安全419｜一周国际网安资讯：Ivanti零日攻击链再入KEV，Google收购Wiz获批

本周（2026年10月28日至11月3日）全球网络安全领域，远程接入基础设施持续成为攻击者重点突破方向。CISA在一周内将十余个在野利用漏洞加入KEV目录，其中Ivanti Connect Secure两个零日漏洞与既有漏洞串联成攻击链，GitLab满分RCE、Cisco防火墙DoS、Linux内核Fragnesia、VMware ESX反取证、Google Brotli（Node2Shell）、Adobe Commerce任意文件上传、微软IKE服务扩展组件等相继上榜，覆盖VPN、代码仓库、防火墙、虚拟化平台和基础开源库。攻击事件侧，医疗与养老行业继续遭受勒索密集冲击，美国UNM Health遭Byod攻击致3.6万台设备受影响、救护车改道，Marathon Health因员工被冒充IT钓鱼致27万人泄露，时尚电商Revolve约151万客户支付卡被窃，日本Sony Network Communications披露258万条记录泄露。产业侧，云与AI安全初创Upwind完成4亿美元C轮，欧盟无条件批准Google收购Wiz，Palo Alto发布Cortex XSIAM 4.0，CrowdStrike将威胁狩猎扩展至AI应用与Google Cloud。以下为安全419整理的重点资讯。


 

一、漏洞预警
 

CISA于10月28日将Google Brotli压缩库中的漏洞CVE-2026-111497加入已知被利用漏洞（KEV）目录，确认该漏洞正被攻击者在野外利用。安全研究人员将该漏洞命名为Node2Shell，意指攻击者可借助Brotli解析缺陷在Node.js应用上实现从"节点"到"Shell"的代码执行。由于Brotli库在Web基础设施中无处不在，一旦被武器化，影响面将覆盖大量依赖Node.js的后端服务和云应用。
 

CISA于10月28日将影响VMware ESX的日志记录不足漏洞CVE-2026-41709加入KEV目录，确认该漏洞已被现实攻击利用。该漏洞的危险之处不在于直接突破，而在于攻击者一旦获取ESX主机的管理员权限，即可利用日志记录机制的缺陷抹除或篡改其操作痕迹，使入侵行为在审计日志中"消失"，极大延长攻击者在虚拟化环境中的驻留时间并阻碍事后溯源。CISA要求联邦机构按期修复，其他运行ESX的组织应立即升级至补丁版本，同时启用独立的远程日志审计。
 

CISA于10月30日将Ivanti Connect Secure中的两个零日漏洞CVE-2026-111357（CVSS 7.0）和CVE-2026-118527加入KEV目录，确认二者正与此前的CVE-2026-104935串联成攻击链被在野利用，联邦机构修复截止日期为11月2日。部署该VPN的组织应立即按Ivanti指引升级、检查设备是否存在可疑配置和后门账户。
 

CISA于10月27日宣布将Adobe Commerce和Magento中的不受限制危险类型文件上传漏洞CVE-2026-48356加入KEV目录，确认该漏洞已被积极利用。安全厂商提醒，CVE-2026-48356与同期的Node2Shell均属于"已确认在野利用"级别，组织应将其列为最高优先级修复项，应立即升级至Adobe发布的安全补丁版本，核查Web服务器上是否存在近期新增的可疑可执行文件，并检查管理员账户是否存在异常登录。
 

10月30日，CISA将微软Internet Key Exchange（IKE）服务扩展组件相关漏洞CVE-2026-33824列入已知被利用漏洞清单，确认该漏洞正被攻击者在野外利用。此类系统组件漏洞一旦被利用，攻击者可远程触发服务异常或执行代码，直接影响企业VPN接入的安全性。这是继Ivanti Connect Secure零日链之后，本周又一起涉及远程接入/VPN基础设施的高危漏洞事件。微软已随月度更新提供修复， Windows用户和企业管理员应尽快通过Windows Update部署相关补丁，并检查VPN服务器的异常登录和服务崩溃日志。
 

CISA于10月28日将Linux内核权限提升漏洞CVE-2026-46300（被命名为Fragnesia）加入KEV目录。该漏洞的特殊之处在于它被攻击者与两个PHP漏洞（CVE-2026-109618、CVE-2026-109619）串联利用：攻击者先通过PHP漏洞在Web服务器上获得初始访问，再利用Fragnesia从Web用户提权至root。更棘手的是，安全研究人员警告，为打补丁而重启系统会清除内存中的攻击证据，使取证团队失去关键线索——这与VMware ESX日志不足漏洞形成呼应，攻击者都在致力于消除痕迹。运行Linux服务器的组织应制定取证与补丁协同策略，在重启前先采集内存证据和磁盘镜像，再安排维护窗口升级内核。
 

CISA于10月29日将GitLab远程代码执行漏洞和Cisco Secure Firewall拒绝服务漏洞加入KEV目录，确认二者均已被在野利用。其中GitLab RCE漏洞CVSS评分高达10.0（满分），攻击者可未经认证在GitLab服务器上执行任意代码，直接威胁企业代码仓库、CI/CD流水线和密钥管理；Cisco Secure Firewall（原Firepower）漏洞CVSS 8.6，可导致防火墙拒绝服务，使企业边界防护失效。企业应立即升级GitLab至最新补丁版本，并检查Cisco防火墙的异常日志，在补丁部署前考虑临时缓解措施。满分RCE出现在代码仓库产品中，对DevOps和软件供应链安全构成直接威胁，需要开发团队和安全团队联动处置。
 

二、安全事件与数据泄露
 

印度马哈拉施特拉邦恰特拉帕蒂·桑巴吉纳加尔一家公立医院的9台服务器于10月28日遭网络攻击，杀毒软件记录显示病毒攻击波及全部九台服务器，随后系统上出现勒索信，一个自称Crypto24 Group的团伙声称已加密医院文件并窃取敏感信息，威胁在Tor泄露站点公开数据，除非在规定时间内联系并支付赎金。医院已就此向警方报案并登记立案。安全专家提醒，医疗机构应将服务器备份与生产网络物理隔离、建立关键诊疗系统的离线恢复能力，并在勒索事件发生后第一时间隔离受影响网段、保留取证证据，而不是急于支付赎金。发展中国家的公立医院正成为全球勒索软件的高价值目标。
 

美国新墨西哥大学健康科学中心（UNM Health）于10月29日披露其医院系统遭到网络攻击，导致部分急诊和救护调度受影响，救护车被迫改道至其他医院。勒索团伙Byod在其数据泄露网站上声称已入侵UNM医院和主校区约3.6万台设备，并公开道歉、提供免费解密工具但保留窃取的数据，还向受影响患者提供2500美元"补偿"。UNM Health在周三发布新闻稿表示，技术人员已恢复全部设施功能，院方明确否认支付赎金，并敦促员工、学生和患者警惕攻击者的后续接触。这起事件是2026年医疗勒索的典型样本：攻击者不仅加密系统，还通过"道歉+免费解密+小额补偿"的新型话术试图塑造形象、降低舆论压力，但核心仍是通过数据泄露施压。
 

勒索追踪平台HookPhish于10月29日记录到，勒索软件组织Shiba将美国Friendly Senior Living养老机构列入受害者名单，事件记录时间为10月29日20:36（UTC）。Shiba是近年活跃的勒索即服务组织，以中小型医疗、养老和地方公共服务机构为目标，采用双重勒索模式：先窃取数据，再加密系统，最后威胁公开老人病历和家庭信息施压。安全专家指出，养老机构一旦被加密，日常照护记录、用药提醒和家属沟通都可能中断，影响的是最脆弱的老年人群体。照护行业应将基础网络隔离、员工钓鱼培训和离线备份作为底线安全措施，不能因机构规模小而忽视防护。
 

勒索追踪平台Undercode News于10月29日记录到，勒索软件组织Anubis将美国俄勒冈州Santiam医院及诊所列入受害者名单，列表日期为10月28日。Undercode的评估指出，目前该勒索列表属于"未经证实"状态：公开追踪记录可以确认该列表确实出现，但尚无法独立确认系统被攻破、数据被窃取或破坏性活动发生，也没有证据显示患者诊疗受到干扰。Anubis是近年活跃的勒索团伙，常以医疗机构为目标，且伴随破坏性恶意软件。Santiam医院方面尚未公开回应。对医疗机构而言，这类"被点名"事件本身就是一种预警信号，即便实际入侵尚未发生，也应主动排查远程接入、终端防护和备份状态，为可能的攻击做好准备。
 

威胁情报机构ThreatMon于10月29日记录到，勒索组织SilentRansom将美国顶尖律所Lowenstein Sandler LLP列入受害者名单，公开追踪记录确认该列表出现于10月28日。Lowenstein Sandler是美国知名的综合性律师事务所，服务大量上市公司、私募股权机构和财富500强企业，处理并购、诉讼、知识产权等高敏感度业务。这是继上周Sanders Law Group被Rhysida点名之后，本周又一家美国律所被勒索组织公开列为目标，显示法律服务行业已成为2026年勒索攻击的重点赛道。律所的卷宗和客户数据涉及诉讼保密义务、商业谈判底线和并购内幕信息，一旦泄露，不仅造成客户信任崩塌，还可能直接影响在办案件和交易进程，甚至引发律师职业伦理和监管合规责任。安全专家建议律所强化文档加密、终端检测和内部权限隔离，并制定数据泄露后的客户通知与保密义务应对预案。
 

美国健康管理服务公司Marathon Health于10月30日披露数据泄露事件：攻击者通过冒充IT部门人员的社会工程手段，骗取了一名员工的凭据，随后利用该凭据访问系统并外泄了超过27.25万人的个人和健康数据。这起事件的入侵方式值得警惕——它并非利用漏洞，而是典型的"假冒IT支持"钓鱼：攻击者伪装成IT部门发送邮件或即时消息，以"账户异常""系统升级"为由骗取员工直接交出账号密码。一旦员工凭据被窃，攻击者即可绕过多因素认证的第一道防线，以合法身份进入内部系统。该事件提醒企业，社会工程攻击的入口往往不在技术防线，而在员工的一次"配合"。企业应强化对假冒IT支持钓鱼的识别培训、对特权账户启用更严格的MFA和异常会话监控，并在凭据失窃后快速轮换、审计访问记录。
 

美国上市时尚电商Revolve Group于10月29日向美国证券交易委员会（SEC）提交报告，披露其系统遭未授权访问，攻击者通过自动化手段获取了在购物账户中保存支付信息的客户数据，涉及约151.5万名客户。可能暴露的数据包括姓名、联系信息、支付卡号和有效期。这起事件暴露了电商平台"保存支付卡"功能的风险——为方便客户结账而存储的卡号，一旦被自动化攻击批量拖库，就会形成大规模支付卡泄露。Revolve建议客户联系发卡行更换卡片。安全专家指出，电商应优先采用令牌化（tokenization）存储支付信息而非明文保存卡号，并对客户支付数据访问实施最小权限和异常批量下载监控。
 

日本Sony Network Communications于10月30日披露数据泄露事件：公司确认10月19日发生未授权访问，10月23日发现后立即停止受影响服务器并阻断通信。事件共暴露约258.5万条会员和用户记录，其中5.4401万个邮箱地址和密码受影响，另有8条银行账户记录暴露。受影响邮箱密码已被强制重置。Sony Network Communications是索尼集团旗下提供互联网服务、数据中心和企业云服务的子公司。这是日本继10月30日个人信息保护委公布"本财年2.6亿人次泄露"之后又一起重大数据事件，反映出日本企业在2026年面临严峻的数据安全挑战。
 

威胁追踪平台Yazoul Security于10月31日记录到，勒索软件组织Rhysida将美国马萨诸塞州Phoenix Charter Academy列入暗网泄露站，声称于10月31日实施攻击，并已外泄约445.1GB数据、涉及36829个文件。教育行业是2026年勒索攻击的重灾区之一——学校系统持有大量学生个人信息、家长联系方式和员工数据，且往往安全预算有限，被加密后直接影响教学秩序。学校应建立离线备份、网络分段和员工安全意识培训，并在事件发生后及时通知学生家长。
 

据泄露追踪平台LeakTrace于10月30日前后记录，日本航空披露其旅客信息因Amadeus旅客服务系统发生的数据泄露事件而受到影响。Amadeus是全球航空业广泛使用的旅客服务和预订系统，JAL等大型航司依赖其处理订票、值机、常旅客和行程数据。这属于典型的"供应链/平台型数据事件"。该事件与本周Marathon Health（冒充IT员工钓鱼）、Revolve（支付卡泄露）等事件共同显示，2026年数据泄露的主要场景正在向"第三方平台和凭据盗用"集中。航司和常旅客应关注官方通知，警惕以"行程异常""会员积分"为名的钓鱼邮件；企业在选择SaaS和行业平台时，应将其数据安全事件记录纳入供应商风险评估。
 

Cyble研究人员于10月31日披露，黑客组织INJ3CTOR3正针对Asterisk-based FreePBX、Issabel和Elastix电话服务器发起新一轮攻击，部署JOMANGY恶意软件。该恶意软件每分钟可窃取17个PBX配置文件，使攻击者即便在管理员清理服务器后，仍能利用窃取的配置信息持续盗打国际电话。电话服务器（PBX）劫持攻击是一种历史悠久但持续有效的盈利模式，攻击者利用被盗的分机账户和路由配置拨打高额国际声讯电话，产生巨额话费，而受害企业往往在收到账单时才察觉。此类攻击通常通过暴露在互联网上的管理界面、弱口令和已知漏洞进入。企业应将PBX管理界面置于VPN或白名单之后，及时升级固件，监控异常通话记录，并对国际长途呼叫设置限额和告警。
 

三、产业与投融资
 

云与AI安全初创公司Upwind于10月28日宣布完成4亿美元C轮融资，估值达38亿美元，本轮由Bessemer Venture Partners领投，Canapi Ventures跟投，公司称2026年收入同比增长翻两番。Upwind专注于云原生和AI工作负载的安全，帮助企业在多云和AI基础设施中识别暴露面、配置风险和跨云通信风险。Upwind的融资说明，头部安全初创在面临巨头收购时，选择独立融资冲刺IPO的路径正在增多。
 

欧盟委员会于10月31日根据《欧盟并购条例》无条件批准了Google对云安全公司Wiz的收购案。Google通过Google Cloud Platform提供云基础设施，并向其云客户及其他云基础设施厂商的有限客户提供云安全服务；Wiz则是领先的云原生应用保护平台（CNAPP）厂商。欧盟委员会认为，交易后Google仍将面对来自微软、亚马逊、阿里云等多家云厂商及其他独立云安全厂商的充分竞争，不会削弱市场竞争。对行业而言，Google将Wiz收入囊中意味着其云安全能力将与Google Cloud深度整合，进一步强化"云厂商自带安全"的趋势；对独立云安全厂商而言，与超大云厂商的竞合关系将更加微妙。该审批结果与Proofpoint收购Varonis等交易一起，标志着2026年云安全和数据安全领域的整合进入高峰期。
 

CrowdStrike于10月30日宣布升级其Falcon Adversary OverWatch威胁狩猎服务，新增两项关键能力：一是通过CrowdStrike Falcon Guardian对AI应用和自主代理活动提供24/7全天候托管威胁狩猎；二是基于遥测数据对Google Cloud提供更深度的威胁狩猎。这是CrowdStrike近期推出Adversary OverWatch产品后的进一步升级，目标是覆盖不断扩大的攻击面。CrowdStrike将"AI应用和AI代理活动"单独列为狩猎对象，反映出行业共识：AI代理已成为新的攻击面，既可能被攻击者滥用，也可能因配置不当造成数据外泄。
 

Palo Alto Networks于11月2日发布Cortex XSIAM 4.0，定位为"了解你的企业"的AI安全运营平台。新版本为安全运营中心配备了自主的、上下文感知的AI代理，使其能与人类分析师协同工作，加速事件调查、简化响应流程，并抵御AI驱动的威胁。新版本还提供下一代防火墙防护可视性与缺口分析功能：安全团队可以看到企业已有的防火墙实际防护了哪些漏洞、哪些覆盖存在缺口，并获得加固建议。Cortex XSIAM 4.0的发布标志着主流安全厂商的SOC平台正从"告警聚合+人工编排"向"AI代理自主调查响应"加速演进。对企业安全团队而言，选择SOC平台时需要重点评估AI代理的可控性、误报率和与现有工具链的集成能力。
 

AI驱动渗透测试初创公司AvalonX于10月28日宣布结束18个月隐身模式，获得Ridown Capital最高1000万美元投资，将面向中小型企业销售持续化、AI驱动的渗透测试服务。AvalonX总部位于美国佐治亚州，其产品定位是用AI自动化持续发现企业网络和应用中的漏洞，替代传统周期性、人工主导的渗透测试。与Upwind的4亿美元C轮相比，AvalonX的1000万美元虽规模不大，但代表了安全创业在"AI化、中小企业化"方向上的持续探索。对中小企业安全团队而言，这类工具提供了以可负担成本持续发现漏洞的新路径，也让"持续渗透测试"从大型企业的特权变成可及的安全能力。
 

SecurityWeek于11月2日发布的月度并购统计显示，2026年10月全球网络安全行业共宣布了37起并购交易，其中最受关注的是Proofpoint以63亿美元收购数据与AI安全厂商Varonis的交易。该交易完成后，Proofpoint将成为融合"人力安全+数据安全+AI安全"的全球性平台。10月并购的一个共同主题是AI安全——无论收购方是为了补齐AI代理防护能力，还是为了保护企业AI工作负载和数据，AI安全都是驱动交易的核心理由。37起交易的数量反映出网安行业在2026年进入新一轮整合期：一方面，头部厂商通过并购快速补齐AI安全、云安全和数据安全能力；另一方面，细分赛道的初创公司在融资环境收紧的背景下，更倾向于通过被收购实现退出。对从业者而言，这一趋势意味着岗位技能要求、产品线组合和竞争格局都在快速变化，安全团队在选型时也需要关注厂商并购后的产品整合和服务连续性。
 

四、威胁情报与行业观察
 

日本个人信息保护委员会（PPC）于10月30日公布的统计数据显示，自2026财年（2026年4月至2027年3月）开始以来，日本已有约2.6亿人次的个人信息被泄露，这一数量约相当于日本总人口的两倍。该数据揭示了两个重要趋势：一是企业和机构的个人信息泄露事件仍在高发，二是单次事件往往波及大量人次，累计人次被迅速放大。日本作为对个人信息保护要求严格的国家，这一统计也反映出即便是合规成熟市场，数据泄露的总体规模仍在随数字化深入而扩大。对亚太地区企业而言，该数据提示应重新审视个人信息保护的合规投入和事件上报机制，建立泄露后的快速通知、影响评估和受害人数统计流程。
 

反钓鱼厂商Cofense于10月29日披露一项自9月起活跃的钓鱼活动：攻击者向企业员工发送伪装成"Anthropic私有预览邀请"的邮件，声称受邀者可以提前体验Anthropic的AI产品，但邮件实际通过GoTo Webinar发送，借此绕过邮件安全网关的校验，最终引导用户在伪造的登录页上输入Google和Microsoft账号密码。随着AI成为企业热点，攻击者越来越多地把AI品牌、AI产品发布作为钓鱼诱饵。企业应教育员工对"AI预览""内测邀请"类邮件保持警惕，不要因好奇而在非官方页面输入工作凭据；邮件安全网关应基于发件人信誉和页面行为做综合判断，不能只看域名是否真实。AI时代的钓鱼正在从"恐吓"转向"诱惑"。
 

Acronis威胁研究部门于10月29日披露， APT36正在将活动范围扩大到阿富汗国家电信运营商。该组织以针对学生、学者和政府人员的鱼叉式钓鱼、定制化木马和水坑攻击著称。此次将目标扩展至阿富汗电信骨干，反映出地缘政治变化正在推动APT组织调整目标地图——电信运营商是关键信息基础设施，控制电信流量可以获取通信内容、元数据和跨境情报。对阿富汗及周边国家的政府、外交人员和电信从业者而言，这一报告提示需要加强针对定向鱼叉邮件、可疑文档附件和异常网络连接的检测。研究人员同时指出，该组织的工具集在持续演进，防御方不能依赖旧的IOC（威胁指标）做检测，需要持续更新威胁情报。
 

美国国土安全部部长于10月30日在《联邦公报》发布命令，依据《2018年联邦采购供应链安全法》及联邦采购安全委员会（FASC）的建议和证据审查，下令排除由特定实体开发的信息技术产品（包括AcronisSCS及关联产品）进入联邦采购供应链。这类行政命令是美国联邦政府针对高风险IT产品采取的正式供应链安全措施——一旦被列入排除清单，联邦机构将不得再采购相关产品，已部署的也需要逐步替换。Acronis是一家总部位于新加坡、在全球提供备份和网络安全服务的公司，此次被排除反映出联邦供应链安全审查的范围正在从传统的电信设备、监控设备扩展到备份、终端安全等更广类别的IT产品。对厂商而言，联邦采购资格的合规审查日益严格；对企业用户而言，采购来自受关注国家或关联实体的安全产品时，也需要评估其供应链合规风险。供应链安全已从"采购建议"升级为"法律禁令"。
 

本周安全建议
 

1. 远程接入加固：Ivanti Connect Secure零日链和微软IKE漏洞接连暴露VPN/远程接入风险，企业应立即升级边缘VPN设备、启用MFA、限制管理接口暴露，并推进零信任架构替代传统VPN。
 

2. 基础开源库与供应链排查：Node2Shell（Brotli库）、GitLab满分RCE、Linux内核Fragnesia等事件提示，应建立软件物料清单（SBOM），定期扫描依赖组件中的已知漏洞，对基础解析库和代码仓库类组件优先修复。
 

3. 反取证与日志架构：VMware ESX日志不足、Fragnesia重启清证据等事件提醒，本地日志和内存可能被攻击者清除，应将关键系统日志实时转发到独立、不可篡改的SIEM，重启取证前先采集内存镜像。
 

4. 社会工程防御：Marathon Health因员工被冒充IT钓鱼导致27万人泄露、Cofense假冒Anthropic预览钓鱼，应强化假冒IT支持和AI诱饵类钓鱼演练，对特权账户严格MFA和异常会话监控。
 

5. 医疗与养老行业底线：医院、养老机构本周连续遭勒索，应建立离线备份、网络分段和跨机构转诊应急方案，关键诊疗系统必须具备"被加密也能恢复"的能力。
 

6. 第三方与支付数据治理：Revolve、JAL/Amadeus、Sony Network Communications事件显示，支付数据和第三方平台风险上升，应采用令牌化存储支付信息，将供应商数据安全纳入持续风险评估，并对异常批量数据下载设置告警。