网络空间安全动态（202640期）
编者按：网安动向热讯，本期有十点值得关注：一是李强出席2026年世界互联网大会乌镇峰会开幕式并发表主旨演讲；二是2026年世界互联网大会乌镇峰会主论坛举行；三是国家发展改革委举行奋进“十五五”系列新闻发布会；四是美总统特朗普签署公告，以国家安全为由拟限制机器人及工业机械进口；五是美国与芬兰签署《科技繁荣协议》谅解备忘录，深化战略性科技领域合作；六是美日印澳发表联合声明，排查半导体与AI硬件供应链风险并出资推进印太地区AI部署；七是美FCC将禁止中国运营商直接获取美国电话号码、中国实验室测试美电子产品，中方回应；八是美能源部发布国家电池战略并成立制造加速联盟，推动电池产业链本土化与技术商业化；九是北约启动“十字剑2026”网络演习；十是加拿大发布首份国家安全战略。
数据前沿快讯，本期有三点建议关注：一是2026全球数商大会开幕，以“数智共生 链接世界”打造国际数据要素交流平台；二是国家数据局与阿曼有关部门签署《关于加强数据与数字经济领域合作的谅解备忘录》；三是英伟达要求海外数据中心降低中国客户业务占比，中方回应。
网安事件聚焦，本期有三方面内容建议关注：一是地缘政治驱动的网络攻击与间谍活动持续存在，目标覆盖金融平台、政府系统和关键基础设施相关终端。本期介绍：全球最大加密货币交易平台币安疑遭大规模黑客攻击，FBI指朝鲜所为；疑似南亚网络间谍组织BITTER以Windows原生功能隐蔽推进南亚间谍活动；卡巴斯基披露亚洲政府Windows 10专版遭.NET注入攻击。二是大规模信息泄露事件集中爆发，政府、大型企业和公共服务数据成为主要受害对象。本期介绍：美国土安全部超4万员工信息或遭泄露；黑客窃取菲律宾政府约68GB海外劳工数据；索尼网络通信公司泄露258万条客户记录。三是AI代理和云模型访问权限正成为新的关键攻击面，安全边界扩展。本期介绍：美国防承包商员工将个人Claude AI代理接入五角大楼敏感网络；LLMJacking将云模型访问权限转化为可直接变现资源。
网安风险警示，本期有四点建议关注：一是美CISA警告Linux内核漏洞Fragnesia被用于PHP2Shell攻击链；二是Linux Kernel IPv4 TCP释放后重用漏洞安全风险通告；三是UEFI严重漏洞潜伏16年，可绕过Secure Boot在网络启动服务器上执行代码；四是CNCERT发布新型僵尸网络VeilDHT大范围传播的风险提示。
一、网安动向热讯
（一）李强出席2026年世界互联网大会乌镇峰会开幕式并发表主旨演讲
11月3日，国务院总理李强在浙江乌镇出席2026年世界互联网大会乌镇峰会开幕式并发表主旨演讲。李强表示，世界互联网大会已连续举办13年。尽管技术发展日新月异，人们普遍关心的一个重大命题却始终没有变，那就是如何让互联网更好造福人类。习近平主席在2015年世界互联网大会上提出构建网络空间命运共同体理念，为解决互联网发展和治理问题提供了中国方案。借此机会，我同大家分享三点思考。第一，互联网发展正在经历智能化变革和系统性跃迁。当前，互联网与人工智能等技术加速融合，已不仅是一种基础设施，更是全新生活方式，不仅是一种技术手段，更是产业变革动能，不仅是一种信息载体，更是智能生成力量，对经济社会发展产生更为广泛而深刻的影响。第二，当今时代互联网发展需要更加突出以人为本的价值取向。互联网发展的最终目的，必须是促进人的全面发展。我们倡议构建网络空间命运共同体，就是希望互联网相关技术能够增强人的能力、拓展人的选择、彰显人的价值、增进人的福祉，而不能让人成为技术的附庸，更不能让技术加剧人类发展的分化。从这一考量出发，有几个问题尤其值得关注。一是“人与机器”的关系之辨。必须坚持人的主导性，让机器成为人类的可信工具。二是“算法模型”的伦理之思。要坚持向上向善，用全人类共同价值筑牢新技术发展底座。三是“数实融合”的安全之虞。需要更加可控的技术创新、更加严密的安全防范、更加充分的协同合作，更好统筹发展和安全。四是“数智鸿沟”的公平之治。要让技术进步的成果真正为全社会成员共享。第三，携手构建网络空间命运共同体。要坚持科技赋能，开拓新的发展空间。中国将坚持开门搞创新，促进技术转移和知识共享，与各国一道打造开放包容、充满活力的数字创新生态。要坚持可信可控，筑牢数字安全屏障。中国将始终尊重各国网络安全合理关切，同舟共济应对安全挑战，反对构筑“数字铁幕”。要坚持普惠均衡，推动数字红利共享。中国将积极落实全球发展倡议，支持全球南方国家建设数字基础设施、提升数字技术能力。要坚持开放对话，完善多边治理体系。中国将坚持共商共建共享，推动全球互联网治理朝着更加公正合理的方向前进。西班牙副首相迪亚斯等出席开幕式并致辞。多国政府官员、联合国等国际组织负责人、全球互联网企业代表以及专家学者约1800人参加开幕式。（信息来源：新华社）
（二）2026年世界互联网大会乌镇峰会主论坛举行
11月3日，2026年世界互联网大会乌镇峰会举行主论坛。世界互联网大会理事长、中国国家互联网信息办公室主任庄荣文出席并作主题发言。浙江省委副书记、省长刘捷出席并发言。中国国家互联网信息办公室副主任王京涛、杨建文、张拥军出席主论坛。世界互联网大会秘书长任贤良主持主论坛。庄荣文指出，今年7月，习近平主席系统阐述关于全球人工智能发展治理的主张，进一步丰富发展了构建网络空间命运共同体理念的时代内涵。李强总理在本届乌镇峰会开幕式上发表主旨演讲，对携手构建网络空间命运共同体提出倡议。当今时代，信息革命潮流奔涌向前，迫切需要推动网络空间命运共同体建设迈向更高水平。面对空前活跃的科技创新，应当鼓励开源开放、合作共享，促进数智领域科技创新、产业发展、场景应用，推动创新成果惠及全世界；面对复杂多样的风险挑战，应当统筹发展和安全，坚持以人为本、向上向善，确保数智技术可靠可控、网络空间安全稳定；面对激荡交融的多元文明，应当搭建不同文明展示传播、交流对话平台，以数智手段赋能文明传承创新；面对日趋复杂的治理课题，应当坚持共商共建共享，充分尊重各国网络主权，携手构建更加公正合理的全球互联网治理体系。刘捷指出，当前，以人工智能为引领的新一轮科技革命和产业变革加速演进，正加快重塑互联网发展的模式形态。近年来，浙江举全省之力加快打造人工智能创新发展高地，一体推进人工智能科技创新、应用赋能、产业发展，推动浙产大模型性能走在前列，场景应用广泛深入，开源生态百花齐放，产业发展蓬勃兴起。我们愿与各方一道，深刻把握人工智能开源开放的发展路径，驰而不息迭代推进科技创新，系统建设开源体系，加快推动人工智能赋能千行百业，全力营造一流创新创业生态，为推动网络空间高质量发展注入强劲动能。尼加拉瓜国家电信邮政局局长纳希玛·迪亚兹，世界知识产权组织总干事邓鸿森，中国移动通信集团有限公司董事长陈忠岳，中兴通讯股份有限公司董事长方榕，强脑科技创始人兼首席执行官韩璧丞，2019年乔纳森·波斯塔尔奖获得者、2026年世界互联网大会杰出贡献奖获奖个人阿兰·艾纳在主论坛发言。（信息来源：中国网信网）
（三）国家发展改革委举行奋进“十五五”系列新闻发布会
11月3日，国家发展改革委举行奋进“十五五”系列新闻发布会，介绍培育壮大新动能有关情况。国家发展改革委政策研究室副主任、委新闻发言人李超主持发布会，区域协调发展司副司长马维晨、创新和高技术发展司副司长任中保、创新和高技术发展司副司长王若蒙以及国家数据局政策和规划司司长栾婕出席发布会，就发展海洋经济、支持海洋产业发展、打造新兴支柱产业、培育未来产业、“人工智能+”行动、人工智能有序发展、人工智能国际合作、激发数据要素潜力、建设数字中国等方面问题，回应媒体关切。（信息来源：国家发展改革委）
（四）美总统特朗普签署公告，以国家安全为由拟限制机器人及工业机械进口
10月28日，美总统特朗普签署公告，依据《1962年贸易扩展法》第232条，以国家安全为由要求美商务部和美贸易代表办公室就机器人、工业机械及其零部件进口问题与贸易伙伴开展谈判，并保留未来加征关税、实施进口配额等限制措施的权力。白宫同日发布配套事实清单，介绍相关政策背景及主要内容。根据公告，美商务部长和贸易代表将共同推进与有关贸易伙伴的谈判，并须在公告发布后180天内，即2027年4月26日前，向总统提交谈判进展报告。该公告明确，如果谈判未能达成协议、相关协议未得到执行，或者协议无法有效消除所谓国家安全威胁，总统可以采取进一步措施，包括加征或调整关税、实施进口配额、征收其他费用等。此外，美国政府还可能推出激励措施，鼓励企业投资美国本土机器人、工业机械及零部件生产。（信息来源：美白宫网站）
（五）美国与芬兰签署《科技繁荣协议》谅解备忘录，深化战略性科技领域合作
10月29日，美国与芬兰签署《科技繁荣协议》谅解备忘录，明确围绕人工智能与下一代通信、量子技术、能源与先进制造、太空技术、国防创新、生物医药与先进材料、极地技术、科研与产业安全八个重点领域深化合作。双方计划推动5G/6G技术研发和可信通信设备出口，协调国际电信标准；加强量子计算、量子传感及后量子密码技术合作；扩大核能、小型模块化反应堆、地热、聚变及关键矿产合作；依托芬兰破冰船设计制造优势，推进美国新一代北极安全巡逻舰设计建造、船厂和人才建设，以及北极卫星通信和海底电缆布局；建立双边科研安全对话机制，加强知识产权保护、投资审查及科研人员和机构审查等。（信息来源：美白宫网站）
（六）美日印澳发表联合声明，排查半导体与AI硬件供应链风险并出资推进印太地区AI部署
10月31日，美、日、印、澳四国外长在美国亚特兰大举行四方安全对话会议，发表《关于经济繁荣与安全的联合声明》。会议重申致力于建设可靠且开放的全球供应链以及值得信赖且有韧性的基础设施，强调超级智能（SI）及诸如“硅和平”等倡议对未来经济增长的重要性。四国宣布联合开展半导体与算力硬件供应链风险排查，防范先进芯片及AI硬件断供风险，构建排他性供应链体系，拟提供超过8500万美元技术和财政援助，推动印太地区可信AI应用，并启动半导体与AI硬件供应链瓶颈识别工作。此外，美国承诺提供1000万美元支持印度及东盟国家建设关键矿产回收设施。（信息来源：印外交部网站）
（七）美军印太作战网络扩大协作，日本首次使用美军Maven智能作战系统参与联合打击
11月1日，美军太平洋司令部官员披露，日本今年首次通过“太平洋司令部任务网络”使用美军Maven智能作战系统，参与联合打击并协助缩短杀伤链。该系统具备AI功能，可用于作战规划与目标定位，使多国部队能在共享共同作战图景的环境中协同执行任务。美军印太司令部C4网络部门主任史密斯准将表示，2026年是地区伙伴首次在多边环境中与美军共用作战应用工具及共享共同作战图景，多国部队已能通过共同任务环境执行作战功能。太平洋司令部副司令罗威尔中将补充，该任务网络过去一年已在17场演习中投入使用，涉及9个主办国、35个国家，重点验证了主要指挥系统遭干扰时各国部队维持协同作战的指挥管制韧性。（信息来源：外军防务研究前沿）
（八）美FCC将禁止中国运营商直接获取美国电话号码、中国实验室测试美电子产品，中方回应
10月29日，美国联邦通信委员会（FCC）以国家安全和防范自动拨号诈骗为由，宣布将于11月19日表决一项提案，拟禁止中国移动、中国电信、中国联通及其他IP服务提供商直接获取美国电话号码，并计划将限制范围扩展至使用华为、中兴等被列入FCC“国家安全风险清单”企业设备的IP服务提供商。FCC主席布伦丹·卡尔称此举旨在强化防范非法自动拨号与电信诈骗的“第一道防线”，FCC还可能撤销已被认定构成国家安全风险的中国企业此前获得的直接号码授权。同日，FCC投票通过另一项新规，决定自2028年12月起禁止所有中国实验室及认证机构为销往美国市场的智能手机、电脑、相机等电子设备提供检测认证服务，卡尔引述数据称2025年高达82%在美国使用的电子产品在中国实验室测试，而美国境内实验室仅占约4%，并称这些实验室是进入美国通信基础设施的“关键入口”，可能在产品上市前接触敏感机密信息。针对上述两项措施，中国外交部发言人郭嘉昆于10月30日在例行记者会上回应称，美方泛化国家安全概念、滥用国家力量，无理打压中国企业，中方对此表示坚决反对、强烈不满，指出美方做法严重阻碍中美企业正常经贸往来，不符合包括美国企业及消费者在内的各方利益，中方将采取必要措施，坚定维护自身正当合法权益。（信息来源：综合美FCC网站、联合早报、北京青年报）
（九）美能源部发布国家电池战略并成立制造加速联盟，推动电池产业链本土化与技术商业化
10月28日，美能源部关键矿产与能源创新办公室发布《美国电池领导地位国家战略》，提出到2030年建立完整、贯通的美国国内电池产业链，到2035年实现电池技术与制造领域的领先地位。同日，美国能源部宣布成立电池制造加速器联盟，推动先进电池技术商业化和制造工艺创新。美能源部特别强调了中国在全球电池产业链中的优势地位。按照美方引用数据，中国在部分电池中游材料及电芯零部件环节占据全球60%至100%的产能。美能源部就此在战略中确定了三项目标：一是到2030年建立从矿产开采到终端产品制造的完整国内产业链；二是到2035年实现电池技术和制造领域的领先地位；三是推动价格合理、安全可靠的储能系统应用，以满足电网、交通运输、数据中心和国防等领域不断增长的需求。具体实施方面，美能源部确定了六项战略重点，包括增加上游和中游产业链投资、加快实验室成果商业化、推动制造工艺创新、促进电网储能技术应用、加强与国际合作伙伴的协调，以及培养美国本土技术人才。（信息来源：美能源部网站）
（十）美CISA启动“关键基础设施安全与韧性月”
11月2日，美国网络安全和基础设施安全局（CISA）正式启动2026年“关键基础设施安全与韧性月”，旨在推动基础设施所有者和运营者加强规划、测试与恢复能力，以应对日益复杂的安全威胁。CISA今年重点强调四项核心实践：明确最重要的系统及其外部依赖、识别对组织影响最大的风险、制定清晰可操作的响应与恢复计划，以及跟踪进展并根据实际教训更新计划。为支持上述实践，CISA发布了专项工具包，内含可直接使用的图表和通俗文本，方便组织在11月对外展示自身采取的韧性建设步骤，具体资源包括：基础设施韧性规划框架，帮助组织识别关键基础设施、评估风险并制定韧性措施；可定制的演练材料覆盖物理威胁、勒索软件和工业控制系统事件，供组织检验自身计划与响应程序；跨部门网络安全绩效目标，为网络安全投资优先级提供自愿性指引。CISA还建议组织明确客户对服务中断的可容忍时限，围绕该时限制定恢复计划并测试恢复运营的能力，同时将网络安全纳入设施保护和运营规划，利用演练和实际事件的经验修订准备工作。（信息来源：美CISA网站）
（十一）谷歌公司发布新一代大模型Gemini 4 Carbon，优先向网络防御人员开放漏洞挖掘功能
10月28日消息，谷歌公司发布新一代旗舰大模型Gemini 4 Carbon，于本周通过“顺风计划”优先向特定网络防御人员及合作机构开放，暂未公布向公众开放时间。该模型主要用于执行复杂软件工程与网络攻防任务。谷歌公司公布的测试数据显示，在解除安全限制条件下，该模型在软件漏洞挖掘、攻击验证及漏洞修复测试中的准确率分别达88.2%、54.8%和71.0%，高危异常警报率较前代模型下降近八成。（信息来源：谷歌网站）
（十二）北约启动“十字剑2026”网络演习
11月2日，北约合作网络防御卓越中心（CCDCOE）在塔林启动“十字剑2026”网络演习，演习将持续到6日，汇集来自40多个北约和非北约成员国的250余名参与者，包括军事网络作战人员、数字取证分析人员、威胁狩猎人员以及来自各国网络部队及合作单位的专家。演习重点检验网络作战与多域协调，并与一场特种作战部队演习整合，训练战役级军事指挥机构管理网络空间攻防能力，以及战术级网络专家的技能。2026年演习将人工智能代理引入作战流程，参演者设计、开发、部署和评估人工智能代理，并作为操作员与其协同工作。技术环境使用本地部署的人工智能，并首次引入OpenAI公司的“破晓”产品。演习指挥官科斯特兰斯基表示，将人工智能代理引入作战流程，直接回应了现代网络威胁格局中最重大的转变之一，训练参演者利用人工智能能力的同时，保持复杂多域任务所需的关键人工监督。（信息来源：CCDCOE网站）
（十三）加拿大发布首份国家安全战略
10月29日，加拿大政府发布2004年以来的首份国家安全战略——《更强的加拿大计划》。该战略提出，国际环境已发生天翻地覆的变化，基于规则的国际秩序濒于瓦解，战略自主与韧性的重要性更加突出。该战略提出五大优先事项：一是加强经济安全、提升其抵御风险的能力；二是实施稳健的外交政策，推进多元化伙伴关系并提升战略能力；三是重建并加强加拿大武装力量，保卫加拿大及其利益；四是强化公共安全，抵御犯罪与国家安全威胁；五是提升情报能力，以预测和应对新兴威胁。加拿大总理府表示，加拿大政府将至少每四年更新一次该战略。（信息来源：新华社）
（十四）德国联邦信息安全局发布抗量子加密升级指南，要求核心系统限期完成改造
10月29日消息，德国联邦信息安全局依据欧盟统一部署发布国家级抗量子加密升级指南，要求德国各级政府机关、关键基础设施运营机构及大型企业立即开展加密系统清查与风险评估。该指南设定两阶段强制升级时限，要求相关单位于2030年底前对涉密及处理敏感数据的核心系统完成抗量子加密或双重混合加密改造，并于2035年底前完成其余中低风险系统升级，以防范量子计算机破译威胁。（信息来源：全球技术地图）
（十五）韩国防无人机本部成立，主管作战能力建设
11月2日，韩国防部直属专门负责无人机军事应用与技术创新的部队“国防无人机本部”1日正式成立。国防部2日在位于京畿道抱川市的国防无人机本部举行成立仪式，国防部次官（副部长）李斗熙等官员、军方主要人士、本部成员等出席。国防无人机本部主要负责推动无人机、反无人机领域作战能力建设、战斗力发展与技术创新，并为全军提出相关领域的发展方向。国防无人机本部成立，是落实今年6月公布的“国防无人机与反无人机发展政策”的后续举措。根据该政策，《国防无人机本部令》于10月20日颁布，国防无人机本部的前身“无人机作战司令部”已被撤销，其执行的打击作战职能被移交至多个作战部队，相关作战力量将由联合参谋本部统一指挥与管理。由于作战、后勤等职能被多个部队吸收，国防无人机本部的名额由之前司令部的约280人减少至约100人。（信息来源：韩联社）
二、数据前沿快讯
（十六）2026全球数商大会开幕，以“数智共生 链接世界”打造国际数据要素交流平台
10月30日至31日，2026全球数商大会在上海徐汇西岸国际会展中心举行，主题为“数智共生 链接世界”，突出国际化、数智化两大特色，通过“会、商、展、用”四大板块，搭建全球数据要素领域高端对话、产业对接、成果展示与大众体验一体化平台，助力数据要素流动、数字国际合作与数智技术创新落地。本届大会首次由世界数据组织WDO作为指导单位，WDO航运贸易数字化专业委员会同期成立，区块链、航运服务、物流与跨境电商、金融科技、大宗商品贸易、数字双碳、人工智能七个业务方向工作组同步启动。大会发布地球系统数据国际交换上海节点和气象行业可信数据空间，气象部门将加快“妈祖”区域支撑平台部署，面向亚洲、非洲共建“一带一路”国家开展定制化预警产品试运行。大会还邀请哈萨克斯坦作为特邀国际伙伴，启动中哈数字经济产业机构合作，邀请联合国有关机构代表参会，共同探讨AI赋能数字政府相关议题。（信息来源：综合新华社、上海市人民政府网）
（十七）国家数据局与阿曼有关部门签署《关于加强数据与数字经济领域合作的谅解备忘录》
11月2日，在中阿两国元首共同见证下，国家数据局刘烈宏局长与阿曼交通、通信和信息技术部负责人签署《关于加强数据与数字经济领域合作的谅解备忘录》，双方将围绕数字经济、数字化转型、信息技术产业发展、人才培训与能力建设、科技初创企业及中小企业培育，以及数据与数字经济领域立法、战略和政策等方面开展经验交流与合作。（信息来源：国家数据局）
（十八）英伟达要求海外数据中心降低中国客户业务占比，中方回应
11月3日，《金融时报》援引知情人士消息报道，英伟达近期要求全球数据中心及云计算合作伙伴降低对中国客户的业务依赖，确保至少51%的服务面向非中国企业。有关要求已在过去几个月通过英伟达销售人员及区域业务团队口头传达，适用于全球范围内的合作伙伴，而非仅针对亚洲数据中心。该要求主要针对未来合同，现有租赁协议不受影响。目前报道中的比例口径尚未明确，英伟达也未直接确认这一要求。同日，中国外交部发言人毛宁应询表示，不了解具体情况，各方应按公平、透明、非歧视原则开展合作。（信息来源：综合金融时报、中国外交部网站）
三、网安事件聚焦
（十九）全球最大加密货币交易平台币安疑遭大规模黑客攻击，FBI指朝鲜所为
10月29日，全球最大加密货币交易所币安疑遭大规模黑客攻击，约63亿美元加密资产被异常转出，成为迄今规模最大的加密货币盗窃案。美国联邦调查局（FBI）31日发表声明称，朝鲜黑客组织Trader Traitor发动了此次攻击，并正将盗取资产主要转换为以太币，后续可能通过去中心化金融平台和即时兑换服务转移和洗钱。美国特勤局及国税局刑事调查部门参与追查。链上数据显示，币安多个热钱包短时间内向新创建以太坊地址转移大量资产，其中“Binance 14”热钱包转出约25.3亿美元、涉及64种加密货币。初步调查认为，事件可能与一名DevOps运维工程师笔记本电脑遭入侵有关，攻击者借此进入服务容器并提交未经授权提现交易，但目前未发现钱包私钥泄露证据。（信息来源：综合Bleeping Computer网、联合早报）
（二十）美国土安全部超4万员工信息或遭泄露
10月28日，据路透社报道，泄密网站“分布式泄密秘闻”（Distributed Denial of Secrets）称，已经对外公布了超过4万名美国国土安全部（DHS）雇员的数据，包含从事监控、人力情报这类敏感岗位官员的详细资料。本次外泄资料源自一个自称为“和平部”的组织所获取的信息，包含移民与海关执法局、海关和边境保护局、国土安全调查局、网络安全与基础设施安全局以及国土安全部其他下属机构员工的姓名、手机号、电子邮箱。泄露资料中还附有岗位名称、邮件群组信息。除此之外，这批数据还标明了特工的岗位归属，包含特种行动、监控、计算机取证以及卧底工作人员的清单。DHS回应称已知晓事件，“正在积极行动，迅速、有效地处置”，并表示将在获得更多信息后向公众通报。（信息来源：环球时报）
（二十一）美国防承包商员工将个人Claude AI代理接入五角大楼敏感网络
10月29日，美国防承包商埃森哲一名员工被指将个人Claude Code账号接入美国国防部安全系统，由AI智能体代为编写和部署代码，使AI代理获得管理员权限并绕过正常安全控制，在五角大楼非密网络NIPRNet上运行约两个月后才被识别并修补漏洞。消息人士称，该代理疑将登录凭证、口令及NIPRNet网络地图发送至一个被美国国家标准与技术研究院（NIST）列为高风险的第三方网站，该网站存在可让黑客向AI编码代理注入指令、窃取凭证的漏洞。涉事系统承载“受控非密信息”（CUI），虽属非密但未经审查不得公开，可能涉及关键基础设施、军事设备技术设计等内容，NIPRNet常被用于在部署至SIPRNet、JWICS等涉密网络前测试工具和代码。（信息来源：WIRED网）
（二十二）疑似南亚网络间谍组织BITTER以Windows原生功能隐蔽推进南亚间谍活动
11月2日，FortiGuard Labs披露，疑似南亚网络间谍组织BITTER（又称TA397）针对南亚政府、能源和工程领域使用定制远程访问木马PapRAT。三条感染链分别滥用ftp.exe和计划任务、VHDX磁盘映像中的LNK文件，以及URL快捷方式结合WebDAV；诱饵采用外交和军事主题，其中一份VHDX文件以“一带一路峰会”相关标题命名。部分链条还部署次级木马WmRAT。PapRAT具备命令执行、文件操作和屏幕截图等功能，存在C++与Rust两种版本。DarkReading称，Rust版本将功能命令由8个扩展至11个并新增PowerShell执行能力。该活动未依赖新漏洞，而是将欺骗载体、合法系统工具和定制木马组合起来，降低传统端点检测的可见度。（信息来源：Dark Reading网）
（二十三）卡巴斯基披露亚洲政府Windows 10专版遭.NET注入攻击
11月1日，卡巴斯基披露了一起针对亚洲政府机构的攻击活动，攻击者利用一个此前未被记录的.NET程序集加载框架，代号NetamLoader，通过.NET注入方式投递恶意软件。报道强调，攻击目标是一套仅供亚洲政府实体使用的定制Windows 10 版本。攻击者通过篡改PatchMyPC-ScriptRunner.exe.config滥用AppDomainManager注入，使合法程序加载签名DLL并解析Resources.resx中的多层加密载荷，随后绕过AMSI、滥用dllhost.exe执行.NET插件，并以AES-128-CBC加密流量连接C2域名openaigpt4v[.]com，设置20至40分钟初始延迟和22至28小时重试以规避沙箱。该活动疑似供应链攻击，但卡巴斯基仅识别到一个受害者，尚未归因于任何已知APT组织，数据泄露范围也未确认。（信息来源：The Hacker News网）
（二十四）黑客窃取菲律宾政府约68GB海外劳工数据
10月28日，威胁情报平台Hunt.io披露，一名攻击者从菲律宾海外就业署（POEA）相关系统复制了68.837 GiB数据库备份，并将传输日志、攻击工具包和载荷构建目录留在一个未设认证的公开HTTP目录中，Hunt.io在目录仍在线时完成捕获。访问日志显示，攻击者在2026年9月6日仅用23分46秒，就复制了27份微软SQL Server数据库备份，被盗备份对应POEA案件管理系统，覆盖海外菲劳招募、福利监测、遣返和合同管理等环节。攻击工具为公开可用的.NET提权工具GodPotato，被重命名并混淆后使用。目前，菲律宾国家隐私委员会（NPC）已介入调查。（信息来源：综合Hunt.io、Gulf News网站）
（二十五）索尼网络通信公司泄露258万条客户记录
10月28日消息，索尼集团旗下索尼网络通信公司近日证实发生数据泄露事件，约258.5万条客户记录遭未经授权访问。调查显示，泄露数据涉及So-net及plala（S Course）两项服务，其中So-net记录约214.2万条，plala记录约44.3万条，信息包括客户姓名、电话号码、电子邮箱、用户ID、出生日期、性别及互联网连接ID等。此外，另有54,401个电子邮箱地址及其账户密码遭泄露，公司已建议相关用户修改密码。索尼表示，银行账户、支付卡及其他账户信息未受影响，并已向日本个人信息保护委员会报告事件，目前正调查具体原因和影响范围。截至10月27日，尚无证据证实泄露数据已遭滥用。此次事件还波及NTT Docomo提供的Docomo Hikari服务客户，该公司已通知相关用户，并警告存在冒充其品牌及合作活动的钓鱼邮件和虚假网站，可能诱骗用户提交个人信息。（信息来源：Bleeping Computer网）
（二十六）LLMJacking将云模型访问权限转化为可直接变现资源
11月2日，谷歌威胁情报小组（GTIG）与Mandiant披露，攻击者通过暴露的LLM端点、被盗IAM凭证、服务账户密钥及GitHub个人访问令牌劫持云模型资源，部分事件单日欺诈费用超过10万美元，部分组织累计损失达100万美元。受影响行业包括北美、南美和亚太地区的金融、零售、技术与交通企业。攻击者还可能创建后门服务账户、注入SSH密钥以维持访问。GTIG同时识别出代理、聚合并转售未经授权模型访问权限的“LLM混合器”生态，说明AI服务已成为类似计算资源和支付凭据的地下交易对象。防守重点应从单纯内容安全扩展至云身份、最小权限、异常API调用和费用突增监测，并及时修复模型路由网关漏洞。（信息来源：综合Google Threat Intelligence、Mandiant网站）
四、网安风险警示
（二十七）美CISA警告Linux内核漏洞Fragnesia被用于PHP2Shell攻击链
10月28日，美国网络安全和基础设施安全局（CISA）将Linux内核权限提升漏洞CVE-2026-46300（代号Fragnesia）纳入“已知被利用漏洞”（KEV）目录，确认该漏洞正被与两个PHP远程代码执行漏洞CVE-2026-109618和CVE-2026-109619（合称PHP2Shell）链式利用，以在未修复系统上植入PHP webshell并以root权限运行命令。Fragnesia源于Linux XFRM ESP-in-TCP子系统中的一个逻辑缺陷，可导致攻击者以root权限运行恶意代码。Fragnesia属于Dirty Frag漏洞类型，已有PoC，可被本地攻击者用于在2026年5月13日之前发布内核的主要Linux发行版上获取root权限。CISA要求联邦民事行政部门机构在11月10日前完成修复。（信息来源：代码卫士）
（二十八）Linux Kernel IPv4 TCP释放后重用漏洞安全风险通告
10月30日消息，奇安信CERT监测到官方修复Linux Kernel IPv4 TCP释放后重用漏洞CVE-2026-98432（CVSS评分9.8），该漏洞源于IPv4 TCP握手处理中的竞态条件：tcp_v4_syn_recv_sock()将请求套接字的ireq->ireq_opt（IP选项结构）所有权直接转移给子套接字的inet_opt而未复制，且未清除原指针。攻击者可利用该漏洞通过网络触发内核内存损坏、信息泄露（绕过KASLR）、拒绝服务，或在特定条件下（如MPTCP监听器）实现远程任意代码执行并获取root权限。鉴于该漏洞可被未认证攻击者远程利用并取得内核最高权限，且利用链、复现数据与生态影响面均已公开，建议客户立即开展资产排查，尽快完成内核升级与暴露面收敛。（信息来源：奇安信CERT）
（二十九）UEFI严重漏洞潜伏16年，可绕过Secure Boot在网络启动服务器上执行代码
10月30日消息，多数硬件厂商用来构建UEFI固件的开源代码EDK II中存在一个潜伏16年的漏洞CVE-2026-97631（CVSS评分9.5）。无需密码或已有机器的访问权限，攻击者就能在操作系统加载前在机器上运行代码，不过仅限于机器进行网络启动的短暂窗口内。该漏洞存在于EDK II至edk2-stable202608及包括该版本在内的版本中。EDK II是几乎所有UEFI固件厂商都基于其构建的参考代码，包括独立BIOS厂商AMI、Insyde和Phoenix，以及微软的加固分支Project Mu。目前尚不清楚有多少已出货产品带有易受攻击代码，尚无迹象表明该漏洞已被用于攻击。（信息来源：代码卫士）
（三十）CNCERT发布新型僵尸网络VeilDHT大范围传播的风险提示
10月30日消息，国家互联网应急中心（CNCERT）近日监测发现一种隐蔽性极强的全新僵尸网络正在大范围传播，主要感染Linux服务器与IoT设备。其传播以漏洞利用为主，CNCERT将其命名为VeilDHT，其中，DHT取自其藏身公共分布式网络的备用控制信道，其实际控制地址经DNS假IP应答与DHT混流双通道获取。VeilDHT是一个功能体系完备、以隐蔽性为核心设计理念的全新僵尸网络家族，其开发者具备专业的密码工程素养，已对Linux服务器与IoT设备生态构成现实威胁。与多数将工程投入集中于攻击能力的僵尸网络不同，VeilDHT把主要精力放在隐蔽性上，功能也更为全面：配置以乱序密文存放，通信采用认证加密，心跳完全随机化，发现、阻断、解密和清理的难度都明显提升；功能上具备DDoS攻击、任意命令执行、交互式反向Shell及反向代理能力，一旦感染，受害主机便同时成为攻击源、隐蔽跳板和长期可控的资源。2026年10月16日至10月26日期间，CNCERT监测发现该僵尸网络感染的日上线肉鸡数最高达到15805台，累计已有40467台设备受其感染。（信息来源：CNCERT）
（三十一）Linksys E8450路由器曝满分栈溢出漏洞
11月1日，VulDB发布Linksys E8450（固件≤1.2.00.360516）的CVE-2026-120283：/www/cgi-bin/portal.cgi中strcpy处理hidden_timezone参数存在栈溢出，CVSS 3.1与4.0双评10.0，可远程无需认证利用，利用难度评级为“容易”。这是同一个portal.cgi文件16个月内的第二个满分漏洞——2025年6月的CVE-2025-6751（set_device_language参数溢出、PoC已公开）影响完全相同的固件版本，且两次厂商均“提前告知、未作任何回应”，无修复固件、无缓解措施，VulDB建议直接更换产品。（信息来源：VulDB网站）
