This2Shell、That2Shell 連續曝出 RCE 漏洞，AI 與供應鏈風險再升溫

This2Shell, That2Shell, Everything2Shell。這大致說明瞭過去一週的情況。允許攻擊者遠端執行程式碼的關鍵漏洞正處處出現。駭客正在掃描目標，一些缺陷已經被利用於攻擊，安全團隊面臨的緊急修補需求超過了他們的處理能力。

這還不是全部。洩漏的金鑰引發了軟體供應鏈攻擊。AI 代理被誘導執行有害指令。舊漏洞仍被用來侵入系統，一些攻擊簡單到令人難以置信仍然有效。為了避免風險，甚至有網站下線。

對於試圖維護系統安全的人來說，這是一個艱難的一週。以下是發生的事。

⚡ 這週威脅

PHP2Shell 漏洞使組織警覺 — PHP 基金會釋出了兩個關鍵漏洞的修補程式，CVE-2026-109618 與 CVE-2026-109619，這些漏洞可能導致未經授權的遠端程式碼執行。這些安全缺陷被代號為 PHP2Shell。自公開披露以來，缺陷已受到廣泛掃描，Cloudflare 表示在公開後已偵測到數百萬次利用嘗試。迄今為止，尚未觀測到成功利用。漏洞的嚴重性，加上 PHP 在網路上的普及度，促使多個網站為了預防而下線。

🔔 重大新聞

• eMudhra 退出 TLS 證書市場，因弱私鑰被駭 — 印度數位安全公司 eMudhra 的八份中介 CA 證書被發現使用 極度弱小的私鑰，可能讓不法分子破解並發行受信任的證書給任意域名。主要網頁瀏覽器已介入並封鎖受影響的 CA。"2026 年 10 月 19 日，Apple 開始在 Apple 裝置上封鎖這 12 筆證書，"Apple 表示。"證書設定資料的更新會自動送至裝置，必要時即時更新，您不需要安裝任何軟體更新即可取得此變更。Apple 正在進一步更新此封鎖，亦將自動傳送。2026 年 10 月 23 日，Apple 亦開始封鎖 emSign ECC Root CA - G3。"Python 亦已 發布更新版的 certifi、pip、uv、sigstore、conda 與 pixi 套件，以移除 emSign 根 CA 證書。此事件促使 eMudhra 退出證書發行業務。
• Brotli 重大缺陷已修復 — Google 的 Brotli 解碼器庫（CVE-2026-111497）中已修正一個嚴重漏洞，該漏洞可能導致未經授權的遠端程式碼執行。此缺陷亦被稱為 Node2Shell 與 HTTP2Shell，已在其他依賴 Brotli 的熱門函式庫中修正，包括 libbrotli、Python、C++、Node.js、Bun、Envoy 與 Istio。此披露發生於 Ruby 發布 4.0.9、3.4.12 與 3.3.13 版，以修正 Ruby 正規表示式引擎 Onigmo（CVE-2026-89078、CVE-2026-93577、CVE-2026-97229 與 CVE-2026-110264）中的多個錯誤，這些錯誤可被用於在 GitLab 伺服器上執行遠端程式碼。
• 兩個 CVSS 9.0 Linux KSMBD RCE 漏洞在修復前已公佈 — 執行 KSMBD（核心自帶 SMB 伺服器）的 Linux 伺服器，暴露於兩個公開報告的遠端程式執行漏洞，分別追蹤為 ZDI-CAN-33774 與 ZDI-CAN-33549，另外還有一個稱為 ZDI-CAN-33367 的本地許可權提升漏洞。這些漏洞尚未被分配 CVE ID，也沒有報告實際被利用。"受影響的組織應立即限制未授權使用者名稱空間，並在可行時啟用 RuntimeDefault seccomp，確認 ksmbd 是否在任何環境中執行，並在發行版釋出修復程式的同一天修補 ZDI-CAN-33367"，Sysdig 表示。
• Plex2Shell 漏洞已在實際環境中被利用 — Plex Media Server 的四個漏洞，CVE-2026-96652、CVE-2026-96654、CVE-2026-96655 與 CVE-2026-96656，已被串接成名為 Plex2Shell 的利用方式，以傳送加密貨幣挖礦程式與代理軟體。美國網路安全與基礎設施安全域性（CISA）已 將所有四個漏洞加入其已知被利用漏洞（KEV）目錄。
• Railway 警告針對性攻擊活動 — Railway 表示已知 2026 年 10 月 20 日 19:53 UTC 發生一次「持續且針對性的攻擊活動」，目標為突破其基礎設施並進行蒸餾攻擊。"早期調查顯示，此攻擊試圖取得 AI 供應商的 API 金鑰以進行蒸餾攻擊"，其說。"初步證據表明，惡意行為者擁有已蒸餾模型及大量計算資源，使其能對我們的基礎設施執行高度複雜的利用"。該開發平臺敦促使用者在 2026 年 10 月 21 日之前撤銷並重新設定存於 Railway 的敏感環境變數。
• LiteLLM 洩露主金鑰導致供應鏈攻擊 — LiteLLM 揭示，2026 年 5 月底意外將 Agent Platform 主金鑰發布至公共 GitHub 倉庫，最終使威脅行為者能推送惡意版本的熱門 Python 套件。LiteLLM 1.107.0 版捆綁的檔案被設計為在 Python 啟動時自動執行，即使應用程式未匯入 LiteLLM。惡意程式包含兩條執行路徑：一個針對開發工具、AI 應用、雲端環境和網頁瀏覽器中的認證資料的憑證收集模組，以及一個 Unix 為主的後門，作為背景程序每小時啟動一次，從攻擊者提供的任意程式碼下載並執行。
• GitLab 修復另一個關鍵漏洞 — GitLab 釋出了針對 CVE-2026-110264（CVSS 分數：10.0）的修補程式，該漏洞為一個關鍵缺陷，根據特定條件「可能允許未經授權的使用者因編譯特殊設計的正規表示式時發生整數溢位而在 GitLab 伺服器上執行任意程式碼」。此問題已在 GitLab Community Edition (CE) 與 Enterprise Edition (EE) 的 19.5.1、19.4.3、19.3.6、19.2.9、19.1.9、19.0.10 與 18.11.13 版中修正。

‎️‍🔥 趨勢 CVEs

錯誤每週下降，修補程式與利用程式之間的差距正快速縮小。以下為本週的重點：高嚴重度、廣泛使用或已被實際利用的漏洞。

請檢查清單，修補已有漏洞，優先處理標示為緊急的專案 — CVE-2026-109618, CVE-2026-109619, CVE-2026-115560 (PHP), CVE-2026-97406 (Xerj Console API), CVE-2026-75754 (ASUS Control Center), CVE-2026-76299, CVE-2026-76302, CVE-2026-76531, CVE-2026-76407 (Splunk), CVE-2026-28328 (SolarWinds Observability), CVE-2026-20043, CVE-2026-20236, CVE-2026-20291, CVE-2026-20356, CVE-2026-76466, CVE-2026-76473, CVE-2026-76474, CVE-2026-76475, CVE-2026-76476, CVE-2026-76477, CVE-2026-76478, CVE-2026-76479, CVE-2026-76481 (Cisco), CVE-2026-91403 (Oracle), CVE-2026-82814 (Duplicator and Duplicator Pro WordPress plugins), CVE-2026-113341, CVE-2026-113279, CVE-2026-113072, CVE-2026-113280, CVE-2026-113271, CVE-2026-113303 (Google Chrome), CVE-2026-110264 (GitLab), CVE-2026-77934 (Coze Studio), CVE-2026-77933, CVE-2026-77932 (DB-GPT), CVE-2026-77936, CVE-2026-77937 (Letta), CVE-2026-77930 (EvoScientist), CVE-2026-109443 (JoySafeter), CVE-2026-77926 (Aix-DB ChatBI), CVE-2026-75128 (Langchain-Chatchat), CVE-2026-109442 (piflow), CVE-2026-109444 (OpenSRE), CVE-2026-109440 (LangAlpha), CVE-2026-109437 (Cognition), CVE-2026-108263 (Astron Agent), CVE-2026-77521 (MaxKB), CVE-2026-97693 (Yuxi), CVE-2026-104085 (odt2spip), CVE-2026-49950 (Xorbits Xoscar), CVE-2026-113380 (Signal), CVE-2026-114625 (Arista VeloCloud Orchestrator), CVE-2026-111497 aka Node2Shell (Brotli), CVE-2026-112900, CVE-2026-112403, CVE-2026-112393 (Pillow), CVE-2026-77185 (Atlassian Fisheye and Crucible), CVE-2026-65182, CVE-2026-65637, CVE-2026-65905, CVE-2026-68525 (Atlassian Crowd Data Center and Confluence Data Center), CVE-2026-58062 (Atlassian Jira Service Management Data Center), CVE-2026-75595 (Atlassian Bamboo Data Center), CVE-2026-89078, CVE-2026-93577, CVE-2026-97229, CVE-2026-110264 (Ruby), from CVE-2026-79844 through CVE-2026-79895, CVE-2026-79955, CVE-2026-79956, and from CVE-2026-95704 through CVE-2026-95721 (HPE Networking Wireless Operating Systems).

🎥 網路安全研討會

• 從零日漏洞到數分鐘內利用：你準備好面對 AI 威脅了嗎？ → AI 驅動的網路攻擊正加速，縮短安全團隊檢測、調查和回應的時間。你的防禦是否能跟上？參加這場專家主導的網路研討會，瞭解如何提升 AI 威脅應變能力、改善攻擊面可見度，並在攻擊者取得優勢之前，打造更快、更具韌性的安全運營。
• 學習如何將身分背景轉化為更快、更聰明的 SOC 回應 → 您的安全工具能偵測可疑活動，但若無身分背景，關鍵威脅可能被忽視。隨著機器身分與 AI 代理擴大攻擊面，SOC 團隊需要更深入的視覺化以有效回應。加入此專家主導的網路研討會，瞭解將身分智慧與安全運營連結如何協助揭露隱藏風險、加速調查並更快遏制威脅。

📰 網路世界概覽

• CrowdStrike 表示它 發現 四個先前未報告的威脅行為者，他們策動的攻勢中使用 Claude Code 進行決策與執行指令，展示代理式 AI 如何將基礎攻擊操作商品化。這包括一名西班牙/英語使用者，已侵入至少 15 家位於阿根廷的醫療機構並從至少一名受害者處外流憑證與醫療紀錄；一名中文使用者，已突破兩國政府機構並針對巴西與美國的私營部門；一名印尼語使用者，利用 819 個技能侵入印尼政府域與多傢俬營部門；以及一群俄語使用者，已外流美國客戶關係管理供應商的企業客戶資料，並侵入多家俄羅斯、吉爾吉斯斯坦與美國的私營 SaaS 與資料中心。
• Johns Hopkins Bayview Medical Center 正在 通知 3,182 名病患 其個人健康資訊可能已外洩，原因是員工將病患資訊表上傳至未獲核准的外部 AI 平臺。資訊包含 2026 年 5 月至 2026 年 9 月入院及治療的病患姓名、入院與治療日期、醫療紀錄號碼、帳號、治療部門、所給藥物與醫療提供者姓名。該美國醫院表示已聯絡 AI 平臺供應商要求刪除資料。
• Anthropic 表示它使用 Claude 分析 25 個主要的開源專案，涵蓋 C、C++、Java、PHP 與 Python，並 發現 493 個問題。其中包含一個配置缺陷，已在未指定的軟體中存在 21 年未被偵測。Anthropic 在另一份報告中指出，大型語言模型 (LLMs) 正在 使「正式軟體驗證在更大規模上可行」，允許將程式碼轉譯為數學模型並證明其「始終遵循某些定義的安全規則」。該 AI 企業表示前沿模型現在能夠完全自主產生實際軟體的正確性證明。
• MeshCentral 遠端存取軟體的開發者敦促使用者升級至 1.3.1 版。"MeshCentral 伺服器正遭受活躍的利用/駭客攻擊，並已取得其及遠端客戶端的控制權，" 開發者 說。
• 威脅行為者已觀察到嘗試利用 CVE-2026-25243，這是 Redis 的 RESTORE 命令中一個堆記憶體毀損漏洞，開始於10月16日左右。"一個來源在計時器上以相同的 payload 觸發誘餌五次：指紋化伺服器，用 26 次鍵寫入來塑造堆，傳送一個單一的 malformed-zipmap RESTORE 以觸發已記錄的過讀，執行一次一次性的 Lua 計算探測，然後 FLUSHALL 該鍵空間，破壞資料及其自身的 artefacts 每次執行。請注意，該漏洞需要命令存取才能被利用，" Defused Cyber 說。
• 安全研究員 Patrick Wardle 詳細說明瞭 Heartbreaker，一個基於 Rust 的 macOS 勒索軟體樣本，於 2025 年 5 月上傳至 VirusTotal。該惡意程式嘗試建立 LaunchAgent 以維持持續性，隨後加密使用者的 Downloads 資料夾中的檔案。"Heartbreaker 在目前形式下不太可能構成重大實際威脅，" Wardle 說。"它僅針對 ~/Downloads 下的檔案，缺乏對 macOS 隱私保護的認知，內嵌通用恢復金鑰，依賴現在已不可用的建置框架，且執行極為嘈雜的 Rust 安裝與編譯流程。其被停用的『Decrypt Files』按鈕也不會實際恢復任何東西。Heartbreaker 展示了 macOS 上不尋常的變形手法。它不是在記憶體中解密或重寫其機器碼，而是攜帶自己的 Rust 原始碼，轉換該原始碼，呼叫本機建置工具鏈，並嘗試以結果替換自身。由於每一代都內嵌其新轉換的原始碼，該設計原理上可以在執行間繼續。
• Axios 報導說，美國主要銀行正偵測到未經授權的第三方 AI 代理在客戶帳戶內運作，其中一些代理執行看似獨立於使用者指示的操作。雖然代理以使用者的許可與憑證登入，但問題在於區分人類與未授權的機器人。"一些銀行已追蹤到代理——設計用於代表使用者完成請求或任務——聯絡客服中心或似乎執行獨立於使用者指示的操作，" Axios 報導。銀行正透過限制或僅允許唯讀存取來回應此威脅。
• 在一次新攻擊中，Forever Security 表示他們在客戶的 Downloads 資料夾中捕獲到一個惡意的 AGENTS.md Markdown 指令檔，該檔案欺騙 AI 程式碼代理安裝名為 "function-color" 的惡意 npm 套件，該套件被確認為代號為 MALFEX 的軟體供應鏈攻擊活動的一部分。"AGENTS.md 是程式碼代理被設計信任並服從的檔案，而 ~/Downloads 則是網站能在不點選且不需要許可的情況下投放檔案的唯一資料夾，" Forever Security 說。"兩者結合，使網路能植入指令，讓你的代理執行。Markdown 成為新的可執行檔。植入的檔案使代理重新寫入自身設定。從那裡它可以安裝惡意程式（遠端程式碼執行）或交出自己的登入 token（帳號接管）。"目前尚不清楚惡意指令檔如何落入目標的 Downloads 資料夾，儘管威脅行為者可能會藉由簡單造訪特製頁面來騙取使用者下載。
• 據 404 Media 報導，一個高度組織化的犯罪團夥被稱為已 入侵 Staples，發行了價值數百萬美元的禮品卡，並在美國各地進行了大規模消費。2025 年 10 月，Palo Alto Networks Unit 42 詳細說明瞭一個名為 Jingle Thief 的威脅叢集，該叢集針對零售及消費服務行業的雲端環境以進行禮品卡詐騙。
• 化名區塊鏈調查員 ZachXBT（又名 Zachary Wolk）已 透露，一個中國有組織犯罪團夥為北韓的 Lazarus Group 洗錢，洗出了超過 10 億美元的加密貨幣盜取資金。ZachXBT 表示，他於 2025 年 2 月偽裝成付費客戶，滲透該洗錢網路，發生在 大規模 Bybit 入侵 之後，導致識別出一個超過 1,200 萬美元的 Bybit 相關資金叢集。該叢集約 442,000 USDT 的資金後被 Tether 凍結。
• 美國聯邦調查人員懷疑至少一位美國諮詢公司的高層協助經營 Shinywire，這個已停用的 ShinyHunters 網站曾用來逼迫近 100 家被駭組織支付費用，據安全記者 Brian Krebs 報道。當警方逮捕 ShinyHunters 可疑人士時，取得的 Signal 訊息顯示，荷蘭的 Pepijn van der Stap 經常與加拿大網路安全高階主管 Edward Dubrovsky 以及至少一位美國諮詢公司高層聯絡，且有時會先知道新受害者，這些資訊來自一位未透露姓名的訊息人士。"荷蘭駭客的聊天記錄顯示，Dubrovsky 知道 ShinyHunters 已從 FBI 伺服器竊取高度機密資料，且他在 ShinyHunters 在 Twitter/X 上威脅要公佈該機構極為個人化的人事檔案之前，並未告知局方此資料外洩，"Krebs 說。
• 美國陸軍據稱正在開發一個計畫，部署能在敵方數位及網路基礎設施中自主導航並「中和」它們的 AI 代理，The Intercept 報導。這個剛起步的計畫代號為 ECHOTRIBBLE，主要聚焦於進攻任務，目標是「徹底或暫時消除威脅，將威脅從目標中刪除。」此外，系統「將幾乎像電腦蠕蟲一樣，靜默地導航外部網路，從一臺裝置跳躍到另一臺，直到找到陸軍的目標……在雲端以及「air‑gapped」系統（完全與網路斷開）上擊中目標……任務完成後……代理將有效自毀……理想情況下……」
• 英屬哥倫比亞大學的一群學者詳細說明瞭 ICS‑Sniper，這是一種針對依賴雲端託管 SCADA 系統的工業設施的概念驗證攻擊。它被描述為「針對性的黑洞攻擊，透過分析 VPN 流量的元資料（封包大小、方向、時序）來識別狹窄時間視窗，稱為關鍵超週期，在這段時間內站點‑SCADA 流量可能包含高度關鍵的指令或資料。」控制網路路徑上路由器的攻擊者可檢查 VPN 加密封包的大小、方向與時序，以預測關鍵指令或資料可能被交換的時間，並在這些時段內投遞惡意載荷。 「分析後，在後續的作業週期中，ICS‑Sniper 會在關鍵超週期內投下少量載荷封包，以擾亂 IC‑S 的作業，」研究 說明。在對模擬版 Secure Water Treatment (SWaT) 廠房測試平臺進行測試時，該攻擊使淨水泵浦啟動延遲約 15 分鐘，並使閥門開啟時間比預期多延長超過 9 分鐘。
• 一款名為 SiriusQT 的 Windows 惡意程式提供多項功能於單一套件：遠端存取、HVNC、瀏覽器自動化、憑證竊取、加密貨幣錢包蒐集、剪貼簿監控、鍵盤記錄、程序注入、持久化、反分析檢查，以及自訂加密的指令與控制流量。SiriusQT 自 2026 年 4 月起已被名為 GhostKernel 的賣家在暗網論壇上宣傳。其作者為 Amonus。至少 30 位使用者購買了有效授權，Group‑IB 表示。終身訂閱費為 500 美元，但據說程式的破解版本已被多名行動者共享。使用此惡意程式的攻擊活動已針對英國、德國、法國、西班牙、義大利及荷蘭。GhostKernel 亦在其 Telegram 頻道宣傳 Android 木馬 BTMob v4.0。
• 截至 2026 年第三季，已記錄多達 2,894 次勒索軟體攻擊，較一年多前增幅近 50%，其中以 The Gentlemen（383 次）與 Qilin（363 次）領先。 "雙方皆透過竊取的憑證與暴露的 VPN 進行突破，且攻擊許多相同產業，" Nord Security 表示。 "Qilin 現已使用 AI 以高速與規模推動個性化釣魚活動，並自動產生指令碼以停用備份。越來越多勒索團體放棄加密，改以竊取資料並威脅外洩。"
• Rapid7 在其季度威脅景觀報告中表示，從高嚴重度漏洞公開到被利用的平均時間現在為 三天。更重要的是，80% 的已追蹤利用事件發生於 14 天內，90% 發生於 30 天內。在此期間，8% 的威脅報告將 AI 作為運營元件。 "研究指出，AI 的使用已從主要協助草擬內容或程式碼，轉向支援攻擊活動中的戰術決策與執行，" Rapid7 表示。
• 一款名為 Spectator Loader 的新惡意載入程式正由名為 "Madrex" 的威脅行為者 宣傳，其中內建反分析與迴避功能。
• 先前未報導的模組化網路釣魚即服務 (PhaaS) 平臺 Athena StealthRoute 正在提供工具，用於準備、傳送及隱蔽網路釣魚攻擊，與執行憑證或令牌盜取不同。"該平臺提供一個活動素材市場，並配備域名與連結管理以及流量過濾控制，設計用以將安全掃描器從惡意目標轉移開，並依賴獨立的下游服務進行憑證與令牌收集，" Abnormal AI 說。該服務還透過 AI Studio 整合 AI 助手內容生成工作流程，打造量身定製的訊息、主旨與附件，基於其已建立的市場、連結管理與隱蔽功能。Athena StealthRoute 相關基礎設施首次於 2026 年 8 月被識別。於截至 2026 年 10 月 9 日的六個月內，已在美國及歐盟約 2,280 家機構中觀測到 89,700 封符合該平臺獨特連結模式的攻擊標記訊息。
• 一個冒充檔案簽署工作流程的釣魚活動已被觀測到交付 Windows 代理程式，針對合法的遠端監控與管理平臺 Zecurit。"該活動不需要自訂的遠端存取木馬，" ZeroBEC 說。"它使用可信的雲端郵件服務、令人信服的 DocuSign 敘事、兩層瀏覽器驗證，以及一個數位簽署的管理工具，從收件箱存取轉移到可能的無人值守端點控制。"
• OpenAI 懷疑三位 AI 安全研究員 Jasmine Wang、Tomek Korbak 和 Mikita Balesni，這三位在本月早些時候被 解僱 的研究員，將 內部模型設計 洩露給當時在 Redwood Research 任職的 AI 安全研究員 Ryan Greenblatt，包括透過消失的 Signal 聊天，根據《華爾街日報》最新報告。三位研究員皆聲稱他們從未將 OpenAI 的機密資訊透露給公司外部任何人，並補充說他們「從未收到書面說明說明他們被指控洩露的敏感資訊…」
• 一種名為 GhostBat RAT 的 Android 惡意程式已被追蹤至更廣泛的運營者控制生態系統，稱為 GhostX。GhostBat RAT 主要透過包含惡意連結的 smishing 訊息分發。"最新的 GhostBat RAT 變種在傳遞方式與事後利用能力上皆有顯著進化，" Cyble 說。"該惡意程式現在濫用 Android 可及性服務，以支援 Ghost Overlay 以及更廣泛的 PIN/金鑰輸入捕捉，針對在印度廣泛使用的金融應用程式。Ghost Overlay 透明地攔截 Google Pay 與 MobiKwik 的 PIN 鍵盤互動。它將相同的觸控回放至合法應用程式，允許惡意程式在不呈現傳統釣魚介面的情況下捕捉 PIN 資訊。該變種還針對 60 款銀行、UPI、錢包、金融科技及支付應用程式，以擴大 PIN 捕捉範圍。"
• 另一個受到關注的 Android 惡意程式是 YuanKong RAT，它允許網路犯罪分子遠端控制感染裝置、竊取敏感資料，並可能攔截銀行交易。與 RedHook 與 RatHat 的情況相似，YuanKong RAT 啟用無線除錯並與裝置自身的 adbd 配對，以取得 shell 級別許可權。
• Kaspersky 已披露 條碼掃描器的漏洞，可能成為進入 倉庫作業技術 (OT) 網路 的入口。攻擊者在距離內可注入按鍵至連線裝置，並可能在不需要使用者互動的情況下實現遠端程式碼執行，Kaspersky 表示。在假設的攻擊中，使用者可能正使用無線條碼掃描器連線至基站進行日常工作，而攻擊者則可能透過被動窺探藍牙流量獲得基站的藍牙位址。例如，攻擊者透過已建立的藍牙連線，將惡意載荷送至基站，模擬鍵盤輸入。基站將這些按鍵轉發至連線的電腦，電腦將其解讀為合法使用者輸入，並可能用於執行未授權指令。
• 一名僅使用俄語的操作員，僅在一臺租用伺服器上工作，已被發現於 2026 年 5 月至 9 月期間針對兩臺與政府資料交換平臺相關的烏克蘭主機。起點是下載並重新命名為 cidr-ua.txt 的公開烏克蘭 IP 範圍列表，並在任何其他程式執行前先進行計數，Hunt.io 表示。該操作員以每次 60 個的方式，透過 HTTPS 連線至 5000 埠，請求所有 7,576 臺主機，並僅保留回應中包含 'UXP Verifier.' 的主機。低成本攻勢至少在兩臺符合條件的主機上取得執行權。於其中一臺主機，即 Graylog 伺服器，威脅行為者據說利用與 Log4Shell 技術相關的 Java 反序列化/JNDI 利用鏈。最終目標估計為資料蒐集。
• 冒充電子郵件訊息，催促收件人審閱 RFP 檔案或付款發票，已被用於觸發以更新版 PhaaS 控制台為基礎的 裝置碼釣魚流程，該控制台名為 ARToken。內嵌連結導向受損 SharePoint 租戶，該租戶託管 .URL 檔案，該檔案指向 Google Sites 上的內容，ZeroBEC 表示。該頁面接著將受害者重新導向至由 Cloudflare Workers 託管的 URL，該 URL 提供最終的裝置碼釣魚誘餌。對該誘餌混淆 JavaScript 的分析顯示，包含偵測虛擬化與自動化瀏覽環境的反分析檢查、指向 ARTokens 後端控制台的硬編碼 URL，以及與先前報導所述端點不同的輪詢路徑變體。
• 俄羅斯當局據說已 逮捕三名涉嫌屬於以財務動機為目的的駭客團體 DataSuckers 的成員，該團體在對一家受歡迎的比薩連鎖店發動網路攻擊後，洩露大量顧客資訊。這其中包括 19 歲的 Denis Fridman 及兩名身份不明人士。根據俄羅斯報紙 Kommersant，該團體第四名成員仍在逃。
• 鄭照，一名 44 歲的中國國民，已被從荷蘭引渡至美國，因涉嫌參與一場在 柬埔寨詐騙中心 進行的國際加密貨幣投資陰謀，該陰謀針對 174 名美國受害者。該計畫使詐騙犯獲得 3690 萬美元的非法利潤，這些利潤被轉入巴哈馬名為"Axis Digital Limited"的 Deltec Bank 帳戶。銀行隨後負責將受害者資金兌換為穩定幣 Tether，並轉移至由柬埔寨控制的數位資產錢包。「鄭照被指涉為一個國際犯罪網路的一部分，該網路誘使美國受害者將資金轉入由共謀者控制的帳戶，隨後透過美國殼公司、國際銀行帳戶和數位資產錢包洗錢」，美國司法部表示。2025 年 8 月，鄭照被以洗錢陰謀罪起訴。若被定罪，最高可判 20 年監禁。另，美國司法部宣佈，已進行數十起逮捕，並從 Facebook 與 Instagram 中下架 370 萬個詐騙社交媒體帳號、頁面與群組，與來自西非的 詐騙網路 相關，這是協同進行的 聯合幹擾週 之一。

Conclusion

如果這一週還不足以作為警告，那麼未來將更糟。關鍵的遠端程式碼執行 (RCE) 漏洞正不斷湧現，攻擊者已經在利用其中一些，數百萬次嘗試正針對新披露的缺陷。甚至廣受信任的軟體與工具也正成為攻擊面。可怕的是？有些漏洞甚至不需要登入，還有些尚無可用修補程式。

教訓很簡單：不要等到攻擊證據出現才採取行動。檢查哪些資訊已被暴露，修補你能修補的，封鎖你無法封鎖的，並將洩漏的金鑰視為緊急。並非每一次掃描都會導致入侵，但攻擊者只需一條可行路徑。若同時有許多門被測試，這週就不應留下一扇門敞開。

覺得這篇文章有趣嗎？ 追蹤我們的 Google News、Twitter 與 LinkedIn，閱讀更多我們發布的獨家內容。