本周热点速览
本周网络安全领域呈现多重挑战：AI安全持续成为焦点，多个古典漏洞被重新利用，关键基础设施面临威胁，执法行动取得重大成果。以下为本周主要资讯汇总。
一、AI安全与工具
Claude Opus仅2283美元编写Chrome漏洞利用
安全研究人员发现Claude Opus模型可以低成本编写Chrome漏洞利用代码，主流AI模型已能发现流行软件漏洞，引发对AI安全能力的重新评估。
GitHub AI代理可被劫持窃取凭证
研究人员发现集成到GitHub的AI代理存在被劫持风险，Anthropic、Google和Microsoft尚未发出用户警告，凸显AI工具安全标准缺失。
Git身份欺骗愚弄Claude批准恶意代码
攻击者伪造Git元数据欺骗Claude将恶意代码变更视为可信维护者，暴露AI代码审查工具身份验证弱点。
OpenAI发布GPT-5.4-Cyber强化网络安全
OpenAI推出网络安全专用模型帮助防御者分析恶意软件，AI公司在安全领域的竞争加剧。
二、漏洞与补丁
13年旧Apache ActiveMQ漏洞正被利用
CISA要求联邦机构修补已被积极利用的Apache ActiveMQ RCE漏洞，该漏洞已列入KEV清单，凸显古典漏洞的持续威胁。
17年旧Excel漏洞复出用于攻击
存在17年之久的Excel漏洞被重新启用用于主动攻击，已加入CISA已知利用漏洞目录。
思科修补Webex和ISE关键漏洞
思科发布补丁修复多个关键漏洞，ISE漏洞被利用可给攻击者提供完全控制权。
Nginx-ui MCP漏洞正被积极利用
Nginx-ui MCP缺少身份验证漏洞允许攻击者接管服务器，已被积极利用。
三、勒索软件与恶意软件
Mirai变体Nexcorium劫持DVR设备
新型Mirai变体Nexcorium利用CVE-2024-3721漏洞劫持TBK DVR发动DDoS攻击，物联网设备因缺乏补丁成为主要目标。
四款新型Android恶意软件针对800款应用
Zimperium发现RecruitRat、SaferRat、Astrinox和Massiv四款Android恶意软件，针对超过800款应用窃取敏感数据。
ZionSiphon针对以色列水系统
Darktrace发现ZionSiphon恶意软件针对以色列水处理厂的OT系统，关键基础设施安全面临新威胁。
ShowDoc 2020年漏洞正被利用
5年前修补的ShowDoc漏洞(CVE-2025-0520)正被用于主动服务器接管，全球服务器受影响。
四、供应链与数据泄露
Booking.com警告预订数据可能泄露
旅游巨头Booking.com警告用户预订数据可能已泄露，包括姓名、联系方式和入住日期。
Basic-Fit百万会员数据被盗
欧洲健身房巨头Basic-Fit确认约100万会员数据被盗，包括姓名、地址和银行信息。
Fiverr配置错误致用户文件暴露
Fiverr存储配置错误导致用户税务记录和身份证暴露于Google搜索，隐私保护受质疑。
五、执法与行动
Operation PowerOFF捣毁DDoS租用平台
国际执法行动捣毁53个DDoS租用域名，逮捕4人，识别7.5万犯罪用户账户。21个国家参与Europol主导行动。
朝鲜黑客针对macOS用户
朝鲜黑客组织针对macOS用户发起新一轮社会工程攻击，通过虚假工作机会和投资诱饵窃取加密货币。
荷兰军舰位置被蓝牙追踪器暴露
荷兰海军护卫舰收到仅5欧元的蓝牙追踪器后位置被泄露，暴露军事设施操作安全漏洞。
六、安全趋势
机器人流量占网络活动49%
报告显示机器人流量占网络活动的49%，但其中99%为不良流量，恶意机器人可能伪装可信用户代理。
语音钓鱼绕过MFA攻击Okta
针对Okta的语音钓鱼攻击增加，攻击者通过电话绕过MFA获取SSO访问权限。
量子安全互联网竞赛已经开始
专家警告现在收获以后解密风险，敦促加快向抗量子加密迁移，现有加密协议面临量子计算威胁。
本周安全建议
1. 紧急修补：立即修补Apache ActiveMQ、Excel、Nginx-ui等正被利用的漏洞
2. AI工具审计：审查GitHub AI代理权限，防止凭证被窃取
3. MFA强化：防范语音钓鱼，确保电话渠道身份验证安全
4. 物联网安全：检查TBK DVR等设备，及时修补或下线
5. 量子准备：开始评估抗量子加密迁移计划
数据来源
本期资讯编译整理自以下国际网络安全媒体：
- The Hacker News (https://thehackernews.com)
- The Register (https://www.theregister.com)
- WIRED Security (https://www.wired.com/category/security/)
- Hackread (https://hackread.com)
- SC World (https://www.scworld.com)
- Security Affairs (https://securityaffairs.com)
免责声明
本资讯由安全419资讯中心编译整理，仅供参考学习。原文链接请参阅汇总表格。如有转载，请注明出处。
整理日期：2026年04月20日
京公网安备 11010802033237号
