安天ATID威胁情报综合分析平台 - 威胁情报查询、关联分析、线索研判、威胁追踪溯源

安天发布PHP2Shell漏洞专项系列加固工具，该工具覆盖统信 UOS 与银河麒麟等 x86_64 国产化操作系统，将上游官方缓解措施与安天纵深加固经验整理为可扫描、可加固、可验证、可回滚的加固项；框架内每条加固规则均配套适用条件、变更影响、校验及回滚方案，执行遵循预检预览、快照留存、不强制覆盖原有配置的原则，适配服务器运维场景，规则库与程序版本独立管理，用于在补丁升级完成前快速收敛风险暴露面。升级官方修复版本仍是根本处置手段，但目前官方补丁有效性遭到了社区质疑，也存在第三方定制PHP等环境中补丁无法实施等情况。

安全研究人员披露，Lazarus关联的FlashHole攻击活动最早可追溯至2025年7月，已在韩国软件、建筑和有线通信设备制造等行业至少3家机构中观察到。攻击者利用韩国金融与政府网站常见的CrossWeb EX安全组件作为恶意代码执行链的一环，并以GitHub Pages托管的开发者简历、室内设计网站作为钓鱼诱饵。遭攻击终端的CrossWeb EX进程启动Windows合法fsquirt.exe程序，攻击代码随后注入Shellcode运行TechHub下载器，借助私人GitHub仓库及Issues机制交换指令和加密载荷；TouchHub、TouchShift结合DLL侧载建立持久化，Cubridge、ClientHub等组件继续执行文件收集、命令操作与浏览器凭据窃取。

安全研究人员披露，Cisco Talos在过去一年发现攻击者滥用25种以上合法在线平台，以平台生成的真实通知邮件向收件人发送钓鱼诱饵和欺诈联系方式。研究人员分析了冒用Staples及Dell订单通知流程的两组活动，总计观测约1400封邮件。攻击者将虚假客服号码插入订单收货人、账单或订单信息字段，使系统自动发送包含异常购买记录的正式通知，诱导收件人拨打攻击者控制电话。相关邮件可通过DKIM及DMARC验证。研究还发现攻击者利用公开注册表单将恶意文字反射到欢迎邮件中，并利用邮件投递失败通知回传WeTransfer主题的钓鱼内容。

安全研究人员披露，Node.js自带Brotli解码器存在CVE-2026-111497，恶意压缩数据可触发越界写并造成远程代码执行。Imperva研究人员在未经调试修改的官方Node.js 24.22.0 Linux arm64镜像上，通过构造Brotli响应或请求正文，使应用经过多次尝试执行攻击者提供的代码；测试覆盖Express 5.0.0至5.3.0及body-parser 2.0.0至2.3.0。该漏洞可经Node.js内置fetch()接收的压缩响应、显式解压代码或处理压缩请求体的中间件到达解码器。Node.js于10月21日修复22.x、24.x和26.x分支，发布22.23.4、24.22.1及26.12.1，研究所用数据在修复版本24.22.1中被拒绝。

Railway于10月21日披露，存储客户环境变量的系统出现异常活动，经调查发现未经授权的第三方可能访问部分加密变量，并在部分情况下取得解密内容。受影响变量可能包含AI模型调用API密钥、数据库连接信息及私有镜像仓库凭据；初步调查指出影响涉及部分用户。Railway将此次事件与近期针对云平台及AI推理服务提供商的攻击活动联系起来，已通知上游服务商撤销相关密钥，并要求用户更换平台中保存的环境变量与私有仓库凭据。调查期间公司曾暂停全部部署流程，10月22日开始恢复Pro和Enterprise工作区构建，其他工作区的构建与部署排队仍受到影响。

Quest Diagnostics于10月22日向美国证券交易委员会披露，公司10月21日发现Quanum Lab Services Manager系统遭未经授权访问。该平台供部分医疗服务客户提交实验室检查订单、接收和查阅检测结果，公司据调查认为入侵者已经访问部分患者记录。发现事件后，Quest启动网络安全事件响应程序，对有关访问实施控制、调查受影响系统并安排修复，同时向美国联邦执法机构通报，并聘请外部安全专家协助开展技术调查。公司在监管文件中表示，事件未对整体业务运营以及向患者提供实验室检测服务的能力造成重大中断。