已发布刊物 · 免费预览
安全每日新闻流 2026-11-11｜CISA 将六种已知被利用漏洞纳入目录
发布： 摘要更新：
CISA 根据活跃利用证据，将其已知被利用漏洞（KEV）目录新增六种漏洞。
本期内容预览
1. CISA 将六种已知被利用漏洞纳入目录
CISA 根据活跃利用证据，将其已知被利用漏洞（KEV）目录新增六种漏洞。
- CISA Adds Six Known Exploited Vulnerabilities to Catalog | CISA ↗
- Google Issues Chrome Security Update for Eighth Actively Exploited Zero-Day of 2026 ↗
- Google patches eighth Chrome zero-day exploited in attacks this year ↗
- Google fixes the eighth actively exploited Chrome zero-day of 2026 ↗
- Chrome 157.0.8103.50 Fixes CVE-2026-125350, an XML Use-After-Free Google Says Is Exploited. It Is the Eighth This Year. Relaunch the Browser, and Check Edge, Brave and Other Chromium Browsers ↗
- 查看原始来源 ↗
2. 2027 年 11 月 Microsoft 补丁星期二 - SANS ISC
微软继续其由人工智能驱动的补丁激增，本月修复了 1,260 个不同漏洞，其中 68 个被认定为严重漏洞。
3. N-able 宣布针对 N-central 关键漏洞进行响应
2026 年 11 月 9 日，N-able 宣布正针对影响其远程监控和管理（RMM）平台 N-central 的关键漏洞公开披露事件做出响应。
4. 人工智能安全漏洞如何危及您的供应链——以及您可以做什么——ZDNET
功能强大的 AI 应用可能潜藏固有的安全风险。
5. 2026 年第三季度桌面端与 IoT 威胁统计 | Securelist
2026 年第三季度 IT 威胁演变。
6. 2026 年第三季度移动威胁报告 | Securelist
2026 年第三季度 IT 威胁演变。
7. 黑客利用 Barracuda ESG 关键漏洞获取 root 权限
网络安全公司 Barracuda Networks 警告称，攻击者已开始利用两个近期修复的邮件安全网关（ESG）漏洞，这些漏洞允许攻击者以 root 权限运行命令。
8. Git 发布安全漏洞公告 - GitHub 博客
Git 正在发布更新，以解决影响递归克隆、引用处理、合并、二进制补丁和导入的六个安全漏洞。以下是用户需要了解的内容。
9. 微软发布 Windows 10 KB5131096 扩展安全更新
微软发布了 Windows 10 KB5131096 扩展安全更新，该更新包含 2026 年 11 月补丁星期二（Patch Tuesday）的当月修复内容，以及若干其他错误修复和功能变更。
10. SAP 修复 ICM2SHELL 和 PROXYGATE 等最高严重等级漏洞
SAP 在 2026 年 11 月的安全更新中修复了 35 个漏洞，其中包括 4 个最高严重等级漏洞，涉及 NetWeaver、Web Dispatcher 和 Gateway 软件。
11. SAP 修复 4 个 CVSS 评分为 10.0 的漏洞，其中 2 个可导致远程代码执行
SAP 在今日的月度安全补丁日更新中修复了 4 个可被攻击者在未经身份验证的情况下利用的漏洞。SAP 将这 4 个漏洞的 CVSS 评分均评定为最高分 10.0。
12. Claude Mythos 5.2 发布：强化漏洞挖掘能力，减少沙箱破坏行为
Anthropic 发布了 Claude Fable 5.2 和 Claude Mythos 5.2。这两个版本共享底层模型，在广泛可用的 Fable 中，针对网络安全和生物学任务实施了更严格的保障措施。
13. 研究人员披露 33 个附带 PoC 利用代码的零日漏洞后，N-able 下线 N-central 云服务
N-able 表示，在 30 多个统称为 Able2Shell 的漏洞被公开披露后，公司已将 N-central 托管环境下线，并敦促本地部署客户关闭其服务器，直至另行通知。
14. 11 月 8 日攻击事件导致资金被盗后，LNbits 紧急发布 1.7.0 安全更新
开源闪电网络钱包及账户管理平台 LNbits 于 11 月 10 日紧急发布 1.7.0 安全更新，并要求所有运营者在重新启动服务器之前完成升级。该项目的官方 X 账户发布了更新公告及 GitHub 发布版本链接，并将其标注为“安全更新（SECURITY UPDATE）”。
15. 日本家具零售巨头 Nitori 称黑客窃取了 3,760 万条客户记录
日本大型家具及家居用品零售商 Nitori（宜得利）发现，攻击者访问了其网络中的一个系统，可能窃取了 3,762 万条客户记录。
16. 黑客利用受信任的 AWS 访问权限入侵多个云环境
一名威胁行为者利用大数据平台 Qubole 的 AWS 账户中遭泄露的身份与访问管理（IAM）凭据，访问了多个客户的 AWS 环境并窃取数据。
17. 助听器巨头 Amplifon 披露数据泄露事件，数千名美国客户受影响，社会安全号码及医疗信息被盗 | TechRadar
医疗健康企业 Amplifon Americas 披露遭受网络攻击，导致客户敏感数据泄露，其中包括多种医疗健康信息以及美国社会安全号码（SSN）。
18. SGLang 远程代码执行漏洞遭利用，NEAR AI 被入侵，18 个智能体及约 100 名用户的数据被窃取
上周日，一名攻击者利用开源推理引擎 SGLang 中的远程代码执行漏洞，在 NEAR AI 的一台推理服务器上执行了恶意代码。
19. Adobe 修复涉及 9 款产品的 110 个漏洞 | SecurityWeek
Adobe 在 2026 年 11 月的补丁星期二更新中，修复了涉及 9 款产品的约 110 个安全漏洞。
20. 黑客利用 Xen Orchestra 严重身份验证绕过漏洞获取管理员权限
法国软件公司 Vates VMS 警告称，Xen Orchestra 中存在一个严重安全漏洞，且该漏洞正在被攻击者在真实环境中积极利用。
21. 三项针对中国关联目标的间谍活动被证实源自 Sparrow 恶意软件生态
尽管最初被假定为相互独立的攻击系列，各自拥有后门及后渗透工具，但调查表明它们均通过名为 Sparrow 的恶意软件生态系统相互关联。
22. 研究发现：采用 AI 辅助的企业漏洞披露量增加 120%，但未检测到修复速度下降
一项预印本研究发现，与中国企业对照组相比，采用 AI 辅助的企业漏洞披露量相对增加约 120%，且在研究覆盖的漏洞修复渠道中，未检测到可识别的修复速度下降。
23. 币安警告：iOS 漏洞可能导致加密钱包助记词泄露
币安周二警告 iPhone 用户，一个已被公开披露的 iOS 漏洞可能允许恶意应用读取其他应用存储的文件，其中包括控制加密货币钱包的助记词和私钥。
24. 软件透明度正在发生变化：Allan Friedman 谈 SBOM、AI BOM 及未来发展 | SecurityWeek
软件物料清单（SBOM）领域先驱 Allan Friedman 参加 SecurityWeek 播客节目，探讨为何了解软件内部组成只是起点、AI 如何使软件供应链的可见性问题更加复杂，以及组织在获取 SBOM 数据后应如何有效利用这些数据。
25. 攻击者利用 AhsayCBS 漏洞部署可规避沙箱检测的 Python 后门
网络安全研究人员披露了一起攻击事件的技术细节。攻击者利用 AhsayCBS 中两个现已修复的漏洞，投放了基于 Python 的恶意植入程序。
26. Xen Orchestra 严重身份验证绕过漏洞遭利用，虚拟机服务器面临被接管风险
Xen Orchestra 中的一个严重身份验证绕过漏洞正在遭到攻击者积极利用。攻击者可能借此获得管理员权限，并进一步接管 XCP-ng 虚拟化宿主机。
27. Blind Eagle 利用伪造法院通知，在拉丁美洲传播远程访问木马
被称为 Blind Eagle 的威胁行为者再次活跃，发起了一轮针对拉丁美洲组织的攻击活动。攻击者使用以司法和行政事务为主题的网络钓鱼诱饵，传播与 AsyncRAT 和 DCRat 具有共同代码谱系的远程访问木马（RAT）。
28. iOS 沙箱逃逸漏洞已公开，苹果尚未确认修复
币安警告称，一个已公开的 iOS 沙箱逃逸漏洞可能导致加密钱包密钥泄露。目前尚无相关攻击事件报告，苹果也尚未确认已修复该漏洞。
29. 研究人员公开数十个零日漏洞后，N-able 关闭其远程访问云服务 | TechCrunch
远程访问服务公司 N-able 确认，已下线其云托管服务，以修复本周在网上公开披露的一系列安全漏洞。由于这些漏洞在披露前未提前通知该公司，因此公司没有获得预先修复的时间。
30. 世嘉新闻邮件服务数据泄露，约 220 万个电子邮箱地址暴露；公司正在调查，用户财务数据未受影响 | TechRadar
游戏巨头世嘉（Sega）披露了一起涉及第三方的网络安全事件，导致近 220 万人的电子邮箱地址及至少 92,000 人的其他详细信息泄露。
31. SAP 修复严重的 ICM2SHELL 和 ProxyGate 漏洞 | SecurityWeek
SAP 发布了 42 份新增及更新的安全公告，其中 9 份涉及严重等级的安全漏洞。
32. Qubole 供应链攻击波及十多家组织 | SecurityWeek
网络安全研究人员发现，一名威胁行为者利用与大数据平台 Qubole 关联的 AWS 账户中遭泄露的 IAM 凭据，从十多家组织窃取了数据。
33. Qubole 供应链攻击导致 AWS、Entra ID 和 Okta 凭据暴露
在 10 月 14 日至 10 月 26 日期间发生的一起供应链攻击中，攻击者滥用 AWS 跨账户 IAM 角色访问多个客户环境，窃取数据并收集身份验证凭据。Wiz 研究人员与 Sentra 和 Mandiant 合作调查发现，攻击者利用 Qubole 的 AWS 账户 IAM 凭据，在客户环境中通过角色代入获取访问权限。
34. 俄罗斯 Turla 黑客利用新型 Cereal 恶意软件窃取政府交换服务器邮件
与俄罗斯相关的国家支持威胁行为者 Turla（又名 Snake）正在使用一套此前未公开的间谍工具 Cereal，该工具用于入侵受害者的 Microsoft Exchange 服务器，旨在秘密收集邮件。
35. Turla 间谍软件将受害者 Exchange 服务器变为监控中心
与俄罗斯相关的 Turla 团伙在两家政府组织（一家位于哈萨克斯坦，一家位于罗马尼亚）的 Microsoft Exchange 服务器上植入了模块化 .NET 工具集，并直接复制邮件流中的选定邮件。ESET 研究人员发现了该恶意软件并将其命名为 Cereal。
36. 黑客利用 Qubole AWS 凭证入侵客户云环境
据 Wiz 披露，不明身份的入侵者利用与 Qubole AWS 账户关联的遭入侵的身份及访问管理凭证，进入客户 AWS 环境，窃取机密信息及 S3 数据。
37. 币安警告：iOS 漏洞可能泄露加密货币钱包敏感信息
币安警告称，苹果 iOS 26.7.1、27.0.1 和 27.2 中存在一个漏洞，可能允许第三方应用读取其他应用存储的私有文件，包括加密货币钱包助记词、密钥及登录凭据。
38. 苹果修复 iMessage 群聊隐私漏洞及蓝牙配对安全漏洞
苹果昨日表示，iMessage 中的一个漏洞可能允许远程攻击者加入群聊并接收群聊消息，公司已发布更新予以修复。此次更新还修复了另一个独立的 iMessage 漏洞，该漏洞可能使新加入群聊的用户访问其加入之前发送的消息。
39. 币安因 iOS 漏洞利用风险，建议 iPhone 用户删除侧载应用 | Unchained
币安周二警告 iPhone 用户，一个名为 worse_query 的漏洞允许恶意应用读取其他应用的本地文件，使整个生态系统中的助记词、私钥和登录凭据面临泄露风险。
40. 币安警告：iOS 沙箱逃逸漏洞可能泄露加密钱包密钥，尚未确认存在修复方案
GitHub 上公开的一个 iOS 沙箱逃逸漏洞，允许运行 iOS 26 和 27 的 iPhone 上的应用读取其他应用的文件。币安今日警告称，这可能使助记词、私钥和登录凭据面临被恶意应用窃取的风险。
41. 软件工程师利用远程代码执行漏洞让 Prusa 3D 打印机播放 Rickroll 视频：借助 Claude Opus 测试一周发现 23 个 Prusa Buddy 固件缺陷 | Tom's Hardware
软件工程师 Yannick Dixken 出于研究目的，对自己的 Prusa MK4S 3D 打印机进行了为期一周的安全测试。在这段相对短暂但密集的测试结束后，他发布了一段演示视频，展示了如何通过远程代码执行（RCE）让打印机播放 Rickroll 视频。
42. OpenAI 称 GPT-6 Cyber 发现 2,308 个 Linux 内核漏洞 | Dataconomy
OpenAI 表示，其 GPT-6 Cyber 模型在安全测试中识别出 2,308 个潜在的 Linux 内核漏洞，并成功复现了其中 1,726 个。
43. AI 基础设施初创公司 Fireworks 披露云提供商被攻陷后的新安全漏洞
AI 基础设施初创公司 Fireworks 披露了一起新的安全事件：攻击者通过突破第三方云提供商的防线，进而访问了其开发机器。
44. CVE-2026-116003：Photoshop 桌面版存在越界写入漏洞，可能导致以当前用户权限执行任意代码
CVE-2026-116003：Photoshop 桌面版受到一个越界写入漏洞影响，该漏洞可能导致攻击者在当前用户的安全上下文中执行任意代码。漏洞利用…… cve.org/CVERecord?id=C…
已展示本期 63 条中的 44 条。注册并开通相应订阅后，可在阅读页查看完整刊物。