 8 月 31 日的 Operation Serengeti III 行动中，21 国执法机构逮捕 1,462 名嫌疑人，捣毁 10,909 个恶意网络，追回逾 1.05 亿美元非法资金。
The RecordAI 评分2222 Interpol 非洲 Serengeti III 行动逮捕 1,462 人，查获 1.05 亿美元
Interpol 通报，非洲 20 国联合美国开展年度行动 Serengeti III，逮捕 1,462 名涉嫌网络诈骗、勒索软件和 BEC 攻击的嫌疑人，捣毁逾 1 万个恶意网络并查获超 1.05 亿美元非法资金。
CSO Online同事件AI 评分8282 与中国有关联的黑客利用 agentic AI 攻击 2,250 个 Microsoft 365 租户
微软威胁情报将利用 ConnectWise Cloud Backup 窃取凭证、攻击 2,250 多个 Microsoft 365 租户的活动归因于 Storm-0940，该组织最早自 2026 年 9 月起使用开源 agentic AI 框架 ARTEX 自动化攻击。
同一件事，精选收录的是《微软称 Storm-0940 借 ARTEX AI 代理实施 ConnectWise 供应链攻击》
The RecordAI 评分4545 美国南卡罗来纳州首府哥伦比亚市遭网络攻击，MyColaSC 等市政系统下线
南卡罗来纳州首府哥伦比亚市正在处置一起网络攻击，MyColaSC 缴费与市政服务平台、地理信息系统及动物服务相关系统被迫下线。市政府称警方、消防、911 通信、供水及支付中心等关键公共安全与公用系统仍正常运行，并已联系州执法部门 SLED 主导调查。市政府未回应是否为勒索软件攻击，截至周三尚无黑客组织宣称负责。
Infosecurity Magazine同事件AI 评分8888 微软称中国国家背景组织 Storm-0940 用 AI 框架 ARTEX 攻破 ConnectWise 的 Microsoft 365 租户
微软将 ConnectWise 使用的 Microsoft 365 租户被攻破归因于中国国家背景组织 Storm-0940，该组织自 2026 年 9 月起使用 agentic AI 渗透测试框架 ARTEX 针对全球数百家机构，常在初始定向后不到三小时取得云基础设施的特权访问。
同一件事，精选收录的是《微软称 Storm-0940 借 ARTEX AI 代理实施 ConnectWise 供应链攻击》
Ars Technica 安全AI 评分5656 333 个 Tor 出口节点被劫持，用于拦截 SSH 流量并获取明文邮件
据 Ars Technica 报道，本月有 333 个 Tor 出口节点被入侵，攻击者借此拦截 SSH 流量并获取明文邮件，入侵持续了 3 天。
The Hacker News精选AI 评分5858 Railway 称入侵者可能访问客户密钥，敦促轮换凭据
PaaS 提供商 Railway 周三披露，存储客户环境变量的系统出现异常活动，调查发现未授权第三方可能访问了加密的环境变量，并在部分情况下获取了解密后的内容。Railway 表示影响范围限于一部分用户，并敦促用户轮换凭据。
为什么值得看：PaaS 厂商披露环境变量存储系统遭未授权访问，部分用户密钥可能已解密外泄，可据此评估自身凭据轮换需求。
Hackread同事件AI 评分8888 Qilin 与 INC 利用 PAN-OS GlobalProtect 漏洞 CVE-2026-0257 发起勒索攻击
Unit 42 在 10 月 19 日和 20 日发布的更新中指出，Qilin（Spikey Scorpius）与 INC（Tarnished Scorpius）等勒索软件运营者正在利用 PAN-OS 认证绕过漏洞 CVE-2026-0257 获取 VPN 访问权限，该漏洞影响 GlobalProtect 门户与网关，可绕过包括 MFA 在内的认证控制。
同一件事，精选收录的是《Unit 42 称 Spikey Scorpius 与 Tarnished Scorpius 正利用 PAN-OS CVE-2026-0257》
安全客AI 评分4848 CyberCartel 用 Claude、Grok 等大模型智能体全自动攻击 400 多家拉美金融机构
安全公司 Straiker 调查发现，黑客组织 CyberCartel 用 Anthropic 的 Claude、xAI 的 Grok 等大模型搭建 AI 智能体网络，对 400 多个拉美金融机构（含多家银行和支付应用）实施全自动攻击，可自主盗取密码、窃取客户数据并接入银行账户。
BleepingComputerAI 评分2020 Interpol 协调 21 国开展 Operation Serengeti III，捣毁近 11,000 个非洲网络犯罪网络
Interpol 协调 21 国执法机构于 6 月 29 日至 8 月 31 日开展 Operation Serengeti III，逮捕 1,462 名嫌疑人并捣毁 10,909 个恶意网络，追回逾 1.05 亿美元非法资金。
Security Affairs同事件AI 评分7878 FBI 与 CISA 联合通告 SafePay 勒索软件攻击 600 余家机构
CISA、FBI、美国特勤局及德国、英国执法机构本周联合发布通告，称 SafePay 勒索软件自 2024 年 8 月以来已入侵北美、南美、欧洲和澳大利亚至少 600 家关键基础设施领域的机构。
同一件事，精选收录的是《CISA 等机构联合通告称 SafePay 已入侵全球 600 家关键基础设施机构》
Kaspersky SecurelistAI 评分6060 APT41 用 BlackX UEFI bootkit 攻击中亚外交机构
卡巴斯基 GReAT 在 2026 年初发现针对塔吉克斯坦、乌兹别克斯坦和土库曼斯坦外交机构的 APT 攻击，攻击者获取管理员权限后投放与 BlackLotus 相似的 UEFI bootkit，命名为 BlackX，利用 Baton Drop（CVE-2022-21894）绕过 Secure Boot。
Cybersecurity DiveAI 评分6565 eMudhra 八个中间证书密钥强度不足，主流浏览器切断信任
印度证书机构 eMudhra 在创建八个中间证书时未按规范流程操作，生成的私钥仅含 3 到 8 位熵，而正常私钥通常有数百位熵。Cloudflare 称攻击者可借此为任意域名伪造证书并冒充服务器拦截或修改流量；Google、Mozilla 等主流浏览器已切断对这八个弱中间证书的信任，并要求用户尽快更新浏览器和操作系统。
Cisco Talos 情报博客同事件AI 评分7878 eMudhra 八个中间证书私钥强度不足被泄露，Go 以 CVE-2026-111943 修复
Cisco Talos 披露 eMudhra 八个中间 CA 证书的私钥仅具 3–8 位熵，持有者可冒充任意网站或服务；Chrome、Mozilla、Apple 已封禁其中六个 TLS 证书，Microsoft 封禁两个代码签名证书。
同一件事，精选收录的是《eMudhra 中间 CA 密钥生成缺陷 PoC 从公开证书恢复 8 个私钥》
微软安全博客同事件AI 评分8888 微软称 Storm-0940 借 ARTEX 框架发动 AI 驱动攻击，导致 ConnectWise 供应链失陷
微软将近期披露的 ConnectWise 多租户应用供应链失陷归因于中国背景攻击组织 Storm-0940，该组织最早自 2026 年 9 月起使用开源代理式 AI 渗透测试框架 ARTEX 自动化攻击全球数百家组织，部分案例从初始定位到取得云环境特权访问不足 3 小时。
同一件事，精选收录的是《微软称 Storm-0940 借 ARTEX AI 代理实施 ConnectWise 供应链攻击》
CyberScoop同事件AI 评分8383 微软将 ConnectWise 供应链攻击归因于中国背景组织 Storm-0940
微软研究人员将针对 ConnectWise 客户的供应链攻击归因于其追踪为 Storm-0940 的中国背景威胁组织，该组织最早自 2026 年 9 月起使用 AI 渗透测试框架 ARTEX 自动化攻击全球数百家机构。
同一件事，精选收录的是《微软称 Storm-0940 借 ARTEX AI 代理实施 ConnectWise 供应链攻击》
Graham Cluley 安全AI 评分4242 Smashing Security 播客第 489 期：一款全新加密钱包如何内置间谍软件
Smashing Security 播客第 489 期讨论了全新加密钱包可能内置间谍软件的风险，并提醒用户钱包未必如想象中安全。节目还提到洗衣机广告可能试图获取手机访问权限，并采访 Origin 的 Spencer Thompson 谈 AI agent 在员工笔记本上的活动。
BleepingComputer精选AI 评分7373 日本 Onamae Desktop Cloud 遭入侵，最多 26,739 台客户服务器受影响
GMO Internet 旗下 Onamae.com 确认 Onamae Desktop Cloud 遭第三方未授权访问，部分客户服务器环境被植入恶意程序，受影响服务器最多达 26,739 台。
为什么值得看：事件披露了入侵确认、服务器关停与恢复时间未定等处置细节，可了解云服务商在客户环境被植入恶意程序后的应对方式。
BleepingComputer精选AI 评分5858 Lazarus 在 FlashHole 行动中用后量子加密保护恶意载荷投递
卡巴斯基将针对韩国机构的攻击行动命名为 FlashHole，并归因于 Lazarus Group；该行动自 2025 年 7 月开始，通过钓鱼页面和特制 GitHub 页面投递恶意载荷。
为什么值得看：卡巴斯基复盘 Lazarus 的 FlashHole 行动，其用 ML-KEM 后量子加密保护载荷下发这一手法在恶意软件投递中较为少见。
Infosecurity MagazineAI 评分4040 Athena StealthRoute 钓鱼即服务平台用 AI 生成诱饵并隐藏恶意活动
Abnormal AI 发现新型钓鱼即服务平台 Athena StealthRoute，其 AI Studio 提供六种工作流，用于生成定制化钓鱼诱饵、配套材料及用于掩护的良性诱饵内容。
Cybersecurity DiveAI 评分5858 FBI 与 CISA 警告 SafePay 勒索软件威胁关键基础设施
FBI 与 CISA 联合欧洲当局发布通告，警告 SafePay 勒索软件已扩展攻击关键基础设施提供商，自 2024 年以来攻击超过 600 家机构，重点集中在北美、南美、欧洲和澳大利亚。
Palo Alto Unit 42AI 评分3434 Unit 42 披露威胁者 BUGSTER 借助 Hermes Agent 与 DeepSeek V4 实施多类网络犯罪
Unit 42 披露威胁者 BUGSTER 将 Hermes Agent 框架搭配 DeepSeek V4 与 Cursor IDE 并关闭安全控制，用于凭证窃取、VoIP 欺诈、Wi-Fi 密码破解与加密货币侦察等多类犯罪。
Infosecurity MagazineAI 评分2222 Symantec 发现利用被劫持 AI 模型自主发动网络攻击的 AI Agent
Symantec Threat Hunter Team 通过 AI 蜜罐捕获一个可自主执行最多 10 万次恶意操作的 AI Agent，其指令集包含约 74 个工具，用于侦察、漏洞利用、窃取凭据、部署加密货币挖矿程序和重感染系统。
Cybersecurity DiveAI 评分5858 Symantec 披露 APT28 入侵北约成员国造船厂等目标的间谍行动
Symantec 研究人员称，与俄罗斯关联的 APT28（Fancy Bear）在为期两个月的行动中入侵了一个北约成员国的造船厂网络，并同时针对执法机构和一家航空航天发动机制造商。
Rapid7 研究与公告AI 评分2222 Rapid7 Q3 2026 威胁报告：高危漏洞公开到被利用平均仅需 3 天
Rapid7 最新季度威胁报告显示，Q3 2026 高危与严重漏洞从公开披露到被利用平均仅 3 天，71% 的利用发生在披露后 7 天内。本季度追踪到 43 个新被利用漏洞，其中 34 个（79%）无需认证或用户交互；另有 8% 的威胁报告提及 AI 被用作攻击的作战环节。
HackreadAI 评分5858 SOCRadar 发现 INC 与 The Gentlemen 勒索软件关联方暴露的 7 台服务器，含 8,257 条 AI 消息
SOCRadar 威胁研究部门发现 7 台与 INC Ransomware 和 The Gentlemen 勒索软件关联方有关的暴露服务器，其中包含 133 个 OpenCode 会话的 8,257 条 AI 消息、46 个为 6 名受害者定制的 INC 加密器构建版本，以及超过 23,920 美元的 AI API 支出记录。
Malwarebytes 博客AI 评分3030 假 Amazon Music x YouTube 合作以真实频道数据为饵，诱导创作者落入 Google 登录钓鱼陷阱
攻击者用 amazonyt[.]com 冒充“Amazon Artists Music — Creator Portal”，以邀请制 Amazon Music 广告合作为名，先用 YouTube 公开 API 展示创作者真实频道数据骗取信任，再以“验证频道”为由弹出 youtubechannelverification[.]com 的伪造 Google 登录框窃取账号凭据。
Infosecurity MagazineAI 评分2222 Nord Security 报告：2026 年第三季度勒索软件攻击达 2894 起，同比增 50%
Nord Security 10 月 21 日报告显示，2026 年 7 月至 9 月共记录 2894 起勒索软件攻击，同比增加 50%，环比增加 8.6%。The Gentlemen 以 383 起居首，Qilin 以 363 起紧随其后，两者全年交替领先，竞争推动其开发新攻击手法。两个团伙均转向仅窃取数据而不加密的勒索方式，初始入口仍以弱口令、缺乏多因素认证和未修补漏洞为主。
CSO Online同事件AI 评分7878 TeamUpdraft 凭证泄露后 WordPress 站点被植入恶意插件
攻击者利用 TeamUpdraft 安全事件中泄露的 UpdraftCentral 连接密钥，在受影响的 WordPress 站点上执行命令并安装恶意插件以建立持久访问。
同一件事，精选收录的是《UpdraftCentral 密钥泄露致 WordPress 站点被植入后门插件》