安天ATID威胁情报综合分析平台 - 威胁情报查询、关联分析、线索研判、威胁追踪溯源

安全研究人员披露，XWorm远程访问木马持续增加监控能力，2026年第三季度共记录1236起相关事件，涉及100多家机构，活动量较2025年同期增长4倍。研究人员发现V6.4、V6.5、V7.2和V7.4四个版本同时活跃，支持插件数量由2025年7月的35个增至46个。新增Maps插件可在不弹出用户提示的情况下获取设备位置，Microphone插件可实时传输麦克风音频，HBrowser可直接控制受害者当前已认证的浏览器会话并传递键盘、鼠标及剪贴板操作，同时持续回传屏幕画面；相关版本还支持按需调用摄像头。

安全研究人员披露，LG webOS存在由三项缺陷组成的预认证攻击链，同一局域网内的攻击者无需PIN即可取得部分智能电视的Root权限。攻击链首先重放内置sync-demo应用的LG签名Manifest，通过STB_INTERNAL_CONNECTION路径获取高权限client-key；随后利用cmp-client的interactiveUrl加载攻击者控制页面，并通过PalmServiceBridge访问内部Luna服务；最终利用pmlogd日志服务对targetDir和targetFile处理中的命令注入，以Root权限执行系统命令。该链已在32LQ636BPSA和27TQ600SW两款电视、webOS 7.5.7-25及固件04.54.40上完成验证。

安全研究人员披露，Windows 11中用于Microsoft Defender SmartScreen增强型钓鱼防护的SFAPE.dll VBS enclave存在CVE-2026-83498。研究人员通过重复调用Initialize触发固定4字节写入，破坏隔离区范围校验，再结合ClipboardInput中的时序缺陷获得VTL1内存读写能力，随后改写有效调用目标表并利用NtContinue控制寄存器，在Isolated User Mode内执行受控代码。相关研究在Windows 11 25H2环境完成，微软已在9月8日发布的KB5124008中修复问题，并通过更新后的VBS代码完整性策略阻止旧版SFAPE.dll继续加载。

Docker披露CVE-2026-105445，漏洞存在于Docker Hub个人账户转换为组织账户的流程。自2024年8月26日起，转换操作会把原个人账户的Personal Access Token重新归属给被指定的组织所有者，但不会轮换或撤销原Token密钥。攻击者可先创建账户和PAT，再将账户转换为组织并指定目标用户为所有者，随后继续使用原密钥以目标身份访问Registry，在Token权限范围内拉取、推送或删除目标仓库及其可访问组织中的镜像。Docker于9月30日修复该问题，10月2日通知受影响用户，并于10月8日停用相关转移Token。

SAP披露Cloud SDK for Python中的CVE-2026-89111，CVSS评分10.0，影响使用该SDK的多租户SAP Business Technology Platform应用。漏洞位于OAuth2令牌请求处理流程，攻击者控制tenant_subdomain参数后，可使SDK把令牌请求重定向至攻击者控制的服务器，从而发送应用使用的OAuth2 Client ID和Client Secret。官方公告列出的受影响版本为0.45.2之前版本，0.45.2加入RFC 1123 DNS标签校验；后续0.53.0至0.55.0在Destination服务模块中一度未完整应用该校验，0.55.1重新加入相应检查。

TFG London确认10月11日发现网络安全事件，影响旗下Phase Eight、Hobbs和Whistles使用的多项IT系统。公司在发现事件后启动事件响应和业务连续性计划，并引入外部网络安全人员协助处置；截至10月13日，部分受影响IT系统仍处于不可用状态。三个品牌的实体门店继续对外营业。集团旗下Inside Story和White Stuff未受此次事件影响，澳大利亚和非洲业务也保持正常运行。TFG London是南非The Foschini Group的英国子公司，负责运营上述英国时尚和家居零售品牌。