一个空白字段。一个公共库。对一封电子邮件的回复。一个暴露的盒子。所有这些听起来都不那么戏剧化，这部分是问题所在。本周的威胁继续在一些容易被忽视的小事上找到杠杆。
混合中有主动利用的漏洞、更清晰的入侵路径、更智能的自动化，以及在它们后面等待的长长的补丁列表。一些攻击变得更有能力。其他攻击仍然能够进入，因为基本的防护首先让步了。
以下是本周的重要内容。
⚡ 本周威胁
Citrix 警告新发现的 NetScaler ADC 和 Gateway 漏洞被利用 — Citrix 发布了针对 NetScaler ADC 和 NetScaler Gateway 中一个高危安全漏洞的安全更新，该漏洞已被作为针对性零日攻击的一部分进行利用。该漏洞被追踪为 CVE-2026-88779，CVSS 分数为 8.7（满分 10.0）。Citrix 表示：“CVE-2026-88779 是 Citrix NetScaler ADC 和 Citrix NetScaler Gateway 中的内存溢出漏洞，在特定部署条件下可能导致拒绝服务。” “该问题影响在满足所需前提条件时运行受影响支持版本的客户管理的 NetScaler 部署。” 成功利用需要将 NetScaler ADC 或 NetScaler Gateway 配置为 SAML 服务提供商（SP）或 SAML 身份提供商（IdP）。
🔔 头条新闻
关键 FortiMail 零日漏洞在攻击中被利用 — 美国网络安全和基础设施安全局（CISA）警告称，影响 Fortinet FortiMail 的关键安全漏洞正在被积极利用。该漏洞 CVE-2026-104286（CVSS 分数：9.8）允许未经身份验证的攻击者在底层系统上写入任意文件。根据 Fortinet 的说法，该漏洞“可能允许未经身份验证的攻击者通过精心制作的 HTTP 或 HTTPS 请求在底层系统上写入任意文件。”
两名 ShinyHunters 成员被捕 — 执法机构逮捕了与 ShinyHunters 数字敲诈团伙相关的两名成员。其中一名是 24 岁的阿姆斯特丹男子，据信是 Pepijn van der Stap，而第二名是 Saif al-Din Khader，据说上周被约旦当局拘留。ShinyHunters 最近因劫持 Cl0p 的暗网网站以及黑客攻击 FBI 的“apply.fbijobs[.]gov”门户而引起关注。
当局逮捕 16 岁的 KillSec 主谋 — 西班牙警方逮捕了一名 16 岁的少年，怀疑他是 KillSec（又名 Kill Security 勒索软件集团）勒索软件行动的首脑。根据欧洲刑警组织（Europol）的说法，当局于 2026 年 9 月 30 日控制了 KillSec 的泄漏网站，确保了不少于 110TB 的数据。作为 KillSwitch 行动的一部分，共有三名嫌疑人被临时逮捕，并在希腊、罗马尼亚、西班牙和英国进行了八处房产的搜查。该团伙的一名被控成员 Fouad Eltibrizi 在英国被捕，正等待引渡到美国。自 2024 年出现以来，该团伙估计已发起约 1000 次攻击，其中至少一半成功。Europol 表示：“该团伙利用软件漏洞和安全性差的访问点，特别是云存储，获得对组织系统的访问。” “其成员随后将敏感的内部数据复制到他们控制的基础设施中。受害者在该团伙的暗网泄漏网站上被列名，并被威胁如果不支付就会公开他们的数据。” 根据 Group-IB 的说法，该团伙公开声称的受害者有 274 个，其中大多数是美国、印度和巴西的组织。Group-IB 表示：“该团伙还直接出售被盗数据，标价从 5000 美元的单个公司记录到 500,000 美元的全球保险公司数据，使 KillSec 既是数据经纪人也是勒索软件运营商。”
新的 Spectre v2 变种在几分钟内泄漏 Linux 根密码哈希 — 一种名为分支目标重用（BTR）的新 Spectre v2 攻击变种可以在几分钟内从运行 Linux 的英特尔计算机中恢复根密码哈希。该攻击利用处理器分支预测器中的陈旧信息，在即时编译（JIT）引擎重用内存以用于新代码后。通过篡改这些信息，攻击者可以欺骗处理器暂时执行错误的指令，并可能暴露敏感数据。研究人员声称：“我们在 Raptor Cove 和 Lion Cove 上评估了端到端的利用，平均在 3 分钟和 5 分钟内泄漏了密码。” “间接分支预测是现代 CPU 的固有特性，而 BTR 利用分支预测器与代码实际状态之间的不同步。目前没有 CPU 具有保持二者同步的机制，因此在供应商添加之前，您的 CPU 是脆弱的。”
Star Blizzard 使用虚假邀请部署 CosmicPulse — 被称为 Star Blizzard 的俄罗斯国家支持威胁行为者在针对乌克兰个人和机构以及国际非政府组织（NGO）、西方智库、政府和其他与国际政策相关的组织的攻击中采用了一种新的恶意软件交付技术，称为 RedFlick。最终目标是通过使用伪装成邀请的钓鱼电子邮件设置计划任务来部署名为 CosmicPulse 的自定义后门。一旦受害者对初始钓鱼电子邮件做出回应，Star Blizzard 通常会发送一封后续邮件，包含一个受密码保护的档案，触发 RedFlick 链。“这种技术与该行为者之前使用的 ClickFix 基础感染链有显著不同，后者要求受害者完成多个操作才能安装 CosmicPulse，”微软表示。“相比之下，RedFlick 感染流程只需要一次用户交互，从而减少了妥协过程中的摩擦。”
NeedyMantis 恶意软件实现持久网络访问 — 一种名为 NeedyMantis 的模块化后妥协恶意软件家族正在被威胁行为者使用。