Amazon Threat Intelligence 在 MadPot 蜜罐遥测中发现，针对 PHP 两个关键漏洞 CVE-2026-109618 与 CVE-2026-109619 的 PHP2Shell 利用尝试始于 2026 年 10 月 17 日，比漏洞公开披露早四天，来源 IP 关联商业匿名化网络。
同一件事，精选收录的是《Amazon 称 PHP2Shell 漏洞 CVE-2026-109618 与 CVE-2026-109619 在公开披露前 4 天已被尝试利用》
SOCRadar 威胁研究部门发现 7 台与 INC Ransomware 和 The Gentlemen 勒索软件关联方有关的暴露服务器，其中包含 133 个 OpenCode 会话的 8,257 条 AI 消息、46 个为 6 名受害者定制的 INC 加密器构建版本，以及超过 23,920 美元的 AI API 支出记录。
阿里云先知社区发布勒索预警，称 weax 勒索病毒针对用友畅捷通 T+ 应用使用 0day 进行攻击，并给出溯源全流程与 IOC。材料仅提供摘要，未披露漏洞编号、受影响版本与具体利用细节。
Darktrace 记录了一起分发 Rust 远控木马 CikaBika Bot 的攻击活动，该木马完全通过 Discord 频道接收指令并回传数据。
Rapid7 披露一起 Citrix NetScaler ADC 设备被入侵事件，攻击者串联 CVE-2026-88771（免认证日志投毒/RCE）与 CVE-2026-88779（SAML 解析崩溃）取得 root 代码执行。
为什么值得看：复盘把两个漏洞的串联顺序、重启后重复执行与 HA 持久化讲清楚，并给出可落地的排查路径。
Cisco Talos 在季度漏洞观察中指出，CVE 编号数量已突破 7 万，同比增长 105%，而 KEV 仅增长 37%。2025 年及更早的 CVE 仍占 KEV 的 33%，说明补丁缺口依然存在；2026 年 CVE 中发布日期与加入 KEV 日期相同的仅占 29%。网络设备相关 CVE 占比小幅升至 27%。
Unit 42 调查了一起入侵事件，攻击者利用 CVE-2024-47575 针对 500 多台防火墙，并部署了内存驻留的 ARM64 恶意程序 PEERSTITCH。
为什么值得看：Unit 42 复盘一起利用 CVE-2024-47575 的攻击，涉及 500 多台防火墙与内存驻留的 ARM64 恶意程序。
Unit 42 披露一起欧洲银行入侵事件：攻击者经配置不当、未强制严格认证的第三方托管外部网关设备，用泄露凭据通过 VPN 认证进入内网，活动持续数月。
Weaxor 勒索家族系列复盘记录了 2026 年 9 月 5 日晚间的一起事件，被攻击的是一套通过动态域名映射到公网的用友 U8 Cloud 系统，攻击借助阿里云服务器实施。文章在缺少中间件日志的条件下完成完整溯源，并附有 IOC。
Unit 42 将一伊朗国家关联组织针对中东关键基础设施的攻击活动追踪为 CL-STA-1178，其中代号 Blinder Tunnel 的行动于 2026 年 3 月攻击伊拉克关键基础设施目标，相关基础设施早在 2025 年 11 月已开始搭建。
Patchstack 遥测显示，攻击者自 2026 年 10 月 4 日起通过 WPC Product Bundles for WooCommerce 的 CVE-2026-93836 和 Ninja Forms 的 CVE-2026-94504 两个无需认证的存储型 XSS 漏洞，向管理员浏览器投递同一份 imgcdn1.com/fz/x.js 载荷。
为什么值得看：同一植入体经两个不同插件的存储型 XSS 投递，并留下四条互相独立的回访通道，可作持久化检测的参照。
Kaspersky GERT 披露，自 2025 年起针对俄罗斯组织的出于经济动机的团伙 Toy Ghouls 首次使用自研后门，包括基于 HiveMQ MQTT broker 的 mqtt-bird-agent 0.1.0 和基于 Element 的 matrix-bird-agent 0.1.0。
Kaspersky 披露 Mirage Kitten 的新恶意软件 NodeRabbit 与 PollCat，两者均为跨平台 RAT，分别用 Node.js 和混淆 JavaScript 编写，通过 LinkedIn 等招聘平台冒充招聘方发送含木马的编码挑战压缩包投递。
为什么值得看：披露 Mirage Kitten 首次改用 Node.js 与 JavaScript 后门，并给出完整感染链与 C2 通信细节，可供防御方比对招聘诱饵与开发环境持久化痕迹。
Kaspersky 分析一个 MD5 为 c24e99f9437feacaa63766a3cde3fe3d 的样本，发现其广告功能并不生效，而是通过篡改的 QN Wallpaper 以 libcef.dll 侧加载投递 ValleyRAT 后门。
为什么值得看：分析还原了广告软件签名进程被用于 DLL 侧加载投递 ValleyRAT 的完整链路，并给出 2026 年感染规模与 IOC。
Trend Micro 解读 Sysdig 本月记录的 JADEPUFFER 事件，称其为首个由 AI 代理自主完成的勒索入侵，从利用 Langflow 的 CVE-2025-3248 免认证 RCE 进入，到加密并删除约 1,342 条 Nacos 配置记录、留下勒索信，全程无人工介入。
为什么值得看：Sysdig 记录的 JADEPUFFER 案例显示代理可自主完成从入侵到破坏的全流程，但勒索变现环节失败，可据此理解行为检测的落点。
The DFIR Report 复盘 2025 年 7 月一起入侵：用户通过 Bing 搜索 ManageEngine OpManager 被导向仿冒域名 opmanager[.]pro，下载带毒的 MSI 安装包，经 consent.exe 侧加载 msimg32.dll 运行 BumbleBee 加载器。
为什么值得看：完整复盘从 Bing 搜索投毒到 Akira 加密的 44 小时链路，含 NTDS.dit 导出、SSH 反向隧道与 77GB 外传的具体命令和日志证据。
The DFIR Report 发现一台暴露的攻击服务器，其上的 Bissa scanner 围绕 React2Shell（CVE-2025-55182）扫描数百万个目标，日志显示确认 900 余次成功利用。
为什么值得看：报告基于一台暴露的攻击服务器还原了从大规模扫描、命中评分到凭据归集与优先排序的完整流水线，可看到攻击方如何用 AI 工具编排作业。
The DFIR Report 复盘了一起针对暴露在互联网的 Apache ActiveMQ 服务器的入侵，攻击者利用 CVE-2023-46604 实现 RCE，通过 Java Spring bean 配置 XML 调用 CertUtil 下载 Metasploit stager。
为什么值得看：完整复盘展示了同一台未修补 ActiveMQ 服务器被两次攻破后如何走向 LockBit 部署，并给出从首次入侵到加密的时间线。
The DFIR Report 复盘一起 2025 年 3 月初开始的 Lynx 勒索入侵，攻击者用事先泄露的凭据直接 RDP 登录暴露在互联网的主机，全程未出现暴力破解或密码喷洒。