安天ATID威胁情报综合分析平台 - 威胁情报查询、关联分析、线索研判、威胁追踪溯源

安全研究人员披露，GhostAction供应链攻击活动再次活跃，攻击者利用遭接管的开源项目维护者GitHub账号，向大量仓库默认分支直接植入伪装成“Security Audit”或“GitHub Actions Security”的恶意工作流。10月8日，两名高知名度维护者账号在短时间内被用于向345个仓库推送相关工作流；截至10月9日，已有超过500个GitHub账号向数以万计的仓库提交过恶意工作流。载荷可窃取GitHub Actions中配置的CI/CD秘密，并扫描当前工作树和完整Git历史中的AWS、GitHub、GitLab及多种AI服务API密钥，再向攻击者控制的固定IP外传。

安全研究人员披露，攻击者已在实际攻击中链式利用AhsayCBS备份管理平台的CVE-2026-105133和CVE-2026-105134。前者可用于绕过身份验证，后者为Replication Receiver组件中的命令注入问题，两者组合可实现未经身份验证的远程代码执行。自10月7日23时20分UTC起已观察到利用活动，截至10月8日至少5家机构受到攻击。入侵后攻击者执行主机侦察、部署JSP WebShell，并投放伪装为Microsoft Edge进程的XMRig挖矿程序；部分事件还出现会检测Task Manager并暂时停止挖矿活动的PowerShell脚本。后续调查确认10.3.4版本仍受影响。

AnyDesk Linux存在一个预认证堆缓冲区溢出漏洞，公开利用代码AnyPwn可在用户尚未批准远程连接前获得Root权限。漏洞位于AnyDesk会话协议的数据包处理逻辑，已确认公开利用代码针对8.0.2版本并通过TCP 7070端口的直接连接触发；若堆布局不满足条件，利用可能仅导致服务崩溃。研究人员称相同易受攻击代码路径也可经中继服务器到达，但尚未公开完整中继利用链。AnyDesk于2026年6月在8.0.3中修复该问题，当时更新日志仅将其描述为可能导致崩溃的错误；截至10月9日尚未分配CVE。

wolfSSH披露1.5.0及更早版本中存在5项安全漏洞，其中CVE-2026-16516为最严重问题。wolfSSH客户端在密钥交换过程中未验证服务器主机密钥中的ECDSA曲线是否与协商算法一致，在攻击者处于中间人位置且客户端采用宽松公钥校验回调的情况下，可使用攻击者控制的不同曲线密钥通过签名验证并冒充服务器。其余问题包括Windows版wolfSSHd连接间共享登录令牌导致身份混淆、密钥交换CPU资源消耗、未经授权的TCP转发通道以及SFTP路径处理中的越界写入。相关问题在1.6.0中修复。

Splunk Enterprise于两份安全公告中集中披露22项漏洞，其中17项为产品安全漏洞、5项来自安全加固审查，最高CVSS评分为9.8。最严重的CVE-2026-76268位于Patroni REST API，在特定Search Head Cluster环境中，具有网络访问能力的未认证用户可利用关键功能缺少认证的问题执行攻击者控制的操作系统命令。其余漏洞涉及本地提权、SQL注入、SSRF、访问控制缺失、搜索任务信息泄露、拒绝服务和资源生命周期控制等，影响9.4、10.0、10.2及10.4多个版本分支。

Cisco披露License On-Prem及此前称为SSM On-Prem的版本涉及共8项漏洞。第一组CVE-2026-20328、CVE-2026-76437、CVE-2026-76452和CVE-2026-76454涉及任意账户密码重置、命令执行、SQL注入以及文件写入或拒绝服务，可导致未授权访问、敏感信息访问、权限提升等影响；另一组安全加固漏洞包括缺少关键功能认证、密码学签名验证不当、凭据保护不足和代码注入，其中CVE-2026-76482最高CVSS评分为10.0。公开公告称尚未发现相关漏洞遭恶意利用。