网络空间安全动态（202641期）
编者按：网安动向热讯，本期有九点值得关注：一是工信部印发《关于加强智能体终端设备进网管理的通知》；二是中国率先批准《关于成立世界人工智能合作组织的协定》；三是世界互联网大会乌镇峰会发布《前沿人工智能安全与治理2026：风险认知与协同治理》；四是美CISA公布改进版网络事件报告表；五是美CISA任命布莱恩・马扎内克担任基础设施安全处代理负责人；六是美NIST发布《NIST超级智能安全事件管理研讨会报告》；七是欧盟网络安全局发布《2026年欧盟网络安全情况报告》；八是德国拟扩大5G网络设备禁令；九是Anthropic继续收紧禁止中国使用的政策。
数据前沿快讯，本期有两点建议关注：一是市场监管总局批准发布强制性国家标准《卫星导航定位基准站网安全要求》；二是欧盟委员会发布4套数据访问和使用示范合同条款和6组云计算标准合同条款和共用定义。
网安事件聚焦，本期有两方面内容建议关注：一是多行业数据泄露事件集中爆发，区块链、云托管、航空企业等成为主要受害对象。本期介绍：区块链分析公司Chainalysis遭到AI驱动的网络攻击致数据泄露；企业级身份认证API服务商WorkOS遭AI自动化攻击致企业客户信息泄露；美网络托管服务商DreamHost披露数据泄露事件；亚洲六家航空公司披露由于IT服务商遭到网络攻击，客户数据发生泄露。二是破坏性网络攻击活动接连发生，目标覆盖云主机服务商以及工业制冷与冷链监测系统等。本期介绍：俄罗斯主机服务商Beget遭攻击，云基础设施大量数据被清除；法国血液机构冷库遭网络攻击，温度参数遭恶意篡改。
网安风险警示，本期有六点建议关注：一是美CISA联合多部门发布情况说明，防范针对工业制冷与冷链监测系统的网络攻击；二是WordPress核心高危漏洞遭攻击者在野利用；三是OpenSSH/musl存在高危密码认证绕过漏洞；四是Synology DSM身份认证绕过漏洞安全风险通告；五是Google Chrome XML释放后重用漏洞在野利用通告；六是网络附加存储厂商QNAP警告Plex2Shell漏洞遭利用致设备入侵。
一、网安动向热讯
（一）工信部印发《关于加强智能体终端设备进网管理的通知》
11月6日，工信部印发《关于加强智能体终端设备进网管理的通知》，提出通过完善智能体终端监管规则，强化智能体终端管理，为智能体终端新业态新模式发展提供包容审慎环境，引导人工智能技术“为人所用、为人服务、为人所控”。《通知》主要包含四方面内容：一是开展智能体和终端适配。要求智能体开发者应加强与终端设备的适配验证，强化权限调用、通信能力、网络与数据安全、用户权益和任务执行等方面管理。二是改进智能体终端进网管理。在进网管理中开展智能体适配验证和风险评估，细化特别规定事项要求。三是强化现网升级管理。通过在线升级推送等方式开展现网升级的，制定现网升级方案，经专家评估、征求意见后向用户提供服务。四是健全分发管理机制。推动应用程序开发者声明是否同意智能体调用，为用户提供兼容设备型号的智能体下载和安装服务。（信息来源：工信微报）
（二）中国率先批准《关于成立世界人工智能合作组织的协定》
11月9日，外交部发言人郭嘉昆在例行记者会上就全国人大常委会批准《关于成立世界人工智能合作组织的协定》作出说明。今年7月，习近平主席在2026世界人工智能大会暨人工智能全球治理高级别会议上宣布启动世界人工智能合作组织，目前已有38个国家成为创始成员国。作为发起国和东道国，中国率先批准该协定，彰显推动筹建工作的意愿与承诺，中方将秉持共商共建共享理念推进组织实体化运行，面向全球南方国家开展务实合作与能力建设，推动各国共享人工智能发展红利，同时欢迎更多国家加入，促进人工智能向善普惠发展，共同构建公正合理的全球人工智能治理体系。（信息来源：外交部网站）
（三）世界互联网大会乌镇峰会发布《前沿人工智能安全与治理2026：风险认知与协同治理》
11月3日，在世界互联网大会乌镇峰会主论坛上，《前沿人工智能安全与治理2026：风险认知与协同治理》报告正式发布。报告系统梳理前沿人工智能风险图景，总结治理实践，结合前沿人工智能治理就绪度评估，识别关键治理缺口与薄弱之处，并就进一步加强全球各方治理协同，提出五点建议：一是推动模型安全评测协同，夯实风险证据基础；二是做好不同主体安全承诺及落实情况的协同核验；三是加强风险事件通报与联合处置；四是完善智能体和开放模型的协同治理安排；五是深化能力建设合作，普惠共享安全与治理资源。报告旨在为国际社会相关讨论提供有益思路和参考，增进各方对前沿人工智能风险的认知与共识，提升前瞻准备与协同应对能力。（信息来源：世界互联网大会网站）
（四）工信部NVDB牵头多家平台签署《网络产品安全漏洞收集平台自律公约》
11月10日，工信部网络安全威胁和漏洞信息共享平台与补天漏洞响应平台、漏洞盒子等18家漏洞收集平台在2026年网络和数据安全产业论坛共同发布并签署《网络产品安全漏洞收集平台自律公约》，旨在建设规范有序、充满活力的网络产品安全漏洞收集和发布渠道。《公约》共4章18条，明确了平台合规备案、技术能力建设、注册用户管理、行业活动开展等基础运营准则，同时对漏洞收集、风险评估、协同处置、信息发布、漏洞披露等核心环节作出标准化、规范化约束，补齐了行业自律规则短板。（信息来源：央视网）
（五）中国信通院、华为、阿里等20家单位联合发布《智能体发展自律公约》
11月4日，在2026年世界互联网大会乌镇峰会上，中国信息通信研究院、华为、阿里等20家单位联合发布《智能体发展自律公约》。《自律公约》共提出八条自律措施：一是健全智能体信任体系；二是建设智能体互联基础设施；三是提升智能体互操作水平；四是提升智能体安全防护能力；五是健全智能体治理机制；六是保护智能体用户权益；七是加速智能体赋能千行百业；八是推动智能体技术普惠共享。下步，各发起单位将带头落实《自律公约》约定，主动接受行业组织和社会公众监督。（信息来源：中国信通院CAICT）
（六）美CISA公布改进版网络事件报告表
11月9日，美CISA根据多年来收到的社区反馈意见，对网络安全事件报告表进行改进，其目的是提升数据质量，帮助CISA关联分析看似独立的事件，识别其规律。改进版网络事件报告表主要变化：一是要求补充更详细的事件类型信息，包括是否涉及恶意软件、社会工程、黑客技术或内部人员威胁等；二是借助MITRE ATT&CK框架及网络安全领域专业术语描述攻击活动。目前规定要求联邦民事机构必须上报内部发生的网络安全事件，但CISA鼓励任何组织自愿上报。（信息来源：美CISA网站）
（七）美CISA任命布莱恩・马扎内克担任基础设施安全处代理负责人
11月4日，美CISA任命前美卫生与公众服务部官员马扎内克担任基础设施安全处代理负责人，该部门主要联动政府及私营部门合作伙伴，针对美国16个关键基础设施领域开展漏洞排查、风险管控与韧性提升工作。马扎内克此前在美卫生与公众服务部负责医疗公共卫生领域应急与安全工作，主导过医疗行业重大网络攻击事件处置，多次参与联合网络安全预警发布，熟悉关键基础设施安全协同机制。此外，特朗普表示，已提名帕兰蒂尔公司前首席信息安全官迈克尔·洛萨皮奥担任CISA局长，目前正等待参议院表决确认。（信息来源：NextGov网站）
（八）美NIST发布《NIST超级智能安全事件管理研讨会报告》
11月2日，美NIST发布《NIST超级智能安全事件管理研讨会报告》，核心要点：一是明确将超级智能安全事件分为两类，一类是针对超级智能本身的网络攻击，包括模型窃取、数据投毒、提示词注入等；另一类是系统误用、异常行为、运行故障等引发的事件，两类事件处置方式有所差别。二是超级智能的应用使得推理阶段攻击难以依靠常规网络日志发现，传统事件响应机制面临新挑战，报告建议采用机器可读的AI取证格式，提示词和模型输出日志以30天为留存基线，企业要提前落实非人类身份治理、预置遥测数据、制定遏制决策框架。三是将系统误用、异常行为和运行故障纳入事件管理范畴，厘清信息共享、事件报告、事件响应三者边界，提出由连接、协调、沟通、控制四个环节构成的应急框架。四是现有安全指南较为分散，需要加强衔接。五是AI产业链多方主体信息不统一，责任划分存在难度。NIST后续将搭建利益相关方社区，围绕日志监测、取证、信息共享等持续开展研究，根据实际事件、技术演进和社区反馈，不断调整后续工作并制定新指南。（信息来源：美NIST网站）
（九）美行业联盟呼吁国会延长《2015年网络安全信息共享法案》有效期
11月2日消息，由35家商业协会组成的行业联盟致信美国国会提出，鉴于AI大幅降低高级网络攻击门槛，亟需稳定的法律机制支撑私营部门和政府安全快速地共享有关网络威胁及防御措施的信息。信件呼吁参议院在2027财年《国防授权法案》中保留众议院提出并通过的相关条款，将《2015年网络安全信息共享法》有效期延长至2035年。《2015年网络安全信息共享法》为政企之间自愿共享网络威胁情报提供法律保障，该法有效期至2026年12月11日，届时如未能延期将自动失效。众议院通过版的2027财年《国防授权法案》第1706条除要求延期外，还拟新增人工智能、关键基础设施等术语法律定义，更新信息共享流程指引，规范严格用于网络安全目的的AI应用，同时要求政府具备建立实时共享网络威胁指标和防御措施的能力。受中期选举影响及国会议程安排影响，目前参议院的审议陷入停滞，11月9日复会后将重启审议。（信息来源：美国商会网站）
（十）美国司法部设立超级智能工作组
11月5日消息，美国司法部宣布成立超级智能工作组，以加强部内统筹协调，形成针对超级智能的综合应对模式。该工作组具体承担六项职能：一是统筹司法部涉及超级智能的刑事与民事执法工作；二是协调司法部内部各部门、联邦检察官办公室的调查、案件及相关事项，化解跨主体冲突；三是提出兼顾公共安全维护与超级智能滥用防范的执法优先方向；四是作为司法部对接白宫超级智能专项的主要联络点，并视情与其他联邦机构协调；五是承接原人工智能诉讼工作组相关工作，统筹超级智能相关民事诉讼；六是制定起诉超级智能相关非法行为、开展合规措施评估的指导意见，并通过法律政策办公室与立法事务办公室，就立法或监管事项提供专业建议。（信息来源：美司法部网站）
（十一）欧盟网络安全局发布《2026年欧盟网络安全情况报告》
11月10日，欧盟网络安全局正式发布第二版《2026年欧盟网络安全情况报告》。主要内容：一是欧盟的整体网络安全态势有所改善；二是欧盟面临严重的网络安全威胁，2025年至今，入侵活动仍较为频繁且日趋多样化；三是欧盟网络安全领域相关立法应当根据技术发展与地缘政治格局变动加强整合；四是随着《网络与信息安全指令2.0》的逐步实施，欧盟关键行业领域的网络安全水平稳步提升，但不同行业领域的网络安全水平分布不均；五是欧盟目前正致力于提升危机应对能力，协同提升网络安全态势感知能力；六是供应链风险和外部依赖对欧盟网络安全的重要性日益凸显；七是人工智能正在影响网络安全人才结构，欧盟人才缺口的重心由劳动力短缺转向技能短缺，网络安全意识、技能与教育至关重要。（信息来源：欧盟网络安全局网站）
（十二）欧盟委员会初步认定TikTok个性化推荐机制违反《数字服务法》
11月6日，欧盟委员会发布公告，初步认定短视频平台TikTok的个性化内容推荐机制违反欧盟《数字服务法》。欧盟委员会认为，TikTok的无限滚动浏览机制、视频自动播放功能、系统推送通知、基于高度个性化算法的内容推荐系统等多项设计可能诱发用户成瘾。用户受到推荐算法的持续引导，不断接触越来越多相似、甚至更加极端的内容，最终陷入一种难以主动摆脱的信息循环。TikTok未充分评估上述系统性风险，也未采取合理、有效的风险缓解措施。欧盟委员会要求TikTok在规定时间内修改应用设计，以符合欧盟在线内容规则，否则将面临最高达全球年营业额6%的罚款。目前TikTok方面否认相关指控，调查尚未作出最终决定。（信息来源：欧盟委员会网站）
（十三）德国拟扩大5G网络设备禁令
11月3日消息，德国政府正酝酿扩大对中国通信设备的限制，拟将5G基站纳入关键基础设施安全审查范围，并考虑对下一代移动通信网络关键组件进口实施限制，以降低关键基础设施对外国技术的依赖及由此带来的安全风险。基站直接关系到移动网络的信号覆盖和通信质量，部署数量远多于核心网络设备。由于不同供应商的移动通信设备难以完全兼容，如果德国禁止使用中国企业提供的5G基站，运营商可能需要更换整套相关设备，不仅承担设备替换费用，还将面临网络改造周期延长等问题。中国通信设备制造商由此面临失去德国移动通信设备市场的风险，诺基亚、爱立信和三星等相关设备厂商则可能从中受益。目前，具体限制措施仍在制定过程中，限制范围、实施时间等细节仍有待明确。（信息来源：安全内参）
（十四）英国金融行为监管局设立量子实验小组
11月5日消息，英国金融行为监管局宣布设立“量子实验小组”，评估量子计算在金融服务领域的潜在应用。该计划预计于2027年第一季度启动，将组织金融机构评估量子计算相较于传统计算的技术优势，协助监管部门提前研判量子技术在金融领域的合规风险与监管需求，重点围绕金融犯罪排查，组织商业银行、量子计算企业及科研机构等，利用监管部门提供的统一模拟数据集，联合测试量子算法在反洗钱与反欺诈识别中的实际效能。（信息来源：英国金融行为监管局网站）
（十五）Anthropic继续收紧禁止中国使用的政策
11月8日，Anthropic发布新版《支持地区政策》，将于11月12日正式生效。该文件规定只有列入支持名单的国家和地区才能使用其服务，中国、朝鲜、缅甸、阿富汗、伊朗、叙利亚、也门、俄罗斯、白俄罗斯、古巴和委内瑞拉等11个国家被排除在外。文件明确三类禁止情形：一是身处不支持地区的人员使用；二是注册地或总部设在不支持地区的实体使用，这意味着企业即使通过第三方云平台或授权经销商采购Claude模型，也要遵守同样的地区限制；三是由不支持地区主体直接或间接多数控股的机构使用。此前Anthropic已多次加码相关管控，2024年7月起中国大陆用户已无法直连其服务；2025年9月禁止中国实体直接或间接持股超过50%的企业使用其服务。（信息来源：Anthropic网站）
二、数据前沿快讯
（十六）市场监管总局批准发布强制性国家标准《卫星导航定位基准站网安全要求》
11月10日，市场监管总局批准发布强制性国家标准《卫星导航定位基准站网安全要求》（GB 48567—2026）。该标准由自然资源部提出并归口，从设施、数据、服务全链条明确安全技术要求，为依法规范基准站网建设运行管理、保障国家时空基准和测绘地理信息安全提供技术支撑。该标准立足基准站网建设、运行、服务全过程安全管理，核心内容包括四个方面：一是明确基准站网识别规则与服务分类。界定基准站及基准站网定义、技术识别特征，将基准站网服务划分为测绘基准服务和其他社会服务两类，为分类分级监管提供统一依据。二是强化设施安全刚性管控。未经批准的基准站设施不得设置在军事禁区、军事管理区内；基准站配置隔离防护设施，对站点设备访问和操作实行分级权限管理；数据处理、服务和管理系统须取得网络安全等级保护第三级备案证明，筑牢设施安全防线。三是严格数据安全分级管理。按照数据敏感程度对基准站网数据实行涉密数据、重要数据分级管控；原始观测数据须通过有线专网或商用密码技术加密传输，重要数据服务实行用户实名审核和访问控制，防止数据泄露、篡改，切实维护国家安全。四是规范服务安全运行。开展涉及敏感数据的实时服务须配备安全隔离防护措施；面向社会提供服务的基准站网应定期溯源至全国统一测绘基准，确保服务安全、数据可信。（信息来源：央视新闻）
（十七）欧盟委员会发布4套数据访问和使用示范合同条款和6组云计算标准合同条款和共用定义
11月6日，欧盟委员会在《欧盟公报》发布第2026/2394号建议，依据《数据法》推出4套数据访问和使用示范合同条款和6组云计算标准合同条款及共用定义。该文件属于非强制性示范文本，供市场主体自愿选用，核心内容包括：一是4套数据访问和使用示范合同条款，覆盖不同主体间设备生成数据的访问、流转场景；二是6组云计算标准合同条款，围绕服务商切换与退出、合同终止、迁移期间安全与业务连续性等内容，明确收费需区分切换费、正常服务费、提前解约费及多云并行中的数据传出费，《数据法》第29条规定自2027年1月12日起不得收取切换费。（信息来源：欧盟委员会网站）
三、网安事件聚焦
（十八）区块链分析公司Chainalysis遭到AI驱动的网络攻击致数据泄露
11月2日，区块链分析公司Chainalysis披露遭到AI驱动的网络攻击，外部人员利用攻击性代理技术，未经授权访问公司系统及内部工具，造成部分客户数据泄露。泄露的数据涉及用户ID、姓名、电子邮件地址等非敏感客户信息，但调查内容、交易记录、查询结果等幸免于难。目前，Chainalysis仍在核查事件影响范围，尚未公布受影响用户数量及攻击者身份，并指出由于部分用户姓名和邮箱地址可能已泄露，相关用户需警惕异常身份验证提示、密码重置请求及钓鱼邮件，及时启用多因素身份验证，降低账户被攻击的风险。（信息来源：Securityweek网站）
（十九）企业级身份认证API服务商WorkOS遭AI自动化攻击致企业客户信息泄露
11月3日，企业级身份认证API服务商WorkOS披露发生数据泄露事件，攻击者未经授权访问其销售团队使用的内部应用，获取了企业联系人记录、客户账户历史及沟通摘要等信息，泄露数据包括客户姓名、邮箱、职位、所属公司、产品使用情况、系统连接与目录健康状况等。WorkOS表示，攻击者利用AI驱动的攻击性安全框架自动开展侦察和攻击尝试，但调查未发现其应用数据或生产服务遭到访问或影响。事件发生后，公司立即关闭受影响应用的外部访问，审查内部工具访问控制，聘请独立取证与事件响应机构调查攻击活动及影响范围，同时承诺直接通知受影响客户，提醒用户警惕利用泄露信息实施的钓鱼和社会工程攻击。（信息来源：BleepingComputer网站）
（二十）美网络托管服务商DreamHost披露数据泄露事件
11月4日，美网络托管服务商DreamHost披露一起数据泄露事件，攻击者利用在线文件管理器软件漏洞，未经授权访问相关服务器，部分客户的FTP/SFTP用户名和密码遭泄露。DreamHost表示，由于相关财务数据由外部服务商处理，尚无证据表明攻击者获取了客户控制面板登录信息或账单、支付详情。公司目前已阻断攻击者访问、修复被利用的漏洞，并对可能受影响账户采取终止活跃会话、使相关密码失效等措施，同时要求用户重置电子邮件及FTP/SFTP密码。DreamHost提醒用户检查网站文件是否遭未经授权修改，排查网络邮件转发规则和过滤器。（信息来源：BleepingComputer网站）
（二十一）亚洲六家航空公司披露由于IT服务商遭到网络攻击，客户数据发生泄露
11月5日消息，日本航空、国泰航空、大韩航空等六家亚洲航空公司披露旅客预订信息遭未经授权访问，泄露内容主要包含乘客姓名、预订编号、航班行程等，暂未发现支付、财务数据遭到访问，各航司自身运营系统均未被入侵。此次事件源头为IT服务商艾玛迪斯系统存在漏洞，该服务商为航司提供机票预订、值机等平台服务。目前艾玛迪斯已完成漏洞修复并强化系统监测，涉事航司已陆续通知受影响旅客，部分航司将协助旅客更换预订编号，同步提醒旅客警惕恶意邮件。（信息来源：安全内参）
（二十二）俄罗斯主机服务商Beget遭攻击，云基础设施大量数据被清除
11月4日，俄罗斯主机托管服务商Beget遭遇严重网络攻击，导致云基础设施中的大量数据被清除，数百个网站及在线服务中断。攻击者获得了管理公司基础设施的系统访问权限，并执行数据擦除脚本，造成虚拟专用服务器、云存储等服务相关数据全部丢失。Beget表示，恢复工作现已启动，但由于涉及服务器数量众多，服务全面恢复仍需较长时间。公司称目前尚未发现攻击者下载或篡改客户数据的证据，建议用户更换密码、访问密钥等凭证。（信息来源：TheRecord网站）
（二十三）法国血液机构冷库遭网络攻击，温度参数遭恶意篡改
11月3日消息，黑客通过入侵制冷设备维护服务商酷世界公司，对法国血液机构的冷库设施实施网络攻击，远程将储存血液制品冷库零下30摄氏度的温度设定篡改至110摄氏度，监控系统及时触发警报，相关设备被迅速管控停用，部分库存完成转移，本次事件没有造成血液制品损毁。事件发生后，法国血液机构技术团队协同法国国家信息系统安全局、卫生部开展处置，并强化全部设备运行监测。（信息来源：安全内参）
四、网安风险警示
（二十四）美CISA联合多部门发布情况说明，防范针对工业制冷与冷链监测系统的网络攻击
11月5日，美CISA联合联邦调查局、卫生与公众服务部、农业部、交通部发布联合情况说明，警示敌对势力正在针对工业制冷与冷链监测系统开展攻击活动。攻击者可利用零售商超、冷库设施中未打补丁、可通过互联网访问的电子温度控制器与商用制冷控制器的安全漏洞篡改温度设置，进而引发火灾隐患、物资库存损毁、设备使用寿命受损等实际影响。该情况说明给出四项防护建议：一是将控制系统设备断网；二是修改并强化默认密码；三是及时安装补丁更新设备；四是识别并淘汰厂商已停止更新的老旧设备。CISA表示，所有使用制冷及监测系统的机构均应把自身视作潜在攻击目标，落实防护措施，及时上报可疑网络活动。（信息来源：美CISA网站）
（二十五）WordPress核心高危漏洞遭攻击者在野利用
11月4日，美CISA发布警示，攻击者已开始利用WordPress核心高危漏洞CVE-2026-119977发起网络攻击，并将其列入已知利用漏洞目录。该漏洞源于WordPress软件包升级过程中的检查时间与使用时间竞争条件。攻击者可利用升级期间存在的可预测、可通过Web访问的暂存路径，在无需身份验证的情况下远程执行代码，进而控制受影响服务器。CISA要求美国联邦民事行政部门机构按照相关指令在规定期限内完成修复，同时呼吁私营企业及其他网络防御人员尽快采取防护措施。目前WordPress安全团队已发布安全版本，建议用户立即升级。（信息来源：BleepingComputer网站）
（二十六）OpenSSH/musl存在高危密码认证绕过漏洞
11月6日，奇安信披露OpenSSH/musl存在高危密码认证绕过漏洞QVD‑2026‑104595（CVSS评分9.8），OpenSSH是OpenBSD项目维护的广泛使用的开源SSH远程登录与加密传输服务组件，被广泛应用于Linux、Unix及嵌入式系统。该漏洞源于musl libc的crypt()函数在失败时返回单字符“*”（而非POSIX 规定的NULL），而OpenSSH在未启用PAM的认证路径中，对密码字段为“*”的账户借用其他账户的真实盐值执行crypt()校验。当攻击者提交257～1024字节的超长密码时，musl的crypt()因KEY_MAX(256)长度限制返回“*”，与影子密码字段“*”比较相等，strcmp判定通过，导致攻击者无需任何有效凭据即可通过SSH密码认证登录仅允许密钥登录或已锁定密码的账户。目前该漏洞PoC和技术细节已公开，鉴于该漏洞影响范围较大，建议用户尽快做好自查及防护。（信息来源：奇安信CERT）
（二十七）Synology DSM身份认证绕过漏洞安全风险通告
11月5日消息，奇安信CERT监测到官方修复Synology DSM身份认证绕过漏洞CVE-2026-13639（CVSS评分9.8），该漏洞源于DSM在生成会话JWT签名密钥时存在缓冲区错位缺陷：随机数生成函数randombytes_buf的输出被写入全局缓存，而实际写入密钥文件的却是刚被清零的32字节栈缓冲区，导致签名密钥固定为32个0x00字节。攻击者无需任何凭据，即可使用全零密钥伪造aud=“2FA”的1FA临时令牌JWT，并将其作为passwd参数提交登录接口，从而完全绕过密码与二次认证校验，免密登录任意用户，进一步通过File Station等接口实现任意文件读写、植入恶意载荷并接管设备。目前该漏洞PoC和技术细节已公开。鉴于该漏洞影响范围较大，建议用户尽快做好自查及防护。（信息来源：奇安信CERT）
（二十八）Google Chrome XML释放后重用漏洞在野利用通告
11月10日，Google发布公告称Google Chrome XML释放后重用漏洞CVE-2026-125350（CVSS评分8.8）存在在野利用，该漏洞源于XML解析过程中对象生命周期管理不当，导致已释放的内存区域被后续操作重新引用。攻击者可利用此漏洞，通过构造特制的HTML页面触发内存损坏，进而在浏览器沙箱内实现任意代码执行，可能导致敏感信息泄露、权限提升或进一步系统控制。目前官方已发布安全更新，建议用户尽快升级至最新版本。（信息来源：奇安信CERT）
（二十九）网络附加存储厂商QNAP警告Plex2Shell漏洞遭利用致设备入侵
11月6日，网络附加存储厂商QNAP发布安全公告，其网络附加存储设备上的Plex Media Server疑似遭黑客利用Plex2Shell漏洞入侵。该漏洞链涉及CVE-2026-96652、CVE-2026-96654、CVE-2026-96655和CVE-2026-96656四个漏洞，相关技术细节公开后，攻击者随即开始利用。QNAP建议用户更新至最新版本，并强调漏洞仅影响Plex媒体服务器，QTS、QuTS hero等操作系统本身不受影响。（信息来源：BleepingComputer网站）
