网络空间安全动态（202637期）
编者按：网安动向热讯，本期有十三点值得关注：一是中共中央、国务院印发《关于发展新质生产力的意见》；二是《人工智能 政务大模型系统技术要求》等35项国家标准获批发布；三是美FCC拟全面禁止中国实验室参与输美电子产品检测认证；四是美牵头17国共同签署《京都愿景：科学黄金时代》联合宣言，提出利用超级智能加速科学发现；五是美总统特朗普宣布成立“超级智能工作组”；六是特朗普政府启动一系列科学举措，旨在开启科学的新黄金时代；七是美战争部推出多项举措，落实白宫《科学：新黄金时代》计划；八是美战争部推出3.5亿美元量子计算倡议；九是美战争部长宣布启动“子午线计划”；十是美政府问责局发布报告《量子计算：联邦机构需采取行动应对新兴网络威胁》；十一是美能源部发布两项“创世纪计划”关键进展，涉及项目与人才方向；十二是欧盟委员会注册欧洲公民倡议，以保护主权欧洲人工智能域名；十三是英德启动联合伙伴关系以应对网络攻击与破坏活动。
数据前沿快讯，本期有两点建议关注：一是欧盟委员会宣布投入6500万欧元，保障关键生命科学数据库长期运行；二是泰国发布《人工智能技术开发和使用中的个人数据保护指南》。
网安事件聚焦，本期有两方面内容建议关注：一是全球关键基础设施与云平台接连遇袭，物理打击、勒索攻击、AI赋能入侵等多种攻击手段叠加，引发业务中断与数据失窃。本期介绍：俄互联网巨头Yandex数据中心遭无人机袭击，引发大规模网络服务中断；日本软银集团旗下云平台遭勒索攻击致495家企业和市政机构受影响；韩国多家金融机构遭黑客利用AI工具入侵，窃取客户及员工数据；法国超市冷链系统遭网络攻击。二是公民个人信息安全遭遇严峻挑战，政务人口数据库、电商第三方系统相继遭网络入侵。本期介绍：丹麦中央人口登记处遭黑客入侵约880万人信息被窃取；英国ASOS第三方平台遭黑客攻击致数百万用户手机收到勒索通知。
网安风险警示，本期有四点建议关注：一是GitLab正则表达式编译器未授权远程代码执行漏洞安全风险通告；二是Handlebars.js validateAstNode原型链绕过远程代码执行漏洞安全风险通告；三是Citrix发布严重公告称NetScaler SAML漏洞可导致RCE；四是RouterOS SSH公钥认证绕过漏洞安全风险通告。
一、网安动向热讯
（一）中共中央、国务院印发《关于发展新质生产力的意见》
10月9日，中共中央、国务院印发《关于发展新质生产力的意见》。《意见》围绕5方面创新，提出19项重点举措。一是大力推进科技创新。加强原创性颠覆性科技创新，加快突破关键核心技术，统筹国家战略科技力量建设，强化企业科技创新主体地位，加速科技成果向现实生产力转化。二是推动科技创新和产业创新深度融合。改造提升传统产业，培育壮大新兴产业，前瞻布局未来产业，促进实体经济和数字经济深度融合，全面实施“人工智能+”行动。三是着力推进发展方式创新。构建绿色低碳循环发展经济体系，优化绿色发展政策工具箱，积极推进能源革命。四是扎实推进体制机制创新。聚焦科技和经济紧密结合深化改革，完善市场监管制度，加大金融创新产品供给，在全球配置先进生产要素。五是深化人才工作机制创新。培养新质生产力发展急需人才，健全人才使用和流动政策。（信息来源：新华社）
（二）《人工智能 政务大模型系统技术要求》等35项国家标准获批发布
10月9日消息，全国信息技术标准化技术委员会归口的35项国家标准获批发布，将为人工智能、工业互联网等领域相关的技术和产业发展提供参考，进一步发挥标准化对技术创新和产业发展的支撑作用。35项标准具体包括：《人工智能 政务大模型系统技术要求》《信息技术 生物特征识别呈现攻击检测 第4部分：移动设备测试轮廓》《工业互联网平台 工业机理模型评价方法》《信息技术 大数据 数据资产核心元数据》《数据要素标识规范》《移动终端浏览器技术要求》《人工智能 大模型第4部分：计算机视觉大模型》《人工智能 大模型第5部分：多模态大模型》《星闪无线通信系统 第303部分：基础服务层多域协调与管理》等。（信息来源：全国信标委）
（三）美FCC拟全面禁止中国实验室参与输美电子产品检测认证
10月7日，美联邦通信委员会（FCC）宣布将于10月29日就一项新的设备认证规则进行表决，拟全面禁止中国检测实验室参与面向美国市场的电子产品检测认证工作。新规涉及智能手机、摄像头、计算机等电子设备，计划于2028年12月1日起实施。此举将进一步扩大美国对中国检测认证机构的限制范围。据媒体报道，FCC此次拟采取的措施不仅针对中国，还将适用于未给予美国检测实验室对等待遇的其他国家和地区。根据拟议规则，FCC将停止认可位于这些国家和地区的检测实验室、通信认证机构及实验室认可机构，使相关机构无法继续参与美国的电子设备授权程序。（信息来源：合规小叨客）
（四）美牵头17国共同签署《京都愿景：科学黄金时代》联合宣言，提出利用超级智能加速科学发现
10月4日至6日，第23届科学与技术社会论坛年会在日本京都举行。会议期间，美国与日本、英国、新加坡等16个国家共同签署《京都愿景：科学黄金时代》（以下简称《京都愿景》）联合宣言，旨在利用超级智能加速科学发现，并推动科研组织、资助机制和人才培养方式变革。《京都愿景》提出了三大行动方向：一是改进科学发现机构，探索长期资助、快速拨款、奖项挑战等多元资助工具，并将“元科学”作为实证领域以优化科研组织与资助方式；二是将超级智能融入科研工作流，扩大研究人员对相关工具、数据、算力基础设施和实验设施的访问权限；三是培育科研人才，重点投资早期职业研究者，扩大实践培训以及跨部门的博士项目、奖学金和科研合作。（信息来源：美白宫网站）
（五）美总统特朗普宣布成立“超级智能工作组”
10月8日消息，美总统特朗普宣布成立“超级智能工作组”（SIF），负责协调联邦政府与消费者、公共利益团体、宗教组织、关键基础设施提供商和人工智能公司的合作。这支队伍将由国家情报总监杰伊·克莱顿领导，成员包括联邦贸易委员会主席安德鲁·弗格森、负责研究与工程的国防部副部长兼首席技术官埃米尔·迈克尔以及人事管理办公室主任斯科特·库珀。该小组将向特朗普总统和白宫幕僚长苏茜·威尔斯汇报工作，并在120天内交出一份关于AI风险与机遇的报告。据彭博社消息，克莱顿计划赴硅谷，会见英伟达、OpenAI、Anthropic和Meta等企业负责人。克莱顿表示，前沿模型必须具备公众能够接受的控制和监测措施，政府将督促企业履行安全承诺。工作组后续安排或影响美国前沿模型的安全评估和发布管理。（信息来源：全球技术地图）
（六）特朗普政府启动一系列科学举措，旨在开启科学的新黄金时代
10月8日，特朗普政府在“科学：新黄金时代”峰会上启动了一系列科学举措，涵盖联邦政府、工业界、学术界和慈善机构，投入超60亿美元，旨在开启科学的新黄金时代。主要举措涵盖四个方向：一是超级智能（SI）赋能美国科学家，11家产业伙伴向创世使命联盟承诺24亿美元，用于科学工具与计算，支持15个以上联邦机构应对国家科技挑战，同时建设州与区域SI计算枢纽等；二是聚焦优秀人才，推出择优制K-12 STEM项目，重启基于数学能力选拔3至12年级学生的美国国家科学基金会（NSF）青年学者项目，美国国立卫生研究院（NIH）启动发现世代计划，吸纳100名杰出早期职业科学家进入内部研究项目等；三是重启国家使命，美国能源部（DOE）发布量子计算优先应用，指导2.15亿美元“量子创世Q竞赛”打造首批容错量子计算机等；四是建设加速发现的机构，支持跨机构独立研究机构X-Labs并启动X-Labs联盟，获超3.1亿美元产业与慈善承诺等。（信息来源：美白宫网站）
（七）美战争部推出多项举措，落实白宫《科学：新黄金时代》计划
10月8日，美战争部推出多项举措，落实白宫《科学：新黄金时代》计划，推动国防科研体系改革、科技人才培养和国防创新成果转化。美战争部将与国家科学基金会深化合作，依托国内研究力量为美军研发新技术新能力，合作初期聚焦三大方向：一是X-Labs，组建自主研发机构，专攻高校和产业实验室用传统方法难以破解的技术瓶颈；二是可编程云实验室网络，战争部拟在2028财年“未来财年国防计划”中为其投入2亿美元，建设全美人工智能赋能自动化实验室网络；三是人工智能创新平台，由DARPA与国家科学基金会联合搭建产学研政论坛，资助并监管高校主导的人工智能与国家安全交叉领域研究。战争部还将成立国防学术研究中心，分设基于问题的基础研究联盟、学术与国防合作转化研究倡议，组织高校团队攻关国家安全科学难题，与军种实验室结对、对接作战司令部优先需求。（信息来源：国防科技要闻）
（八）美战争部推出3.5亿美元量子计算倡议
10月8日，美国战争部研究工程副部长办公室（R&E）宣布一系列新举措和项目更新，总额约3.5亿美元，旨在加强美国在支撑国家安全任务的量子计算能力方面的领导地位。此举依据特朗普第14413号行政令，将美国量子信息科学领先地位列为国家优先事项，并响应白宫科技政策办公室发布的《科学：新黄金时代》计划中的相关倡议。具体举措包括：DARPA通过“量子基准计划”将四家潜在量子计算供应商推进至C阶段，新增约2亿美元资金；此前DARPA已向潜在量子计算供应商投资超过6.5亿美元。C阶段将验证和确认其公用事业规模量子计算机概念能否按设计建造并按预期运行。战争部战略资本办公室宣布向PsiQuantum提供约1.5亿美元有条件贷款承诺，支持其在美国的先进制造和原型能力。此外，DARPA将与能源部科学办公室、国家核安全管理局和物理科学实验室合作，在2027年1月前举办一系列应用研讨会，汇集终端用户和量子算法专家，识别高价值用例，加速工业相关量子优势，创造经济机会并加强国防。（信息来源：美战争部网站）
（九）美战争部将试点人工智能定密系统
10月10日消息，美战争部计划未来6个月内试点空军开发的“自动化定密管理环境”人工智能辅助定密系统，推动沿用数十年的人工定密流程向自动化、数字化管理转变，以改进军事敏感信息管理，减少定密错误和过度定密，促进各部门间的信息共享，提高跨部门协同效率。现行人工定密流程依赖数百名具有定密权限的人员，纸质材料积压约1.4亿页，并存在文件更新滞后、定密错误等问题。若试点成功，该系统将逐步成为战争部所有原始定密决定的唯一数字权威参考，并有望改善重要信息难以跨部门共享的状况。（信息来源：国防科技要闻）
（十）美战争部长宣布启动“子午线计划”
9月30日，美战争部长赫格塞思在匡蒂科海军陆战队基地发表演讲，宣布启动“子午线计划”。该计划由战争部首席技术官埃米尔·迈克尔统筹，太空探索技术公司创始人埃隆·马斯克、安杜里尔公司创始人帕尔默·勒基及前众议院议长纽特·金里奇共同领导，需在120天内提交包括公开报告与机密附件的研究成果。该计划围绕人工智能、自主系统、定向能、机器人、生物技术等前沿技术开展研究，旨在研判未来战争形态、识别美军能力缺口，并提出具体的装备研发列装方案，谋求在地下至地月空间全域作战环境中维持美军技术优势。（信息来源：国防科技要闻）
（十一）美政府问责局发布报告《量子计算：联邦机构需采取行动应对新兴网络威胁》
10月6日，美政府问责局（GAO）发布报告《量子计算：联邦机构需采取行动应对新兴网络威胁》公开版本，指出量子计算机虽能更快解决特定问题，但未来可能破解联邦系统当前使用的加密技术，危及敏感数据。专家认为具备破解能力的“密码学相关量子计算机”（CRQC）最快可能在2030年代出现，因此联邦机构须向后量子密码（PQC）迁移。GAO在评估了24个《首席财务官法案》所辖机构后发现，没有任何一个机构完全落实密码资产清单、迁移资金评估和PQC测试三项预备实践，其中仅1个机构完成优先系统完整清单，各机构尚未全面确定向PQC迁移所需的资金，也没有机构在自身环境测试PQC。GAO将差距归因于密码学专业人才短缺、建立密码清单和识别过渡到PQC所需资金的流程，以及缺乏指导PQC测试的计划。GAO已向23个机构提出89项建议，包括建立和实施流程以建立易受攻击的密码清单、确定PQC的资金来源。（信息来源：美GAO网站）
（十二）美能源部发布两项“创世纪计划”关键进展，涉及项目与人才方向
10月8日，美能源部发布两项“创世纪计划”关键进展，涉及项目与人才方向。进展一为公布12项“创世纪计划”第二阶段项目，涉及聚变、量子、地热、材料、生物、加速器等关键领域，总金额达1.59亿美元，同时还发布了6项新的第一阶段项目，首年项目合计297个。进展二为启动首期人才培养计划“创世纪任务研究生奖学金试点项目”，旨在培养约100名下一代兼具超级智能（SI）与核心科学与工程能力的博士研究员，培养模式为四年制加速博士路径，采用“实验室+产业”双实践模式，每位研究员需在国家实验室和产业合作伙伴处各完成一段实践，资助总额最高为1亿美元。此外，能源部同日宣布向67名青年科学家提供9600万美元早期职业研究资助。（信息来源：美能源部网站）
（十三）美参议员联合提出《2026年人工智能风险管理与安全法案》
10月12日消息，美参议员近日联合提出《2026年人工智能风险管理与安全法案》，旨在为人工智能系统建立基本的、可强制执行的安全保障标准和规则，确保人类始终掌控人工智能模型，并通过严格的标准、测试和监管来防止再次发生类似安全漏洞，确保人工智能系统的模型得到测试、安全保障和负责任的部署。该法案的提出源于头部人工智能公司及网络安全研究人员就前沿人工智能系统快速演进所发出的严重警告。该法案将“前沿人工智能模型”界定为表现出或可经修改而表现出高水平性能且对国家安全、国家经济安全或公共健康与安全构成严重风险的人工智能模型，直接回应了近年来大模型在化学、生物、放射性及核武器相关知识、网络攻击能力、自主规避控制等方面的潜在风险；将“关键基础设施”界定为《2001年美国爱国者法》所定义的范围，并要求在管理工业控制系统或其他运营技术背景下使用人工智能模型的关键基础设施运营者承担强制报告义务。这意味着人工智能风险已不再仅是模型开发者与直接用户之间的私人风险，而是具有系统性影响的公共风险。（信息来源：三所数据安全）
（十四）欧盟委员会注册欧洲公民倡议，以保护主权欧洲人工智能域名
10月6日，欧盟委员会注册了一项题为“创建欧洲数字空间（.IA）以实现主权AI治理”的欧洲公民倡议（ECI）。该倡议设定了三个目标：提出促进欧盟合乎伦理AI的“高信任数字空间”及测试环境（沙盒）的欧盟框架；与ISO及ICANN/IANA谈判，将“.IA”命名空间的保留、保护和分配作为欧洲数字主权资产；确保“.IA”域名的注册和解析纳入主权数字身份（eIDAS 2.0）、透明算法审计（AI Act）和个人数据保护（GDPR）。欧盟委员会认为该倡议符合相关立法规定的形式条件，在法律上可予受理，但需满足相关标准（倡议须在注册后6个月内启动、12个月内收集到至少100万有效签名，并在至少7个成员国达到最低要求）后才会回应并决定采取何种行动。欧洲公民倡议是《里斯本条约》引入的公民议程设置工具，2012年4月启动以来，已注册136项倡议。（信息来源：欧盟委员会网站）
（十五）欧盟委员会改革欧洲标准化体系，以进一步提升服务欧盟战略利益的能力
10月6日，欧盟委员会提出改革欧洲标准化体系，以加快标准制定进程，提高中小企业的参与和代表性，并进一步提升标准化体系服务欧盟战略利益的能力。本提案旨在通过应对四项关键挑战，推动欧洲标准化体系现代化：一是协调统一标准制定进程，避免过度延误，阻碍欧盟立法及时实施，并削弱欧盟在人工智能、网络安全和绿色技术等新兴技术领域取得先发优势的能力；二是中小企业、初创企业和成长型企业、民间社会以及科研和创新领域等利益相关方参与不足且代表性不均衡，可能导致标准质量下降，无法充分反映社会和经济需求的多样性；三是欧洲标准化体系的财政可持续性面临不确定性；四是欧盟在全球标准化领域的影响力正在下降，尤其是在人工智能、网络安全和电池等新的战略性技术领域，此次改革将加强欧盟在国际标准化机构中的影响力，以便随着标准制定的地缘政治意义日益上升，更有效地维护和推动欧盟的利益与价值观。（信息来源：欧盟委员会网站）
（十六）英国推出全面人工智能安全新计划，以“前沿AI”对抗AI威胁
10月12日，英国人工智能部长卡尼什卡·纳拉扬在伦敦帝国理工学院发表演讲，宣布英国政府将推出一系列全面的人工智能安全新计划，以“前沿AI”对抗AI威胁，打造“全球最难攻击国家”。新计划包括利用前沿人工智能主动发现并修复政府系统漏洞、恢复并加强英国对前沿人工智能模型的测试能力、通过“主权人工智能计划”和“人工智能硬件计划”推动英国本土技术能力建设等。据悉，后续为应对智能体人工智能事件，英国将考虑修订《网络安全与韧性法案》和发布《国家网络行动计划》。（信息来源：英国政府网站）
（十七）英德启动联合伙伴关系以应对网络攻击与破坏活动
10月8日，英国首相安迪·伯恩汉姆与德国总理弗里德里希·默茨在柏林会晤期间，宣布两国将建立新的联合伙伴关系，应对网络攻击、破坏活动等混合威胁。根据英国政府声明，双方将加强信息共享，并协调开展威胁监测、威慑和阻断行动，重点防范针对关键基础设施的网络攻击和破坏活动。英德领导人近期均警告俄罗斯构成的混合威胁，德国情报部门负责人日前表示，与俄罗斯的对抗正进入更加危险阶段。（信息来源：联合早报）
二、数据前沿快讯
（十八）欧盟委员会宣布投入6500万欧元，保障关键生命科学数据库长期运行
10月6日，欧盟委员会宣布，通过“地平线欧洲”计划投入6500万欧元专项资金，支持关键生命科学数据与知识资源的长期保存和持续运行。此次资金主要面向三个国际重要科研资源：GENCODE获得1900万欧元、UniProt获得3000万欧元、Europe PMC获得800万欧元，另有800万欧元将通过公开竞争方式支持其他关键生命科学数据资源。三个重点资源分别承担基因组注释、蛋白质序列与功能信息管理，以及生命科学文献和数据关联服务等任务。欧盟委员会指出，许多国际科研数据库长期依赖分散、短期的项目经费，持续运行和专业数据整理面临资金不确定性。此次安排旨在降低关键科学数据资源中断风险，保障生物医学研究、药物开发和AI模型训练所依赖的基础数据能够长期使用。相关资助仍需按照“地平线欧洲”计划的程序完成评审和协议签订。（信息来源：欧盟委员会网站）
（十九）泰国发布《人工智能技术开发和使用中的个人数据保护指南》
10月7日，泰国个人数据保护委员会（PDPC）公布《人工智能技术开发和使用中的个人数据保护指南》。指南覆盖分析型、生成式和智能体人工智能的全生命周期，围绕提示词、向量嵌入和模型本身的个人数据属性、价值链各方的法律身份、训练数据的合法性基础以及机器遗忘等问题，阐明了现行个人数据保护规则在人工智能领域的适用方式。指南正文共九章，另附人工智能开发与使用两份合规核查清单、常见问题解答和术语表。主要内容可归纳为个人数据与模型的认定、主体身份与第三方服务、合法性基础与数据来源、风险管理与泄露应对、自动化决策与权利响应五个方面。（信息来源：网络法学）
三、网安事件聚焦
（二十）俄互联网巨头Yandex数据中心遭无人机袭击，引发大规模网络服务中断
10月9日消息，俄罗斯互联网巨头Yandex位于梁赞州和卡卢加州的两处大型数据中心接连遭无人机袭击。其中，10月8日，梁赞州数据中心遭袭后发生火灾，部分基础设施受损，整个数据中心全面停止运营。据Yandex披露，该数据中心于2014年投入运营，是公司最大的数据中心之一，内部部署着三台用于人工智能模型训练的超级计算机中的两台。此次事件引发俄罗斯境内大规模网络服务中断，Yandex网盘、邮箱、文档等服务无法正常访问，波及范围还扩展至Avito分类信息平台、T银行、在线影院Ivi、俄罗斯铁路公司网站及多家电信运营商。10月9日，卡卢加州数据中心也遭无人机袭击，多个模块完全瘫痪。Yandex被称为“俄罗斯版谷歌”，其搜索引擎在俄市场占有率超过60%，旗下YandexGPT是俄罗斯头部生成式AI大模型。乌总统泽连斯基此前表示，俄罗斯持续袭击乌克兰的数据中心，乌方正在采取对等回应。分析指出，这标志着俄乌冲突的打击目标已从能源、交通等传统基础设施扩展至数据存储和云计算节点。（信息来源：综合Yandex、新华社、路透社等）
（二十一）日本软银集团旗下云平台遭勒索攻击致495家企业和市政机构受影响
10月7日，日本软银集团旗下云服务商IDC Frontier披露，其运营的IDCF Cloud遭勒索软件攻击，导致部分云服务器停止运行且无法重启，影响495家企业和市政机构，受影响客户数据已难以提取或恢复。攻击者声称，仅用7分钟便攻入相关云基础设施，加密225个数据库、涉及3.6PB数据，并入侵239台虚拟机管理程序、锁定16000块虚拟机磁盘、删除超过55万个快照。IDC Frontier是日本软银集团旗下的云服务提供商，其IDCF Cloud在日本设有东日本和西日本等云服务区域，为企业提供云服务器及相关基础设施服务。本次攻击影响了东日本部分云服务分区，其他区域暂未发现未经授权访问，平台已采取了相应隔离和安全检查措施。（信息来源：勒索病毒头条）
（二十二）韩国多家金融机构遭黑客利用AI工具入侵，窃取客户及员工数据
10月9日消息，一名疑似单独行动的威胁行为者使用名为ARTEX的AI驱动渗透测试工具，入侵韩国多家金融机构，窃取客户与员工数据。攻击活动发生在2026年9月底至10月初，波及银行、资本公司及网络借贷平台。据报道，此次入侵泄露的敏感信息来自防护水平低于核心银行平台的外围系统。在新韩银行，攻击者访问了金融经纪人使用的贷款进度查询服务；在国民银行，攻击者入侵了供员工使用的内部移动办公支持系统，本次事件还波及韩亚银行、BNK釜山银行、Yegaram Savings Bank、现代资本、Welcome Savings Bank等，目前受影响机构总数尚未最终确认。（信息来源：FreeBuf网）
（二十三）法国超市冷链系统遭网络攻击
10月12日消息，法国发生一起针对超市制冷系统的网络攻击，导致数百家超市的冷藏设备受影响，部分新鲜食品面临变质风险。攻击者远程触发冰箱除霜功能，干扰冷链设备正常运行。据法国媒体BFMTV报道，约300家Intermarché和Netto超市，以及不到100家Coopérative U超市受影响。报道称，受影响设备涉及丹麦企业丹佛斯生产的制冷控制器，攻击目标可能是其旧版本软件，但丹佛斯尚未公开确认遭到攻击，相关漏洞是否被此次事件利用也有待核实。Coopérative U首席执行官表示，企业已联合制冷专家开展应急处置，法国国家网络安全机构ANSSI已介入，为潜在受害者提供支持并协调欧洲相关机构。（信息来源：TheRecord网）
（二十四）丹麦中央人口登记处遭黑客入侵约880万人信息被窃取
10月6日消息，丹麦中央人口登记处（CPR）近日发现约880万名登记人员的个人信息遭窃取，其中包括海外居住人员及已故人士，此次事件被认为是丹麦历史上规模最大的个人数据泄露事件之一。CPR成立于1968年，是丹麦国家民事登记系统，存储约1100万人的相关信息。此次事件中，黑客利用一家丹麦私营公司对CPR系统的合法访问权限实施数据窃取，获取了受影响人员的姓名、地址及CPR号码（社会保障号码）。发现异常后，CPR立即终止涉事公司的系统访问权限，并向丹麦数据保护局报告，同时联合警方及其他相关部门展开调查。目前尚无法确定攻击者身份。CPR表示，已启用姓名和地址保护选项的人员不受此次事件影响，并提醒公众警惕以数据泄露为由实施的钓鱼、诈骗等行为，谨慎应对索取个人信息、密码及其他敏感数据的可疑通信。（信息来源：BleepingComputer网）
（二十五）英国ASOS第三方平台遭黑客攻击致数百万用户手机收到勒索通知
10月9日消息，英国在线零售商ASOS近日证实，其用于客户沟通的第三方通知平台遭黑客攻击，数百万用户在手机应用中收到未经授权的异常弹窗通知。黑客组织“玄叶集团”在新建Telegram频道中声称对此次攻击负责，声称已攻破相关Snowflake实例，窃取部分用户基本信息，包括姓名和联系方式等。ASOS拥有约1650万活跃用户，其随后向伦敦证券交易所提交文件确认该事件，表示已立即限制对相关通知平台的访问，同时联合内部、外部安全专家及有关部门展开调查。ASOS称其官方网站和应用程序本身未遭入侵，正常运营未中断，支付卡信息和账户密码未受影响。ASOS尚未披露遭攻击的具体第三方平台、攻击者身份及入侵方式。（信息来源：SecurityWeek网）
四、网安风险警示
（二十六）GitLab正则表达式编译器未授权远程代码执行漏洞安全风险通告
10月14日消息，奇安信CERT监测到官方修复GitLab正则表达式编译器未授权远程代码执行漏洞CVE-2026-97229（CVSS评分9.9），该漏洞源于GitLab内嵌Ruby在编译CI/CD配置中的正则表达式时存在整数溢出与内存管理缺陷。攻击者可借由CI/CD配置处理链路在无需有效账号凭据的交付阶段触发漏洞，在GitLab服务端进程内以运行账户（通常为git）身份执行任意命令，进而可读取/篡改实例内代码与密钥、横向移动并完全控制实例。配合其他暴露面，可能造成供应链级影响。GitLab是由GitLab Inc.开发的一体化DevOps平台，提供代码托管、CI/CD、包与容器镜像管理等能力，广泛部署于企业内网与公网自托管环境。鉴于该漏洞影响范围较大，建议客户尽快做好自查及防护。（信息来源：奇安信CERT）
（二十七）Handlebars.js validateAstNode原型链绕过远程代码执行漏洞安全风险通告
10月9日消息，奇安信CERT监测到Handlebars.js validateAstNode原型链绕过远程代码执行漏洞CVE-2026-106446（CVSS评分9.8），该漏洞源于4.7.9为修复CVE-2026-33937（AST类型混淆导致JavaScript注入）而引入validateAstNode。攻击者无需认证即可绕过上游安全校验后在渲染进程中执行任意命令，导致服务器失陷；容器场景可导致容器被完全控制。Handlebars是一款广泛使用的开源JavaScript语义模板引擎，支持服务端（Node.js）与浏览器端渲染，被大量Web应用、报表/邮件/通知模板系统所引用。目前该漏洞PoC与技术细节已公开。鉴于该漏洞影响范围较大，建议客户尽快做好自查及防护。（信息来源：奇安信CERT）
（二十八）Citrix发布严重公告称NetScaler SAML漏洞可导致RCE
10月9日消息，Citrix发布针对NetScaler ADC和NetScaler Gateway中内存溢出漏洞CVE-2026-107406（CVSS评分9.5）的严重公告。该漏洞在配置用于SAML的设备上可能导致远程代码执行或拒绝服务。NetScaler设备位于网络边缘，为许多组织机构处理远程访问，在过去的多轮攻击活动中也经常成为目标。Citrix将该漏洞描述为内存溢出。它仅在“特定配置条件”下适用，即当设备充当SAML服务提供者或SAML身份提供者时。根据Citrix的客户指南，Citrix目前“不清楚该漏洞存在任何未被缓解的利用”。Citrix敦促客户尽快升级。（信息来源：代码卫士）
（二十九）Atlassian多款产品任意文件读取漏洞安全风险通告
10月8日消息，启明星辰监测到Atlassian多款产品任意文件读取漏洞CVE-2026-21589（CVSS评分9.3）。由于应用对特定文件访问路径的限制存在缺陷，未经身份认证的远程攻击者可通过构造包含特殊路径序列的请求，访问Web应用根目录内的指定文件。漏洞利用需要提前获知目标文件的准确名称及路径，无法直接枚举目录内容。在特定部署环境下，攻击者可能读取包含敏感信息的文件，造成信息泄露，并对业务系统安全构成严重威胁。Atlassian是一家企业协作与软件开发工具提供商，旗下产品涵盖Jira、Confluence、Bitbucket、Bamboo、Crowd等。建议用户及时升级。（信息来源：启明星辰）
