2026年8月第3周网络安全形势周报报告周期2026年8月15日—8月21日发布日期2026年8月21日一、摘要本期核心威胁概览本周网络安全形势呈现**补丁到利用窗口压缩至72小时、AI自主攻击进入实战、供应链级勒索常态化三大特征。CISA KEV catalog本周分三批新增7个在野利用漏洞**——8月17日Ray-Project代码注入、8月18日macOS/SharePoint/vCenter/IKE四连击、8月20日TrueConf Server双漏洞。其中TrueConf Server CVE-2026-72529成为本周最危险的新型供应链攻击事件——APT组织Head Mare利用未认证RCE入侵视频会议服务器后替换官方客户端安装包向所有参会者投递PhantomCore后门实现一次入侵、全员感染的供应链级扩散。SAP Commerce Cloud CVE-2026-58231CVSS 10.0补丁发布仅3天即遭在野利用4,200实例暴露公网。Redis QVD-2026-55651CVE-2026-23479未完全修复变种8月19日披露PoC已公开影响百万级实例。另一方面CL0P勒索组织通过PTC Windchill CVE-2026-12569攻陷Shell89GB、Philips13.5GB、GE391GB等43全球巨头再现MOVEit式供应链勒索。DentaQuest1500万患者数据遭ShinyHunters泄露2026年最大医疗数据泄露波兰MyDr1900万公民健康数据被盗2.5TB法国税务系统70万纳税人数据泄露。AI攻击方面**本期五大必读TrueConf Server CVE-2026-72529/72530APT入侵视频会议服务器→替换客户端安装包→PhantomCore供应链投毒SAP Commerce Cloud CVE-2026-58231CVSS 10.0补丁后3天遭利用4,200实例暴露CL0P通过PTC Windchill攻陷Shell/Philips/GE等43巨头再现供应链级勒索DentaQuest 1500万患者波兰MyDr 1900万公民法国税务70万人医疗与政府数据泄露三连击二、头条事件2.1 TrueConf Server CVE-2026-72529/72530APT供应链投毒视频会议平台漏洞概况CVE编号CVE-2026-72529关键功能缺失认证CVSS 9.8 CVE-2026-72530沙箱逃逸CVSS 9.5影响产品TrueConf ServerWindows/Linux5.3.X-5.3.9、5.4.X-5.4.9、5.5.X-5.5.5及之前全部版本修复版本5.3.9/5.4.9/5.5.52026年6月18日已发布KEV收录2026年8月20日在野利用已确认APT组织Head Mare攻击链深度分析TrueConf Server是一款广泛部署于政企单位的视频会议与协同通信平台。此次攻击链展示了教科书级的供应链投毒能力初始入侵攻击者连接目标TrueConf Server的4307/TCP端口默认开放调用一个未公开的函数——该函数对关键操作缺少认证校验无需任何凭据即可上传并执行任意脚本沙箱逃逸上传的脚本在隔离环境中执行攻击者利用CVE-2026-72530从沙箱逃逸以NT AUTHORITY\SYSTEM权限执行任意代码持久化替换locale.php为后门Web Shell删除事件日志创建SysExcSvc/SysReadSvc服务实现持久驻留使用OneDrive作为C2通道供应链投毒关键步骤替换客户端安装包trueconf_windows_client_x64.exe——之后所有x64参会者再次参会时会被提示下载新版本客户端实际安装的是捆绑了PhantomCore木马的安装包木马驻留PhantomCore释放至api-ms-win-crt-time-l1-1-0-2.dll写入注册表HKEY_CURRENT_USER\Software\Classes\CLSID\{0340F119-...}\InprocServer32实现开机自启Linux后门Linux服务器上攻击者使用GitHub作为C2通道隐藏自身文件并拦截TrueConf网络函数监听指令影响评估核心危害即便自身不部署TrueConf Server只要员工连接外部协作者的TrueConf开会同样可能中招渗透价值一次入侵即可将木马投递给所有参会终端穿透力远胜普通单点打点影响面2022年以来发布的所有TrueConf Server版本均在影响范围内检测与排查确认TrueConf Server版本是否低于5.3.9/5.4.9/5.5.5使用nmap扫描全网段4307/TCP端口定位暴露实例检查locale.php是否被替换排查C:\Windows\System32\inetsrv\SysExcSvc.dll、SysReadSvc.dll是否存在检查CLSID注册表键是否被写入核对客户端安装包哈希是否被篡改修复建议立即升级至5.3.9/5.4.9/5.5.5及以上临时缓解对4307/TCP端口做访问控制仅允许内网可信IP访问怀疑已中招全盘杀毒扫描排查IoC文件轮换所有泄露的账号密码2.2 SAP Commerce Cloud CVE-2026-58231CVSS 10.0补丁后3天遭利用漏洞概况CVE编号CVE-2026-58231CVSS评分10.0最高类型授权不当导致远程代码执行影响组件SAP Commerce Cloud Data Hub Adapter影响版本COM_CLOUD 2211、2211-JDK21补丁发布2026年8月11日SAP 8月安全补丁日确认利用2026年8月14日仅3天Defused蜜罐捕获技术细节该漏洞根因是授权不当与输入验证不足的组合未经身份验证的攻击者可滥用Data Hub Adapter中捆绑的默认认证客户端向缺乏充分验证的函数提交特制请求实现远程代码执行。CVSS向量AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H——网络可达、低复杂度、无需认证、无需用户交互、范围变更S:C意味着攻击影响不限于Data Hub Adapter组件本身可向内部组件扩散。关键时间线时间事件8月11日SAP发布安全补丁Security Note 37710658月14日Defused蜜罐捕获首次利用尝试8月15日安全媒体大规模报道持续4,200实例暴露公网Shadowserver数据攻击特征攻击者可能通过补丁比对逆向工程还原漏洞无公开PoC即遭利用观测到的攻击源IP216.249.99[.]43AS11402 Charlotte Colocation Center自动化批量扫描而非定向攻击修复建议立即升级至2211.55、2211-jdk21.17或更高版本⚠️必须重新构建并重新部署应用——仅升级代码不够需完整rebuild如无法立即修复实施IP过滤集限制访问将管理接口置于VPN后监控*/datahub-webapp/v1/*端点的异常请求2.3 CL0P通过PTC Windchill攻陷Shell/Philips/GE等43全球巨头事件概述俄罗斯关联勒索组织CL0P利用PTC Windchill/FlexPLM产品生命周期管理软件的CVE-2026-12569CVSS 9.3未认证RCE攻陷包括Shell、Philips、General Electric、Fiserv、ToastTab等43全球知名企业再现MOVEit式供应链勒索。攻击链利用FlexPLM WSDL端点预认证信息泄露获取攻击素材链接Windchill login servlet漏洞实现未认证RCE部署16位十六进制文件名的JSP Web Shell横向移动并窃取工程设计数据、CAD文件、数据库、备份静默驻留约56天后于7月20日发起大规模勒索邮件8月12-13日在暗网泄露网站公开点名受害者已知受害者与窃取数据受害者窃取数据量数据类型Shell89GB工程图纸、设施照片、检测报告扫描件、项目计划Philips13.5GB技术原理图和蓝图General Electric391GB未完全披露Fiserv874GBCAD文件ToastTab未披露有限内部文档供应商响应PTC于6月17-18日发布补丁CISA于6月25日将CVE-2026-12569加入KEV目录所有受影响企业确认正在调查Shell称已封锁访问并控制平台供应链安全启示当大量企业标准化于同一企业平台时一个共享供应商悄然成为所有人的单点故障——正如TNW主编所观察“再多内部安全投入也无法完全修补别人代码中的漏洞。”2.4 VMware vCenter CVE-2026-59310361受害者/47国持续追踪漏洞概况CVE编号CVE-2026-59310CVSS评分9.8严重类型路径遍历导致远程代码执行补丁发布2026年7月29日在野利用开始2026年8月3日仅5天窗口期KEV收录2026年8月18日修复截止8月21日攻击链回顾利用CVE-2026-59310路径遍历获取未授权访问结合CVE-2026-59309认证绕过创建隐藏管理员账户部署cron作业实现长期驻留安装reverse_ssh后门文件名linuxFile通过混淆WebSocket与C2通信部署Babuk衍生勒索软件加密ESXi主机文件.babyk扩展名影响规模更新确认受害者361个组织IP地址波及国家47个受害最多国家德国(55)、美国(41)、土耳其(38)、伊朗(26)、法国(25)C2域名intel.se9ly9upbhay.shop已知IP5.34.177[.]38、185.144.28[.]120、5.34.176[.]100归因分析德国事件响应公司QUIRSO以中等置信度评估为中文APT组织依据包括攻击脚本中的中文语言制品、中国安全出版物的研究复用、中文管理工具的运营使用以及刻意排除中国大陆的受害分布模式。值得注意的是勒索软件部署可能并非主要目标——疑似用于加密ESXi日志文件以销毁取证证据。2.5 Redis QVD-2026-55651CVE-2026-23479未完全修复变种漏洞概况漏洞编号QVD-2026-55651关联CVE-2026-23479CVSS评分8.8高危类型释放后使用UAF导致远程代码执行披露时间2026年8月19日影响量级百万级PoC状态已公开GitHub在野利用暂未发现技术细节今年5月Redis修复了一轮blocked-client UAF漏洞CVE-2026-23479但修复仅覆盖了unblockClientOnKey()路径漏掉了同在blocked.c里的handleClientsBlockedOnKey()函数——同一个代码路径里的另一条UAF利用链。受影响版本极广7.2.0-7.2.15 / 7.4.0-7.4.10 / 8.2.0-8.2.8 / 8.4.0-8.4.5 / 8.6.0-8.6.5 / 8.8.0-8.8.1 / 8.10.0安全版本8.8.2 / 8.10.1 / 8.6.6 / 8.4.6 / 8.2.9 / 7.4.11 / 7.2.16利用条件目标运行受影响Redis版本攻击者能网络访问Redis服务默认端口6379拥有CONFIG SET、EVAL、XADD等命令权限默认无认证配置下直接满足危害链Redis在企业中承担缓存、消息队列、分布式锁、会话存储等核心角色——一旦被攻破连锁反应可导致全系统沦陷。Shodan/FOFA上可搜索到数十万个默认不开启认证的Redis实例。三、CISA KEV本周动态本周CISA KEV Catalog分三批新增7个在野利用漏洞联邦机构须按截止日期完成修复。8月17日新增1个CVE编号产品类型修复截止CVE-2025-62593Ray-Project Ray代码注入2026-08-208月18日新增4个CVE编号产品类型CVSS修复截止CVE-2026-33824Microsoft IKE Service Extensions双重释放→RCE9.82026-08-21CVE-2026-55040Microsoft SharePoint弱认证/JWT伪造9.12026-08-21CVE-2026-59310VMware vCenter Server路径遍历→RCE9.82026-08-21CVE-2026-65400Apple macOS (Screen Sharing)认证不当9.82026-08-218月20日新增2个CVE编号产品类型CVSS修复截止CVE-2026-72529TrueConf Server关键功能缺失认证→RCE9.8待定CVE-2026-72530TrueConf Server沙箱逃逸→RCE9.5待定关键漏洞详解CVE-2026-33824 - Microsoft IKE Service Extensions双重释放漏洞未经身份验证的远程代码执行影响Windows IKE协议扩展服务UDP 500/4500端口暴露即可攻击攻击复杂度低Palo Alto Unit 42观察到中文攻击者利用该漏洞同时运行基于DeepSeek的AI自主攻击活动与人工操作并行CVE-2026-55040 - Microsoft SharePoint弱认证漏洞允许未认证攻击者伪造JSON Web TokenJWT冒充任意SharePoint用户甚至管理员利用链包括在JWT外层头指定alg: none绕过签名要求滥用SharePoint自身STS证书指纹Rapid7开发的PoC已被Defused在蜜罐中观测到攻击者使用CVE-2026-65400 - Apple macOS Screen Sharing认证不当漏洞允许网络内攻击者无需凭据即可登录macOS Screen Sharing已被用于部署Monero加密货币挖矿程序并获取root权限Apple于8月15日发布补丁macOS Tahoe 26.6.1/Sequoia 15.7.9/Sonoma 14.8.9荷兰国家网络安全中心确认补丁发布后不到两周即遭在野利用四、漏洞预警4.1 高危漏洞总表CVSS ≥ 8.0CVE编号产品CVSS类型状态关键影响CVE-2026-58231SAP Commerce Cloud10.0授权不当→RCE在野利用4,200暴露/3天利用CVE-2026-59310VMware vCenter9.8路径遍历→RCE在野利用361受害者/47国/勒索CVE-2026-33824Microsoft IKE9.8双重释放→RCE在野利用VPN基础设施/AI辅助攻击CVE-2026-65400Apple macOS9.8认证绕过→root在野利用挖矿程序部署CVE-2026-72529TrueConf Server9.8缺失认证→RCE在野利用供应链投毒/PhantomCoreCVE-2026-72530TrueConf Server9.5沙箱逃逸→RCE在野利用与72529组合实现完整接管CVE-2026-19478GitLab9.4GraphQL代码注入在野利用48小时利用/供应链CVE-2026-73570Zimbra8.9SNMP命令注入在野利用12,100服务器暴露QVD-2026-55651Redis8.8UAF→RCEPoC已公开百万级影响/默认无认证CVE-2026-55040Microsoft SharePoint9.1弱认证/JWT伪造在野利用任意用户冒充CVE-2026-64849MLflow9.3SSRF在野利用AI基础设施/云凭证CVE-2026-15748Forminator WordPress9.8未认证文件上传→RCE已修复600,000安装受影响4.2 重点预警Forminator WordPress插件CVE-2026-15748漏洞概况CVE编号CVE-2026-15748CVSS评分9.8严重影响范围600,000个WordPress安装修复版本1.56.22026年7月31日发布该漏洞允许未认证攻击者上传任意文件包括可执行PHP文件导致远程代码执行和完整站点接管。影响1.56.1及之前所有版本。WordPress作为全球最流行的CMS此漏洞的暴露面极为广泛。4.3 重点预警Cisco ASA/FTD CVE-2026-20349漏洞概况CVE编号CVE-2026-20349类型远程访问SSL VPN服务中的HTTP请求处理不当影响产品Cisco Secure Firewall ASA和FTD启用Remote Access SSL VPN/IKEv2 VPN/Zero Trust Network AccessKEV收录2026年8月11日未认证远程攻击者可发送特制HTTP请求触发设备重启导致拒绝服务。无workaround可用。Cisco确认在野利用。五、勒索软件与数据泄露5.1 勒索软件态势组织总受害者近期动态CL0P43(本周新增)通过PTC Windchill攻陷Shell/Philips/GE等MOVEit式供应链勒索Qilin2,063持续活跃亚洲目标增加Medusa500CISA/FBI/HHS 8月18日更新联合警报受害者从300增至500Akira1,530稳定运营中The Gentlemen734劫持AnMed医院Facebook页面声称窃取6TB健康数据Babuk衍生-通过VMware vCenter大规模部署Storm-1175-从Medusa转用StormEncryptor通过N-able N-central初始入侵Gunra-利用Fortinet CVE-2024-55591绕过MFA部署勒索DeadLock-继续使用Polygon区块链智能合约作为C25.2 Medusa勒索软件联合警报更新8月18日CISA、FBI和HHS于8月18日更新了Medusa勒索软件联合网络安全警报#StopRansomware系列关键更新受害者总数从2025年3月的300增至50017个月增加200加速利用Medusa演员在新漏洞公布后24小时内即开始利用甚至在公开披露前一周即开始使用初始访问经济通过犯罪论坛招募初始访问经纪人支付$100至$100万不等已利用漏洞ScreenConnect CVE-2024-1709、Fortinet EMS CVE-2023-48788、Fortra GoAnywhere、BeyondTrust双勒索模型48小时响应窗口可支付$10,000延长一天超时后在泄露网站倒计时公开关键发现曾有受害者在支付赎金后另一名Medusa演员联系声称谈判者窃取了赎金要求再付一半以获取真正的解密器5.3 重大数据泄露事件事件泄露规模数据类型关键细节DentaQuest美国1,500万患者SSN、Medicaid/Medicare ID、诊疗记录ShinyHunters攻击234GB泄露2026年最大医疗泄露波兰MyDr1,900万公民医疗记录、处方、PESEL编号2.5TB被盗泄露政客数据以证真实法国税务系统70万纳税人个人和企业税务数据6月底入侵8月13日确认Canvas/Instructure2.75亿条记录教育数据8,809所学校受影响Bits of Gold以色列20万客户姓名、国民ID、邮箱、银行账户、钱包地址第三方供应商入侵CEVA Logistics未披露客户信息、订单数据欧洲范围暴露可针对物流钓鱼Trezor14,000客户姓名、地址、邮箱、电话物流商ShipMonk被入侵CareCloud370万患者SSN、诊断信息医疗记录泄露泰国数字部2.21亿条记录公民数据政府敏感信息AnMed医院6TB声称健康信息The Gentlemen劫持Facebook页面发布勒索DentaQuest泄露深度分析美国第二大牙科保险公司DentaQuest遭ShinyHunters攻击攻击发生于5月17-20日影响至少1,500万人部分估计高达2,340万。泄露数据包括社会保障号超过170万条Medicaid/Medicare识别号牙科和视力诊疗记录提供者姓名、诊断和账单信息ShinyHunters在勒索谈判失败后公开约234GB数据。值得注意的是泄露的SSN中许多属于德克萨斯州儿童——这一群体特别容易遭受长期身份盗窃风险。DentaQuest提供24个月免费信用监控和身份盗窃保护。六、供应链攻击专项6.1 TrueConf Server客户端供应链投毒详见2.1节APT组织Head Mare通过入侵TrueConf Server替换客户端安装包实现供应链级PhantomCore后门投毒。6.2 CL0P通过PTC Windchill供应链勒索详见2.3节CL0P利用PTC Windchill/FlexPLM CVE-2026-12569攻陷43全球企业。6.3 StubMakerRubyGems供应链投毒新型typosquatting攻击在RubyGems仓库投放16个恶意包使用流行gem名称的轻微拼写变体。恶意包安装Go语言信息窃取木马通过Rust加载器投递专门窃取浏览器凭据加密货币钱包Telegram数据6.4 jscrambler npm Rust窃密木马投毒持续追踪攻击者向npm仓库投放伪装成jscrambler相关包的恶意软件包含Rust编写的窃密木马窃取开发者凭证和CI/CD管道访问权限。6.5 binding.gyp投毒后续影响上月发现的binding.gyp投毒事件57个包、286个版本本周继续发酵更多下游依赖项目被发现受影响。七、AI安全与新兴威胁7.1 AI自主攻击进入实战阶段本周多个事件标志AI攻击从理论走向实战事件攻击者AI技术影响台湾政府攻击中国关联组织Hermes Agent DeepSeek多智能体21系统/85账户/2,564档案Microsoft IKE利用中文攻击者DeepSeek自主攻击与人工操作并行Kimsuky离线AI朝鲜APT本地LLM文档检索代码库钓鱼/恶意软件自动化7.2 MLflow SSRF威胁AI基础设施CVE-2026-64849CVSS 9.3利用HTTP重定向滥用webhook功能绕过安全控制访问内部网络服务和云元数据端点窃取敏感凭证。攻击者可进一步访问训练数据集、窃取模型权重、篡改推理结果、利用GPU资源挖矿。7.3 AmnesiaStealermacOS新型恶意软件通过虚假GitHub页面诱导用户粘贴终端命令可实时劫持浏览器会话并远程控制macOS设备。7.4 AI生成钓鱼攻击升级Balonx PhaaS钓鱼即服务针对墨西哥银行业使用AI生成语音钓鱼vishing内容高度逼真的语音合成使传统电话验证失效。7.5 Manic Android恶意软件蓝牙近场传播主要针对欧洲用户利用附近已感染设备进行数据渗出通过蓝牙和Wi-Fi直连传播规避基于网络边界的安全检测。八、国内安全动态8.1 CNVD第32周漏洞统计8月10日—16日指标数量环比变化收录漏洞总数548-高危漏洞301-中危漏洞219-低危漏洞28-零日漏洞502占比92%事件型漏洞7,387↑1.9倍关键发现零日漏洞占比高达92%大多数漏洞在披露前已被利用或存在公开PoC事件型漏洞环比激增1.9倍安全事件响应压力加大高危漏洞占比55%形势严峻8.2 国内威胁情报要点国家计算机病毒应急处理中心发布Sorry勒索病毒预警利用cPanel漏洞入侵公网暴露的Linux Web服务器含信创系统暂无可靠解密方法新型macOS恶意软件AmnesiaStealer出现通过虚假GitHub页面诱导可实时劫持浏览器会话国产Electron软件供应链攻击活动被披露俄罗斯Midnight Blizzard利用酒店Wi-Fi发起全球攻击8.3 CISA KEV全球态势截至8月16日CISA KEV目录累计收录1,705条在野利用漏洞平均利用窗口期仅15天。云原生、AI/ML系统、物联网与OT、身份访问管理是攻击面扩展最快的四个方向。九、修复优先级清单P0 - 立即修复24-48小时优先级CVE编号产品风险修复动作CVE-2026-58231SAP Commerce CloudCVSS 10.0/3天利用/4200暴露升级至2211.55/jdk21.17必须rebuildredeployCVE-2026-72529/72530TrueConf Server供应链投毒/APT/PhantomCore升级至5.3.9/5.4.9/5.5.5隔离4307端口CVE-2026-59310VMware vCenter361受害者/APT/勒索升级至8.0 U3e/7.0 U3w扫描后门CVE-2026-33824Microsoft IKEAI辅助攻击/9.8 RCE/VPN安装微软8月安全更新CVE-2026-19478GitLab48小时利用/供应链升级至17.8.2/17.7.5/17.6.7QVD-2026-55651Redis百万级影响/PoC公开/默认无认证升级至安全版本启用认证CVE-2026-73570Zimbra12,100暴露/在野利用升级至10.1.20P1 - 本周修复3-5天优先级CVE编号产品风险修复动作CVE-2026-65400Apple macOSroot权限/挖矿安装macOS Tahoe 26.6.1等补丁CVE-2026-55040Microsoft SharePointJWT伪造/任意用户冒充安装SharePoint最新补丁CVE-2026-64849MLflowAI基础设施/云凭证升级至3.15.0限制网络出口CVE-2026-20349Cisco ASA/FTDVPN拒绝服务/在野利用升级至修复版本CVE-2026-15748Forminator WordPress60万安装/RCE升级至1.56.2CVE-2026-12569PTC WindchillCL0P供应链勒索/43巨头确认补丁状态排查入侵痕迹P2 - 计划修复1-2周优先级项目风险修复动作Ray-Project CVE-2025-62593KEV收录/代码注入按CISA指南修复大华摄像头14,500僵尸网络改密码、隔离VLAN、更新固件npm/RubyGems供应链持续投毒风险审计依赖树、实施包签名验证GitLab实例供应链攻击面审查合并记录、启用分支保护Redis实例默认无认证暴露启用requirepass、限制IP、rename-command十、趋势总结与建议10.1 本周五大趋势补丁到利用窗口压缩至极限SAP 3天、GitLab 48小时、VMware vCenter 5天——传统补丁管理周期已完全失效补丁即攻击成为新常态AI自主攻击进入实战台湾政府攻击Hermes Agent DeepSeek和IKE漏洞利用DeepSeek自主攻击标志AI从辅助工具转变为自主武器国家级网络战进入AI时代供应链投毒模式升级TrueConf从服务器入侵到客户端替换实现全员感染CL0P通过PTC Windchill再现MOVEit式供应链勒索——攻击者越来越多地通过受信任平台向下扩散医疗与政府数据泄露创纪录DentaQuest 1500万波兰MyDr 1900万法国税务70万本周超过4000万个人敏感数据泄露医疗和政府系统成为数据泄露重灾区勒索软件生态扩张加速Medusa突破500受害者、Storm-1175转用StormEncryptor、4个新勒索组织出现Storm/Majinahanashi/Titan/Pear93个活跃勒索组织创历史新高10.2 行动建议针对安全团队立即实施SAP Commerce Cloud紧急修复升级rebuildredeploy不可跳过重新部署步骤部署TrueConf Server专项检测扫描4307端口暴露、检查locale.php和SysExcSvc后门文件Redis安全加固升级至安全版本、启用强密码认证、限制访问来源IP、限制高危命令审计AI/ML基础设施暴露面隔离MLflow服务、实施网络分段、限制API端点公网暴露审计PTC Windchill/FlexPLM实例确认补丁状态、排查JSP Web Shell和异常数据传输针对管理层重新定义补丁SLACVSS 9.0且公网暴露的漏洞修复窗口应压缩至48-72小时评估AI安全风险制定AI工具使用安全策略限制AI智能体框架的公网暴露供应链安全审计识别关键业务依赖的第三方平台评估单点故障风险医疗/政府数据保护增加安全投入实施离线备份定期演练数据泄露应急响应十一、下周关注日期事件关注点8月25日微软8月补丁后续零日漏洞PoC是否发布8月26日CISA KEV更新是否有新入榜漏洞持续SAP CVE-2026-58231利用态势4200暴露实例修复进度持续TrueConf供应链攻击影响范围PhantomCore感染终端数量持续CL0P/PTC Windchill受害者数量是否有更多企业公开确认持续Redis漏洞在野利用态势是否从PoC阶段转向实际利用持续AI自主攻击发展是否有新的AI攻击事件持续新兴勒索组织Storm/Majinahanashi/Titan/Pear发展十三、信息来源来源类型用途CISA KEV Catalog官方漏洞库在野利用漏洞追踪CISA/FBI/HHS联合警报官方公告Medusa勒索软件Microsoft Security Response Center厂商公告微软产品漏洞VMware Security Advisories厂商公告VMware产品漏洞SAP Security Patch Day厂商公告SAP产品漏洞CERT Polska国家级CERT欧洲威胁情报加拿大网络中心国家级CERTTrueConf漏洞荷兰国家网络安全中心国家级CERTmacOS Screen SharingKaspersky ICS CERT安全厂商TrueConf供应链分析奇安信CERT国内厂商Redis漏洞通告腾讯云安全国内厂商Redis风险通告360威胁情报中心国内厂商APT追踪微步在线国内厂商威胁情报Palo Alto Unit 42安全厂商DeepSeek AI攻击分析Tenable Research安全厂商AI智能体威胁集群Check Point Research安全厂商波兰MyDr泄露分析Defused威胁情报SAP/SharePoint蜜罐监测QUIRSO事件响应VMware vCenter归因分析BleepingComputer安全媒体事件追踪The Hacker News安全媒体威胁情报SecurityWeek安全媒体漏洞分析Computer Weekly安全媒体CL0P供应链攻击香港GovCERT官方CERTShieldBreak PoC预警天剑攻防实验室国内安全KEV态势分析免责声明本报告基于公开来源情报整理仅供参考。具体漏洞修复和应急响应措施请结合本单位实际情况制定。报告中的攻击归因分析基于现有公开证据可能存在不确定性。 2026年8月第3周网络安全形势周报
2026年8月第3周网络安全形势周报报告周期2026年8月15日—8月21日发布日期2026年8月21日一、摘要本期核心威胁概览本周网络安全形势呈现**补丁到利用窗口压缩至72小时、AI自主攻击进入实战、供应链级勒索常态化三大特征。CISA KEV catalog本周分三批新增7个在野利用漏洞**——8月17日Ray-Project代码注入、8月18日macOS/SharePoint/vCenter/IKE四连击、8月20日TrueConf Server双漏洞。其中TrueConf Server CVE-2026-72529成为本周最危险的新型供应链攻击事件——APT组织Head Mare利用未认证RCE入侵视频会议服务器后替换官方客户端安装包向所有参会者投递PhantomCore后门实现一次入侵、全员感染的供应链级扩散。SAP Commerce Cloud CVE-2026-58231CVSS 10.0补丁发布仅3天即遭在野利用4,200实例暴露公网。Redis QVD-2026-55651CVE-2026-23479未完全修复变种8月19日披露PoC已公开影响百万级实例。另一方面CL0P勒索组织通过PTC Windchill CVE-2026-12569攻陷Shell89GB、Philips13.5GB、GE391GB等43全球巨头再现MOVEit式供应链勒索。DentaQuest1500万患者数据遭ShinyHunters泄露2026年最大医疗数据泄露波兰MyDr1900万公民健康数据被盗2.5TB法国税务系统70万纳税人数据泄露。AI攻击方面**本期五大必读TrueConf Server CVE-2026-72529/72530APT入侵视频会议服务器→替换客户端安装包→PhantomCore供应链投毒SAP Commerce Cloud CVE-2026-58231CVSS 10.0补丁后3天遭利用4,200实例暴露CL0P通过PTC Windchill攻陷Shell/Philips/GE等43巨头再现供应链级勒索DentaQuest 1500万患者波兰MyDr 1900万公民法国税务70万人医疗与政府数据泄露三连击二、头条事件2.1 TrueConf Server CVE-2026-72529/72530APT供应链投毒视频会议平台漏洞概况CVE编号CVE-2026-72529关键功能缺失认证CVSS 9.8 CVE-2026-72530沙箱逃逸CVSS 9.5影响产品TrueConf ServerWindows/Linux5.3.X-5.3.9、5.4.X-5.4.9、5.5.X-5.5.5及之前全部版本修复版本5.3.9/5.4.9/5.5.52026年6月18日已发布KEV收录2026年8月20日在野利用已确认APT组织Head Mare攻击链深度分析TrueConf Server是一款广泛部署于政企单位的视频会议与协同通信平台。此次攻击链展示了教科书级的供应链投毒能力初始入侵攻击者连接目标TrueConf Server的4307/TCP端口默认开放调用一个未公开的函数——该函数对关键操作缺少认证校验无需任何凭据即可上传并执行任意脚本沙箱逃逸上传的脚本在隔离环境中执行攻击者利用CVE-2026-72530从沙箱逃逸以NT AUTHORITY\SYSTEM权限执行任意代码持久化替换locale.php为后门Web Shell删除事件日志创建SysExcSvc/SysReadSvc服务实现持久驻留使用OneDrive作为C2通道供应链投毒关键步骤替换客户端安装包trueconf_windows_client_x64.exe——之后所有x64参会者再次参会时会被提示下载新版本客户端实际安装的是捆绑了PhantomCore木马的安装包木马驻留PhantomCore释放至api-ms-win-crt-time-l1-1-0-2.dll写入注册表HKEY_CURRENT_USER\Software\Classes\CLSID\{0340F119-...}\InprocServer32实现开机自启Linux后门Linux服务器上攻击者使用GitHub作为C2通道隐藏自身文件并拦截TrueConf网络函数监听指令影响评估核心危害即便自身不部署TrueConf Server只要员工连接外部协作者的TrueConf开会同样可能中招渗透价值一次入侵即可将木马投递给所有参会终端穿透力远胜普通单点打点影响面2022年以来发布的所有TrueConf Server版本均在影响范围内检测与排查确认TrueConf Server版本是否低于5.3.9/5.4.9/5.5.5使用nmap扫描全网段4307/TCP端口定位暴露实例检查locale.php是否被替换排查C:\Windows\System32\inetsrv\SysExcSvc.dll、SysReadSvc.dll是否存在检查CLSID注册表键是否被写入核对客户端安装包哈希是否被篡改修复建议立即升级至5.3.9/5.4.9/5.5.5及以上临时缓解对4307/TCP端口做访问控制仅允许内网可信IP访问怀疑已中招全盘杀毒扫描排查IoC文件轮换所有泄露的账号密码2.2 SAP Commerce Cloud CVE-2026-58231CVSS 10.0补丁后3天遭利用漏洞概况CVE编号CVE-2026-58231CVSS评分10.0最高类型授权不当导致远程代码执行影响组件SAP Commerce Cloud Data Hub Adapter影响版本COM_CLOUD 2211、2211-JDK21补丁发布2026年8月11日SAP 8月安全补丁日确认利用2026年8月14日仅3天Defused蜜罐捕获技术细节该漏洞根因是授权不当与输入验证不足的组合未经身份验证的攻击者可滥用Data Hub Adapter中捆绑的默认认证客户端向缺乏充分验证的函数提交特制请求实现远程代码执行。CVSS向量AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H——网络可达、低复杂度、无需认证、无需用户交互、范围变更S:C意味着攻击影响不限于Data Hub Adapter组件本身可向内部组件扩散。关键时间线时间事件8月11日SAP发布安全补丁Security Note 37710658月14日Defused蜜罐捕获首次利用尝试8月15日安全媒体大规模报道持续4,200实例暴露公网Shadowserver数据攻击特征攻击者可能通过补丁比对逆向工程还原漏洞无公开PoC即遭利用观测到的攻击源IP216.249.99[.]43AS11402 Charlotte Colocation Center自动化批量扫描而非定向攻击修复建议立即升级至2211.55、2211-jdk21.17或更高版本⚠️必须重新构建并重新部署应用——仅升级代码不够需完整rebuild如无法立即修复实施IP过滤集限制访问将管理接口置于VPN后监控*/datahub-webapp/v1/*端点的异常请求2.3 CL0P通过PTC Windchill攻陷Shell/Philips/GE等43全球巨头事件概述俄罗斯关联勒索组织CL0P利用PTC Windchill/FlexPLM产品生命周期管理软件的CVE-2026-12569CVSS 9.3未认证RCE攻陷包括Shell、Philips、General Electric、Fiserv、ToastTab等43全球知名企业再现MOVEit式供应链勒索。攻击链利用FlexPLM WSDL端点预认证信息泄露获取攻击素材链接Windchill login servlet漏洞实现未认证RCE部署16位十六进制文件名的JSP Web Shell横向移动并窃取工程设计数据、CAD文件、数据库、备份静默驻留约56天后于7月20日发起大规模勒索邮件8月12-13日在暗网泄露网站公开点名受害者已知受害者与窃取数据受害者窃取数据量数据类型Shell89GB工程图纸、设施照片、检测报告扫描件、项目计划Philips13.5GB技术原理图和蓝图General Electric391GB未完全披露Fiserv874GBCAD文件ToastTab未披露有限内部文档供应商响应PTC于6月17-18日发布补丁CISA于6月25日将CVE-2026-12569加入KEV目录所有受影响企业确认正在调查Shell称已封锁访问并控制平台供应链安全启示当大量企业标准化于同一企业平台时一个共享供应商悄然成为所有人的单点故障——正如TNW主编所观察“再多内部安全投入也无法完全修补别人代码中的漏洞。”2.4 VMware vCenter CVE-2026-59310361受害者/47国持续追踪漏洞概况CVE编号CVE-2026-59310CVSS评分9.8严重类型路径遍历导致远程代码执行补丁发布2026年7月29日在野利用开始2026年8月3日仅5天窗口期KEV收录2026年8月18日修复截止8月21日攻击链回顾利用CVE-2026-59310路径遍历获取未授权访问结合CVE-2026-59309认证绕过创建隐藏管理员账户部署cron作业实现长期驻留安装reverse_ssh后门文件名linuxFile通过混淆WebSocket与C2通信部署Babuk衍生勒索软件加密ESXi主机文件.babyk扩展名影响规模更新确认受害者361个组织IP地址波及国家47个受害最多国家德国(55)、美国(41)、土耳其(38)、伊朗(26)、法国(25)C2域名intel.se9ly9upbhay.shop已知IP5.34.177[.]38、185.144.28[.]120、5.34.176[.]100归因分析德国事件响应公司QUIRSO以中等置信度评估为中文APT组织依据包括攻击脚本中的中文语言制品、中国安全出版物的研究复用、中文管理工具的运营使用以及刻意排除中国大陆的受害分布模式。值得注意的是勒索软件部署可能并非主要目标——疑似用于加密ESXi日志文件以销毁取证证据。2.5 Redis QVD-2026-55651CVE-2026-23479未完全修复变种漏洞概况漏洞编号QVD-2026-55651关联CVE-2026-23479CVSS评分8.8高危类型释放后使用UAF导致远程代码执行披露时间2026年8月19日影响量级百万级PoC状态已公开GitHub在野利用暂未发现技术细节今年5月Redis修复了一轮blocked-client UAF漏洞CVE-2026-23479但修复仅覆盖了unblockClientOnKey()路径漏掉了同在blocked.c里的handleClientsBlockedOnKey()函数——同一个代码路径里的另一条UAF利用链。受影响版本极广7.2.0-7.2.15 / 7.4.0-7.4.10 / 8.2.0-8.2.8 / 8.4.0-8.4.5 / 8.6.0-8.6.5 / 8.8.0-8.8.1 / 8.10.0安全版本8.8.2 / 8.10.1 / 8.6.6 / 8.4.6 / 8.2.9 / 7.4.11 / 7.2.16利用条件目标运行受影响Redis版本攻击者能网络访问Redis服务默认端口6379拥有CONFIG SET、EVAL、XADD等命令权限默认无认证配置下直接满足危害链Redis在企业中承担缓存、消息队列、分布式锁、会话存储等核心角色——一旦被攻破连锁反应可导致全系统沦陷。Shodan/FOFA上可搜索到数十万个默认不开启认证的Redis实例。三、CISA KEV本周动态本周CISA KEV Catalog分三批新增7个在野利用漏洞联邦机构须按截止日期完成修复。8月17日新增1个CVE编号产品类型修复截止CVE-2025-62593Ray-Project Ray代码注入2026-08-208月18日新增4个CVE编号产品类型CVSS修复截止CVE-2026-33824Microsoft IKE Service Extensions双重释放→RCE9.82026-08-21CVE-2026-55040Microsoft SharePoint弱认证/JWT伪造9.12026-08-21CVE-2026-59310VMware vCenter Server路径遍历→RCE9.82026-08-21CVE-2026-65400Apple macOS (Screen Sharing)认证不当9.82026-08-218月20日新增2个CVE编号产品类型CVSS修复截止CVE-2026-72529TrueConf Server关键功能缺失认证→RCE9.8待定CVE-2026-72530TrueConf Server沙箱逃逸→RCE9.5待定关键漏洞详解CVE-2026-33824 - Microsoft IKE Service Extensions双重释放漏洞未经身份验证的远程代码执行影响Windows IKE协议扩展服务UDP 500/4500端口暴露即可攻击攻击复杂度低Palo Alto Unit 42观察到中文攻击者利用该漏洞同时运行基于DeepSeek的AI自主攻击活动与人工操作并行CVE-2026-55040 - Microsoft SharePoint弱认证漏洞允许未认证攻击者伪造JSON Web TokenJWT冒充任意SharePoint用户甚至管理员利用链包括在JWT外层头指定alg: none绕过签名要求滥用SharePoint自身STS证书指纹Rapid7开发的PoC已被Defused在蜜罐中观测到攻击者使用CVE-2026-65400 - Apple macOS Screen Sharing认证不当漏洞允许网络内攻击者无需凭据即可登录macOS Screen Sharing已被用于部署Monero加密货币挖矿程序并获取root权限Apple于8月15日发布补丁macOS Tahoe 26.6.1/Sequoia 15.7.9/Sonoma 14.8.9荷兰国家网络安全中心确认补丁发布后不到两周即遭在野利用四、漏洞预警4.1 高危漏洞总表CVSS ≥ 8.0CVE编号产品CVSS类型状态关键影响CVE-2026-58231SAP Commerce Cloud10.0授权不当→RCE在野利用4,200暴露/3天利用CVE-2026-59310VMware vCenter9.8路径遍历→RCE在野利用361受害者/47国/勒索CVE-2026-33824Microsoft IKE9.8双重释放→RCE在野利用VPN基础设施/AI辅助攻击CVE-2026-65400Apple macOS9.8认证绕过→root在野利用挖矿程序部署CVE-2026-72529TrueConf Server9.8缺失认证→RCE在野利用供应链投毒/PhantomCoreCVE-2026-72530TrueConf Server9.5沙箱逃逸→RCE在野利用与72529组合实现完整接管CVE-2026-19478GitLab9.4GraphQL代码注入在野利用48小时利用/供应链CVE-2026-73570Zimbra8.9SNMP命令注入在野利用12,100服务器暴露QVD-2026-55651Redis8.8UAF→RCEPoC已公开百万级影响/默认无认证CVE-2026-55040Microsoft SharePoint9.1弱认证/JWT伪造在野利用任意用户冒充CVE-2026-64849MLflow9.3SSRF在野利用AI基础设施/云凭证CVE-2026-15748Forminator WordPress9.8未认证文件上传→RCE已修复600,000安装受影响4.2 重点预警Forminator WordPress插件CVE-2026-15748漏洞概况CVE编号CVE-2026-15748CVSS评分9.8严重影响范围600,000个WordPress安装修复版本1.56.22026年7月31日发布该漏洞允许未认证攻击者上传任意文件包括可执行PHP文件导致远程代码执行和完整站点接管。影响1.56.1及之前所有版本。WordPress作为全球最流行的CMS此漏洞的暴露面极为广泛。4.3 重点预警Cisco ASA/FTD CVE-2026-20349漏洞概况CVE编号CVE-2026-20349类型远程访问SSL VPN服务中的HTTP请求处理不当影响产品Cisco Secure Firewall ASA和FTD启用Remote Access SSL VPN/IKEv2 VPN/Zero Trust Network AccessKEV收录2026年8月11日未认证远程攻击者可发送特制HTTP请求触发设备重启导致拒绝服务。无workaround可用。Cisco确认在野利用。五、勒索软件与数据泄露5.1 勒索软件态势组织总受害者近期动态CL0P43(本周新增)通过PTC Windchill攻陷Shell/Philips/GE等MOVEit式供应链勒索Qilin2,063持续活跃亚洲目标增加Medusa500CISA/FBI/HHS 8月18日更新联合警报受害者从300增至500Akira1,530稳定运营中The Gentlemen734劫持AnMed医院Facebook页面声称窃取6TB健康数据Babuk衍生-通过VMware vCenter大规模部署Storm-1175-从Medusa转用StormEncryptor通过N-able N-central初始入侵Gunra-利用Fortinet CVE-2024-55591绕过MFA部署勒索DeadLock-继续使用Polygon区块链智能合约作为C25.2 Medusa勒索软件联合警报更新8月18日CISA、FBI和HHS于8月18日更新了Medusa勒索软件联合网络安全警报#StopRansomware系列关键更新受害者总数从2025年3月的300增至50017个月增加200加速利用Medusa演员在新漏洞公布后24小时内即开始利用甚至在公开披露前一周即开始使用初始访问经济通过犯罪论坛招募初始访问经纪人支付$100至$100万不等已利用漏洞ScreenConnect CVE-2024-1709、Fortinet EMS CVE-2023-48788、Fortra GoAnywhere、BeyondTrust双勒索模型48小时响应窗口可支付$10,000延长一天超时后在泄露网站倒计时公开关键发现曾有受害者在支付赎金后另一名Medusa演员联系声称谈判者窃取了赎金要求再付一半以获取真正的解密器5.3 重大数据泄露事件事件泄露规模数据类型关键细节DentaQuest美国1,500万患者SSN、Medicaid/Medicare ID、诊疗记录ShinyHunters攻击234GB泄露2026年最大医疗泄露波兰MyDr1,900万公民医疗记录、处方、PESEL编号2.5TB被盗泄露政客数据以证真实法国税务系统70万纳税人个人和企业税务数据6月底入侵8月13日确认Canvas/Instructure2.75亿条记录教育数据8,809所学校受影响Bits of Gold以色列20万客户姓名、国民ID、邮箱、银行账户、钱包地址第三方供应商入侵CEVA Logistics未披露客户信息、订单数据欧洲范围暴露可针对物流钓鱼Trezor14,000客户姓名、地址、邮箱、电话物流商ShipMonk被入侵CareCloud370万患者SSN、诊断信息医疗记录泄露泰国数字部2.21亿条记录公民数据政府敏感信息AnMed医院6TB声称健康信息The Gentlemen劫持Facebook页面发布勒索DentaQuest泄露深度分析美国第二大牙科保险公司DentaQuest遭ShinyHunters攻击攻击发生于5月17-20日影响至少1,500万人部分估计高达2,340万。泄露数据包括社会保障号超过170万条Medicaid/Medicare识别号牙科和视力诊疗记录提供者姓名、诊断和账单信息ShinyHunters在勒索谈判失败后公开约234GB数据。值得注意的是泄露的SSN中许多属于德克萨斯州儿童——这一群体特别容易遭受长期身份盗窃风险。DentaQuest提供24个月免费信用监控和身份盗窃保护。六、供应链攻击专项6.1 TrueConf Server客户端供应链投毒详见2.1节APT组织Head Mare通过入侵TrueConf Server替换客户端安装包实现供应链级PhantomCore后门投毒。6.2 CL0P通过PTC Windchill供应链勒索详见2.3节CL0P利用PTC Windchill/FlexPLM CVE-2026-12569攻陷43全球企业。6.3 StubMakerRubyGems供应链投毒新型typosquatting攻击在RubyGems仓库投放16个恶意包使用流行gem名称的轻微拼写变体。恶意包安装Go语言信息窃取木马通过Rust加载器投递专门窃取浏览器凭据加密货币钱包Telegram数据6.4 jscrambler npm Rust窃密木马投毒持续追踪攻击者向npm仓库投放伪装成jscrambler相关包的恶意软件包含Rust编写的窃密木马窃取开发者凭证和CI/CD管道访问权限。6.5 binding.gyp投毒后续影响上月发现的binding.gyp投毒事件57个包、286个版本本周继续发酵更多下游依赖项目被发现受影响。七、AI安全与新兴威胁7.1 AI自主攻击进入实战阶段本周多个事件标志AI攻击从理论走向实战事件攻击者AI技术影响台湾政府攻击中国关联组织Hermes Agent DeepSeek多智能体21系统/85账户/2,564档案Microsoft IKE利用中文攻击者DeepSeek自主攻击与人工操作并行Kimsuky离线AI朝鲜APT本地LLM文档检索代码库钓鱼/恶意软件自动化7.2 MLflow SSRF威胁AI基础设施CVE-2026-64849CVSS 9.3利用HTTP重定向滥用webhook功能绕过安全控制访问内部网络服务和云元数据端点窃取敏感凭证。攻击者可进一步访问训练数据集、窃取模型权重、篡改推理结果、利用GPU资源挖矿。7.3 AmnesiaStealermacOS新型恶意软件通过虚假GitHub页面诱导用户粘贴终端命令可实时劫持浏览器会话并远程控制macOS设备。7.4 AI生成钓鱼攻击升级Balonx PhaaS钓鱼即服务针对墨西哥银行业使用AI生成语音钓鱼vishing内容高度逼真的语音合成使传统电话验证失效。7.5 Manic Android恶意软件蓝牙近场传播主要针对欧洲用户利用附近已感染设备进行数据渗出通过蓝牙和Wi-Fi直连传播规避基于网络边界的安全检测。八、国内安全动态8.1 CNVD第32周漏洞统计8月10日—16日指标数量环比变化收录漏洞总数548-高危漏洞301-中危漏洞219-低危漏洞28-零日漏洞502占比92%事件型漏洞7,387↑1.9倍关键发现零日漏洞占比高达92%大多数漏洞在披露前已被利用或存在公开PoC事件型漏洞环比激增1.9倍安全事件响应压力加大高危漏洞占比55%形势严峻8.2 国内威胁情报要点国家计算机病毒应急处理中心发布Sorry勒索病毒预警利用cPanel漏洞入侵公网暴露的Linux Web服务器含信创系统暂无可靠解密方法新型macOS恶意软件AmnesiaStealer出现通过虚假GitHub页面诱导可实时劫持浏览器会话国产Electron软件供应链攻击活动被披露俄罗斯Midnight Blizzard利用酒店Wi-Fi发起全球攻击8.3 CISA KEV全球态势截至8月16日CISA KEV目录累计收录1,705条在野利用漏洞平均利用窗口期仅15天。云原生、AI/ML系统、物联网与OT、身份访问管理是攻击面扩展最快的四个方向。九、修复优先级清单P0 - 立即修复24-48小时优先级CVE编号产品风险修复动作CVE-2026-58231SAP Commerce CloudCVSS 10.0/3天利用/4200暴露升级至2211.55/jdk21.17必须rebuildredeployCVE-2026-72529/72530TrueConf Server供应链投毒/APT/PhantomCore升级至5.3.9/5.4.9/5.5.5隔离4307端口CVE-2026-59310VMware vCenter361受害者/APT/勒索升级至8.0 U3e/7.0 U3w扫描后门CVE-2026-33824Microsoft IKEAI辅助攻击/9.8 RCE/VPN安装微软8月安全更新CVE-2026-19478GitLab48小时利用/供应链升级至17.8.2/17.7.5/17.6.7QVD-2026-55651Redis百万级影响/PoC公开/默认无认证升级至安全版本启用认证CVE-2026-73570Zimbra12,100暴露/在野利用升级至10.1.20P1 - 本周修复3-5天优先级CVE编号产品风险修复动作CVE-2026-65400Apple macOSroot权限/挖矿安装macOS Tahoe 26.6.1等补丁CVE-2026-55040Microsoft SharePointJWT伪造/任意用户冒充安装SharePoint最新补丁CVE-2026-64849MLflowAI基础设施/云凭证升级至3.15.0限制网络出口CVE-2026-20349Cisco ASA/FTDVPN拒绝服务/在野利用升级至修复版本CVE-2026-15748Forminator WordPress60万安装/RCE升级至1.56.2CVE-2026-12569PTC WindchillCL0P供应链勒索/43巨头确认补丁状态排查入侵痕迹P2 - 计划修复1-2周优先级项目风险修复动作Ray-Project CVE-2025-62593KEV收录/代码注入按CISA指南修复大华摄像头14,500僵尸网络改密码、隔离VLAN、更新固件npm/RubyGems供应链持续投毒风险审计依赖树、实施包签名验证GitLab实例供应链攻击面审查合并记录、启用分支保护Redis实例默认无认证暴露启用requirepass、限制IP、rename-command十、趋势总结与建议10.1 本周五大趋势补丁到利用窗口压缩至极限SAP 3天、GitLab 48小时、VMware vCenter 5天——传统补丁管理周期已完全失效补丁即攻击成为新常态AI自主攻击进入实战台湾政府攻击Hermes Agent DeepSeek和IKE漏洞利用DeepSeek自主攻击标志AI从辅助工具转变为自主武器国家级网络战进入AI时代供应链投毒模式升级TrueConf从服务器入侵到客户端替换实现全员感染CL0P通过PTC Windchill再现MOVEit式供应链勒索——攻击者越来越多地通过受信任平台向下扩散医疗与政府数据泄露创纪录DentaQuest 1500万波兰MyDr 1900万法国税务70万本周超过4000万个人敏感数据泄露医疗和政府系统成为数据泄露重灾区勒索软件生态扩张加速Medusa突破500受害者、Storm-1175转用StormEncryptor、4个新勒索组织出现Storm/Majinahanashi/Titan/Pear93个活跃勒索组织创历史新高10.2 行动建议针对安全团队立即实施SAP Commerce Cloud紧急修复升级rebuildredeploy不可跳过重新部署步骤部署TrueConf Server专项检测扫描4307端口暴露、检查locale.php和SysExcSvc后门文件Redis安全加固升级至安全版本、启用强密码认证、限制访问来源IP、限制高危命令审计AI/ML基础设施暴露面隔离MLflow服务、实施网络分段、限制API端点公网暴露审计PTC Windchill/FlexPLM实例确认补丁状态、排查JSP Web Shell和异常数据传输针对管理层重新定义补丁SLACVSS 9.0且公网暴露的漏洞修复窗口应压缩至48-72小时评估AI安全风险制定AI工具使用安全策略限制AI智能体框架的公网暴露供应链安全审计识别关键业务依赖的第三方平台评估单点故障风险医疗/政府数据保护增加安全投入实施离线备份定期演练数据泄露应急响应十一、下周关注日期事件关注点8月25日微软8月补丁后续零日漏洞PoC是否发布8月26日CISA KEV更新是否有新入榜漏洞持续SAP CVE-2026-58231利用态势4200暴露实例修复进度持续TrueConf供应链攻击影响范围PhantomCore感染终端数量持续CL0P/PTC Windchill受害者数量是否有更多企业公开确认持续Redis漏洞在野利用态势是否从PoC阶段转向实际利用持续AI自主攻击发展是否有新的AI攻击事件持续新兴勒索组织Storm/Majinahanashi/Titan/Pear发展十三、信息来源来源类型用途CISA KEV Catalog官方漏洞库在野利用漏洞追踪CISA/FBI/HHS联合警报官方公告Medusa勒索软件Microsoft Security Response Center厂商公告微软产品漏洞VMware Security Advisories厂商公告VMware产品漏洞SAP Security Patch Day厂商公告SAP产品漏洞CERT Polska国家级CERT欧洲威胁情报加拿大网络中心国家级CERTTrueConf漏洞荷兰国家网络安全中心国家级CERTmacOS Screen SharingKaspersky ICS CERT安全厂商TrueConf供应链分析奇安信CERT国内厂商Redis漏洞通告腾讯云安全国内厂商Redis风险通告360威胁情报中心国内厂商APT追踪微步在线国内厂商威胁情报Palo Alto Unit 42安全厂商DeepSeek AI攻击分析Tenable Research安全厂商AI智能体威胁集群Check Point Research安全厂商波兰MyDr泄露分析Defused威胁情报SAP/SharePoint蜜罐监测QUIRSO事件响应VMware vCenter归因分析BleepingComputer安全媒体事件追踪The Hacker News安全媒体威胁情报SecurityWeek安全媒体漏洞分析Computer Weekly安全媒体CL0P供应链攻击香港GovCERT官方CERTShieldBreak PoC预警天剑攻防实验室国内安全KEV态势分析免责声明本报告基于公开来源情报整理仅供参考。具体漏洞修复和应急响应措施请结合本单位实际情况制定。报告中的攻击归因分析基于现有公开证据可能存在不确定性。