安天ATID威胁情报综合分析平台 - 威胁情报查询、关联分析、线索研判、威胁追踪溯源

安全研究人员披露，威胁团伙针对未打补丁的Check Point Security Gateway开展扫描与入侵，依靠Mobile Access门户的PHP2Shell漏洞完成初始访问，再通过DynamicCLI接口本地提权漏洞CVE‑2026‑123039获取root权限。攻击分为两波，10月30日第一波主要瞄准以色列机构，部分受害环境遭遇数据擦除破坏；11月2日第二波扩散至多国家多行业，未观测到破坏行为。攻击者入侵后将PHP网页后门放置于门户登录页面模板目录，文件名模式为zz*.tpl，后门内置硬编码密钥zz2026，支持命令执行、PHP代码运行、文件上传。报告同时指出，破坏行为、针对以色列目标等特征与UNC5221已知行动模式存在差异，现有证据不足以高置信度判定真实攻击者身份，存在多种可能性：该团伙完整实施全部行动、仅作为初始访问代理、伪旗行动，破坏行为也有可能是烟雾弹。

安全研究人员披露威胁团伙利用被盗取的GitHub凭据，向大量代码仓库投递恶意GitHub Actions工作流载荷，共计4837个遭攻陷账号向61764个仓库发起探测PR，其中10431条PR写入账号并不拥有所有权的仓库，依靠协作者与组织权限完成投递。至少1806个仓库实际运行恶意载荷造成凭据外泄，攻击者执行探测PR确认写入权限后，通过三种不同方式植入约1500行未混淆shell脚本wfx，脚本完成凭据收集、权限提升、持久化驻留、数据外送四个阶段动作，可抓取GitHub Actions密钥、云服务商凭据、AI服务商令牌、本地密钥文件、Shell历史记录，同时可伪造成功状态检查绕过分支保护、改写AWS信任策略、注入Azure联邦身份。攻击者执行完成后删除工作流运行日志掩盖痕迹，恶意载荷扩散至Packagist、Golang公开软件包。

Microsoft披露，自2026年3月起安全观测数据中滥用GSocket工具的恶意活动持续上涨，威胁团伙入侵Linux服务器之后部署合法开源网络工具GSocket建立隐蔽C2通道。GSocket依托Global Socket Relay Network中继网络建立双向加密连接，受害服务器无需对外开放入站端口，两端全部向外访问中继服务，依靠共享密钥完成会话匹配，传统防火墙阻断攻击者IP无法切断通信链路。攻击者可通过控制台、临时文件、Telegram、Discord、Webhook方式传递会话密钥，即使入侵最初利用的漏洞已经完成修补，攻击者仍然可以维持对服务器的远程访问权限。

Google Cloud发布安全公告，AMD Turin(Zen5 EPYC)处理器存在3个Transient Scheduler Attacks(TSA)侧信道漏洞，包含已知TSA‑SQ(CVE‑2024‑36350)、TSA‑L1(CVE‑2024‑36357)，以及全新TSA‑Fill即CVE‑2026‑0004。漏洞允许虚拟机内本地低权限攻击者读取同核心其他进程、内核内存数据。Google Cloud已经完成虚拟机与宿主机之间的侧信道缓解，但是VM内部进程之间的数据泄露风险仍需客户操作系统内核补丁处置。受影响实例系列包含C4D、N4D、H4D、Z4D、G4以及对应裸金属实例，仅仅重启虚拟机操作系统不足以生效，内核补丁部署完成之后，必须执行停止‑启动虚拟机操作，目前没有公开在野利用事件记录。

PTC发布安全补丁修复CVE‑2026‑126325，CVSS v4评分9.2，该缺陷源于未信任数据反序列化，攻击者构造特制请求触发远程代码执行。Windchill、FlexPLM多个版本受影响，包含11.0 M030一直到13.1.4.0多个迭代版本。由PTC托管的云实例已经自动完成补丁部署，本地运维环境需要管理员手动升级。该类工业PLM平台长期被初始访问代理、勒索软件团伙重点针对，2026年7月Cl0p勒索团伙利用同产品另一处CVE‑2026‑12569漏洞入侵制造企业，植入WebShell窃取产品核心数据，开展三重勒索攻击。在补丁不能立刻部署的场景，官方建议增加网络访问限制，同时持续监控主机是否出现异常代码执行、WebShell后门痕迹。

MongoDB披露CVE‑2026‑118383(CVSS4.0 9.5)，属于use‑after‑free释放后重用缺陷，仅影响副本集、分片集群成员，单机mongod实例不受影响。未认证攻击者发送携带特殊readConcern.afterOpTime参数的ping请求，在受害节点内部生成不会自动过期的等待通知对象；当该落后副本节点后续被选举成为新主库，追赶同步结束后重复执行内存清理逻辑，触发内存重用，直接造成数据库进程段错误崩溃。MongoDB官方自行发现漏洞，没有观测真实攻击事件。该分支已经生命周期终止，虽然PoC报告8.2.12依旧复现漏洞，厂商不会提供修复补丁。