安天ATID威胁情报综合分析平台 - 威胁情报查询、关联分析、线索研判、威胁追踪溯源

安全研究人员披露，一项代理劫持活动通过利用互联网暴露的网络边缘设备漏洞，在34个国家至少攻陷143台设备，并在未经设备所有者同意的情况下安装Pawns.app带宽共享程序，把受害者网络连接加入商业住宅代理网络。攻击者利用D-Link ShareCenter NAS的CVE-2024-3272和CVE-2024-3273、Ubiquiti UniFi Video NVR的CVE-2021-44228以及SAP NetWeaver Visual Composer的CVE-2025-31324获取设备访问权限，同时还对Hikvision和Dahua DVR/NVR设备展开攻击。部分被入侵设备还被配置攻击者SSH密钥作为备用访问方式。

安全研究人员披露，长期运行的Help TDS与俄语联盟项目Hotejka相关，该流量分发系统至少自2017年起活动，主要把用户导向伪造Microsoft安全警告页面和技术支持诈骗呼叫中心。受害者可从被入侵网站、恶意广告、社交媒体和垃圾邮件进入TDS，系统再根据浏览器指纹和地理位置筛选流量，并通过全屏页面、退出阻止和警报声诱导用户拨打所谓Windows支持电话，随后安装远程桌面工具。自2026年4月起，相关基础设施大量使用Cloudflare Pages，六个月内检测到超过2万个用于TDS的域名，另有约1万个疑似钓鱼或诱饵页面。

安全研究人员披露，UTA0576自10月3日起利用Ivanti Connect Secure三漏洞链攻击一台当时运行22.8R2.4的已更新设备。攻击链包含认证绕过、文件写入/远程代码执行和本地权限提升，其中前两项归入CVE-2026-104935，可先以cgi-server身份执行代码，再借助dsinvoked与DSCache机制提升至Root。取得权限后，攻击者读取VPN设备中的域凭据，导出Active Directory信息，搜索LAPS密码、BitLocker恢复密钥和密码字段，并收集LDAP流量、身份验证日志及设备配置。攻击过程中每次执行命令都会重新触发漏洞链，并清理相关运行日志和Linux审计日志。

安全研究人员披露，npm Trusted Publishing在首次成功发布前主要依据GitHub的owner/repository名称和工作流文件名建立信任，而没有使用不可变的repository_id和repository_owner_id。若维护者重命名、转移或删除绑定仓库，原GitHub slug可被其他人重新注册；攻击者创建同名仓库和匹配工作流后，即可获得npm签发的短期发布凭据，并以原软件包名称发布新版本。研究共识别超过1500个存在该条件的软件包，累计下载量超过1000万次。GitHub随后将未验证的可信发布配置设为创建48小时后失效，并在首次成功发布后绑定仓库不可变身份。

Progress披露MarkLogic Server新一批31项安全漏洞，其中5项被评为Critical。CVE-2026-85947评分9.9，具有Forest管理权限的账户可利用授权范围缺陷把Forest附加至目标数据库，并进一步创建持久管理员账户；CVE-2026-85948同样评分9.9，影响已弃用的Management API包管理路径，具有用户管理级权限的账户可通过XQuery注入获得持续管理员控制。同批CVE-2026-85955可提升服务器端代码执行权限，CVE-2026-85956涉及跨数据库备份和恢复访问，CVE-2026-9191影响部分REST和XDBC执行路径。修复版本为MarkLogic 11.3.7和12.1.0。

安全研究人员披露，Linux vhost虚拟化加速子系统存在CVE-2026-74580，漏洞影响Linux 4.11至7.2-rc4。vhost在虚拟队列地址或大小重新配置后未清除部分IOTLB元数据缓存，使旧映射继续用于新的地址转换，可形成稳定的内核任意读写能力。本地主机上的低权限用户可借此绕过KASLR并提升至Root；在启用虚拟IOMMU和device-IOTLB的特定虚拟化配置中，恶意虚拟机还可触发主机内核越界写入QEMU进程，实现从Guest到Host的控制。研究在Ubuntu、RHEL、Amazon Linux、Azure Linux和Oracle Linux上完成验证。