CISA 与 FBI 联合通告：SafePay 勒索软件已入侵 600 多家关键基础设施机构
CISA 与 FBI、USSS 及德国、英国执法机构联合发布通告，称 SafePay 勒索团伙自 2024 年 8 月以来已入侵至少 600 家关键基础设施机构，涉及北美、南美、欧洲和澳大利亚。
为什么值得看：联合通告给出 SafePay 的初始访问渠道与备份破坏手法，并附 IOC 与 TTP，可用于对照自查。
#VPN/网关
BleepingComputer精选AI 评分7575
Hackread同事件AI 评分8888 Qilin 与 INC 利用 PAN-OS GlobalProtect 漏洞 CVE-2026-0257 发起勒索攻击
Unit 42 在 10 月 19 日和 20 日发布的更新中指出，Qilin（Spikey Scorpius）与 INC（Tarnished Scorpius）等勒索软件运营者正在利用 PAN-OS 认证绕过漏洞 CVE-2026-0257 获取 VPN 访问权限，该漏洞影响 GlobalProtect 门户与网关，可绕过包括 MFA 在内的认证控制。
同一件事，精选收录的是《Qilin 与 INC 勒索团伙扩大利用 Palo Alto Networks GlobalProtect 漏洞 CVE-2026-0257》
Sploitus 利用聚合精选AI 评分8888 Ivanti Connect Secure 认证绕过与 RCE 漏洞 CVE-2026-104935 利用工具公开
Sploitus 收录的 GitHub 项目公开了 CVE-2026-104935 的利用工具 cve_2026-104935.py，该漏洞影响 Ivanti Connect Secure 与 Pulse Secure VPN 网关，无需认证即可 root 执行命令。
为什么值得看：公开工具把认证绕过与 TOCTOU 上传串成完整利用链，并附检测与排查清单，可对照自查暴露的 VPN 网关。
Security Affairs同事件AI 评分7878 FBI 与 CISA 联合通告 SafePay 勒索软件攻击 600 余家机构
CISA、FBI、美国特勤局及德国、英国执法机构本周联合发布通告，称 SafePay 勒索软件自 2024 年 8 月以来已入侵北美、南美、欧洲和澳大利亚至少 600 家关键基础设施领域的机构。
Sploitus 利用聚合精选AI 评分7575 NetScaler ADC 与 Gateway 内存溢出漏洞 CVE-2025-7775 的 Nuclei 检测模板
Sploitus 收录了针对 NetScaler ADC 与 NetScaler Gateway 内存溢出漏洞 CVE-2025-7775 的 Nuclei 检测模板，该漏洞可导致远程代码执行和/或拒绝服务。
为什么值得看：材料给出针对 NetScaler ADC 与 Gateway 的 Nuclei 检测模板，运维可据此排查自身实例是否已打补丁。
Cybersecurity DiveAI 评分5858 FBI 与 CISA 警告 SafePay 勒索软件威胁关键基础设施
FBI 与 CISA 联合欧洲当局发布通告，警告 SafePay 勒索软件已扩展攻击关键基础设施提供商，自 2024 年以来攻击超过 600 家机构，重点集中在北美、南美、欧洲和澳大利亚。
Infosecurity Magazine同事件AI 评分8080 CISA 等机构联合通告称 SafePay 已入侵全球 600 家关键基础设施机构
美国、德国和英国政府机构联合发布通告，称 SafePay 勒索组织自 2024 年 8 月出现以来已入侵至少 600 家关键基础设施机构，影响范围覆盖北美、南美、欧洲和澳大利亚。
Sploitus 利用聚合同事件AI 评分7575 Check Point Security Gateway CVE-2024-24919 文件读取 PoC 公开
GitHub 项目 CVE-2024-24919-PoC 公开了针对 Check Point Security Gateways 的利用代码，该漏洞允许无需认证的远程攻击者在网关接入互联网并启用 Remote Access VPN 或 Mobile Access Software Blades 时读取特定文件，可能泄露敏感信息并在某些场景下横向移动获取域管理员权限。
同一件事，精选收录的是《Check Point CVE-2024-24919 的 nuclei 模板与 curl 复现请求》
Sploitus 利用聚合AI 评分5656 0x.ans 发布 CVE-2024-24919 扫描器
作者 0x.ans 公开了用 Python 编写的 CVE-2024-24919 Scanner，用于在 Web 应用中查找潜在的 CVE-2024-24919 漏洞。工具支持 -x 指定单个目标域名，或用 -w 读取包含 URL 的字典文件批量扫描，用法为 python3 scanner.py [-x TARGET] [-w WORDLIST]。
Sploitus 利用聚合精选AI 评分7575 Check Point CVE-2024-24919 的 nuclei 模板与 curl 复现请求
Sploitus 收录的 GitHub 项目给出 Check Point CVE-2024-24919 的复现材料，包含 CVE-2024-24919.yaml 的 nuclei 模板。
为什么值得看：材料给出了针对 Check Point 网关的 nuclei 模板与 curl 请求，可用来验证目标是否存在路径穿越读取 /etc/shadow。
Cybersecurity Dive精选AI 评分8888 Qilin 与 INC 勒索团伙扩大利用 Palo Alto Networks GlobalProtect 漏洞 CVE-2026-0257
Palo Alto Networks 旗下 Unit 42 警告，Qilin 和 INC 勒索团伙正在扩大利用 GlobalProtect 门户的认证绕过漏洞 CVE-2026-0257，该漏洞 CVSS 评分为 7.8，攻击者可借此建立未授权的 VPN 连接。
为什么值得看：披露约五个月后，该认证绕过漏洞已成为勒索团伙进入内网的稳定入口，文中还给出攻击者转向虚拟化层的手法。
Sploitus 利用聚合AI 评分6060 check-cve-2026-3055-netscaler 检测脚本发布，用于排查 Citrix NetScaler SAML IdP 的 CVE-2026-3055
研究者公开 check-cve-2026-3055-netscaler 脚本，用 Python 3.10+ 检测 Citrix NetScaler / NetScaler Gateway 在作为 SAML Identity Provider 时是否存在 CVE-2026-3055 内存问题，检测逻辑依据 watchTowr Labs 的公开描述。
Rapid7 研究与公告精选AI 评分9393 Rapid7 复盘 NetScaler 入侵：串联 CVE-2026-88771 与 CVE-2026-88779 实现 root 执行
Rapid7 披露一起 Citrix NetScaler ADC 设备被入侵事件，攻击者串联 CVE-2026-88771（免认证日志投毒/RCE）与 CVE-2026-88779（SAML 解析崩溃）取得 root 代码执行。
为什么值得看：复盘把两个漏洞的串联顺序、重启后重复执行与 HA 持久化讲清楚，并给出可落地的排查路径。
Cloudflare 博客 · 安全AI 评分4848 在补丁之外加固 NetScaler Gateway 以应对后续漏洞
Cloudflare 以 Citrix NetScaler 的 CVE-2026-88771、CVE-2026-88772 在野利用为背景，提出在打补丁之外于认证入口前叠加访问控制、WAF 检查与源站连接限制的分层防护思路。
Dark ReadingAI 评分3131 BeyondTrust Remote Support 零日漏洞遭利用，延续边缘设备漏洞被攻击趋势
BeyondTrust Remote Support 出现零日漏洞并已被利用，加入本周 Ivanti、Cisco 和 Palo Alto Networks 边缘设备漏洞遭攻击的行列。原文未披露该漏洞的 CVE 编号、受影响版本区间及修复措施。
CyberScoop精选AI 评分8888 疑似中国背景的 Armory Castle 组织利用 BeyondTrust 零日漏洞 CVE-2026-102764
Mandiant 与 Google Threat Intelligence Group 披露，疑似中国政府支持的间谍组织 Armory Castle（原 UNC5221）利用 BeyondTrust Remote Support 的零日漏洞 CVE-2026-102764 攻击客户，最早可追溯到 8 月下旬。
为什么值得看：BeyondTrust 与 Mandiant 披露了 CVE-2026-102764 的在野利用时间线，并说明攻击者轮换基础设施使溯源只能依赖行为。
Cybersecurity Dive精选AI 评分8888 疑似中国关联组织利用 BeyondTrust Remote Support 零日漏洞 CVE-2026-102764 开展间谍活动
Google Threat Intelligence Group 报告称，被追踪为 Armory Castle 的疑似中国关联黑客自 8 月底起利用 BeyondTrust Remote Support 的零日漏洞 CVE-2026-102764 开展间谍活动。
为什么值得看：报道披露 BeyondTrust Remote Support 零日漏洞被疑似中国关联组织自 8 月底起用于间谍活动，并给出补丁与 CISA KEV 截止时间。
Palo Alto Unit 42AI 评分2727 Unit 42 复盘欧洲某银行入侵事件：第三方网关认证缺陷致 VPN 未授权访问
Unit 42 披露一起欧洲银行入侵事件：攻击者经配置不当、未强制严格认证的第三方托管外部网关设备，用泄露凭据通过 VPN 认证进入内网，活动持续数月。
Ivanti 安全公告精选AI 评分7878 Ivanti 披露 Ivanti Connect Secure 漏洞，称存在有限在野利用
Ivanti 披露 Ivanti Connect Secure 有限版本中存在一个漏洞，披露时已确认存在有限在野利用，并正与受影响组织直接沟通。Ivanti 建议运行受影响版本的用户立即行动，查看安全公告并尽快升级到修复版本，同时定期运行 Integrity Checker Tool。
为什么值得看：Ivanti 披露 Connect Secure 有限版本漏洞时已确认存在有限在野利用，运行受影响版本的用户可据此判断是否需要立即升级。
Palo Alto Unit 42精选AI 评分9494 Citrix NetScaler 0day CVE-2026-88771 与 CVE-2026-88772 遭在野利用投放 Web Shell
Unit 42 称 Citrix 通告中的 CVE-2026-88771 和 CVE-2026-88772 已被在野利用，攻击者借此投放 Web Shell 建立初始访问与持久化。
为什么值得看：材料把两条 NetScaler 0day 的投放链拆到命令级，并给出可落地的日志狩猎查询，适合防守方复盘检测思路。
watchTowr Labs精选AI 评分8888 Citrix NetScaler DTLS 免认证内存溢出 CVE-2026-88772 的在野利用与利用链分析
watchTowr Labs 分析 Citrix 在 CTX697096 中修复的 CVE-2026-88772，这是 NetScaler ADC 与 NetScaler Gateway 的 DTLS 内存溢出漏洞，CVSS 4.0 评分 9.5，可导致远程代码执行或拒绝服务，且已在野作为 0day 利用。
为什么值得看：文章从补丁对比一路走到 ROP 调用 mprotect 执行 shellcode，完整展示了这条 DTLS 溢出链的可行路径。
watchTowr Labs精选AI 评分9090 Citrix NetScaler 免认证命令注入 CVE-2026-88771 已在野利用，watchTowr 公开利用链与检测脚本
watchTowr 分析 Citrix NetScaler 免认证命令注入 CVE-2026-88771，该漏洞影响默认配置，CVSS 4.0 评分 9.5，已在补丁发布前作为 0day 在野利用。
为什么值得看：文章完整还原了 NetScaler 日志解析到 shell 命令注入的链路，并给出补丁对比与检测脚本，便于自查暴露面。
Tenable 安全博客精选AI 评分9494 Citrix NetScaler 三个零日漏洞 CVE-2026-88771、CVE-2026-88772、CVE-2026-88779 已被在野利用
Citrix 已确认 NetScaler ADC 与 NetScaler Gateway 的两个零日漏洞 CVE-2026-88771（输入校验不当，CVSSv4 9.5）和 CVE-2026-88772（内存溢出。
为什么值得看：汇总了三个已在野利用的 NetScaler 漏洞的编号、评分、修复版本与狩猎线索，便于运维一次性核对处置。
watchTowr Labs精选AI 评分8888 F5 BIG-IP APM OAuth 的 Authorization 头堆溢出到 RCE 分析（CVE-2026-94127）
watchTowr Labs 分析 F5 BIG-IP APM 的 CVE-2026-94127，通过补丁对比发现 OAuth 流程中 Authorization 头长度未校验即被 memcpy 进 0x4100 大小的堆缓冲区，发送超过 0x4100 字节的头即可触发崩溃。
为什么值得看：文章从补丁对比还原出 Authorization 头缺少长度校验的堆溢出，并演示了绕过 SELinux 的利用路径。
watchTowr Labs精选AI 评分8888 watchTowr 分析 NetScaler SAML SignedInfo 堆溢出实现免认证 RCE（疑为 CVE-2026-8452）
watchTowr Labs 分析 NetScaler 13.1 在 SAML 规范化 SignedInfo 时把攻击者可控的 PrefixList 拷入固定大小缓冲区，溢出到相邻 nsb 块头部，形成写任意地址原语并最终控制 RIP。
为什么值得看：watchTowr 从 63.18 补丁的差异入手，完整还原了 SAML SignedInfo 堆溢出到 RIP 控制与绕过 pitboss 重启的利用链。
watchTowr Labs精选AI 评分8080 watchTowr 公开 Citrix NetScaler CVE-2026-8451 内存越界读取复现与检测脚本
watchTowr 披露 Citrix NetScaler 的 CVE-2026-8451，Citrix 将其描述为输入校验不足导致内存越界读取，CVSS 评分 8.8，需将设备配置为 SAML IdP 才可触发。
为什么值得看：研究公开了可运行的检测脚本，并说明该内存越界读取在 SAML IdP 配置下可稳定泄露少量内存字节。