/
n8n警告CVSS满分漏洞影响自托管和云版本
开源工作流自动化平台n8n发布安全警告，披露一个CVSS评分10.0分的最高危漏洞CVE-2026-21877。该漏洞可能导致经过身份验证的用户执行远程代码，造成受影响实例的完全妥协。漏洞影响0.123.0至1.121.3之间的版本，包括自托管部署和云实例。官方已在1.121.3版本中修复此问题，建议用户立即升级。
Veeam修复CVSS评分9.0的严重远程代码执行漏洞
Veeam发布安全更新，修复其备份与复制软件中的多个漏洞，包括一个可导致远程代码执行的严重问题。CVE-2025-59470漏洞CVSS评分达9.0分，允许备份或磁带操作员通过发送恶意参数执行远程代码。此外还修复了三个其他漏洞，涉及配置文件攻击和文件写入权限提升等问题。所有漏洞影响13.0.1.180及更早版本，已在13.0.1.1071版本中修复。
AI代码编辑器扩展推荐漏洞引发供应链安全风险
热门AI驱动的VS Code衍生工具如Cursor、Windsurf等被发现推荐Open VSX注册表中不存在的扩展程序，为恶意攻击者发布同名恶意软件包创造机会。这些IDE继承了微软扩展市场的官方推荐列表，但这些扩展在Open VSX中并不存在。攻击者可利用此漏洞上传恶意扩展，当开发者安装推荐扩展时可能导致敏感数据泄露。
身份暗物质威胁企业网络安全的新挑战
身份管理已从单一目录演变为跨SaaS、本地、云平台的碎片化生态。传统IAM工具仅能管控已完全集成的一半身份，其余包括未验证用户、非人类身份、API、机器人账户等构成"身份暗物质"。这些不受治理的实体带来重大安全风险：44%的组织拥有超过1000个孤立账户，27%的云安全事件涉及休眠凭证滥用。解决方案需要从配置型IAM转向基于证据的治理，通过身份可观测性实现全面可见性和统一管控。
Infinidat最新升级让勒索软件攻击者胆寒
备份存储库已成为勒索软件攻击的核心目标。Infinidat的InfiniBox G4针对这一问题进行了重大升级，在单机架内有效容量跃升至33PB，性能提升一倍。InfiniSafe网络弹性堆栈内置不可变快照、逻辑气隙和隔离取证环境。InfiniSafe自动网络保护可与SOC、SIEM集成，威胁出现时触发快照。AI驱动的网络检测技术识别恶意软件准确率达99.99%。系统保证快照恢复时间1分钟内，可用性100%。
2026年将潜力转化为利润的网络基础设施
2026年AI将在网络和电信领域变得不可或缺，网络基础设施需要适应AI容量激增带来的前所未有压力。新一代光网络将提供更大容量和更低功耗，支持企业AI和云应用。5G网络将加速部署，3G网络逐步关闭。卫星通信产业持续发展，非地面网络从小众转向主流。2026年将是网络技术从展示可能性转向释放实际价值的关键一年。
微软警告：邮件路由配置错误可引发内部域名钓鱼攻击
微软威胁情报团队警告，攻击者正利用邮件路由配置错误和欺骗防护漏洞，伪装组织域名发送看似内部邮件的钓鱼攻击。自2025年5月以来此类攻击激增，主要使用Tycoon 2FA等钓鱼即服务平台。攻击多发生在复杂邮件路由和欺骗防护不严格的环境中。微软建议组织设置严格的DMARC和SPF策略，正确配置第三方连接器以防范此类威胁。
针对D-Link路由器严重远程代码执行漏洞的持续攻击活动
D-Link老旧DSL网关路由器发现严重安全漏洞CVE-2026-0625，CVSS评分9.3分，已遭野外攻击利用。该漏洞源于dnscfg.cgi端点中DNS配置参数输入验证不当，导致命令注入。攻击者可在无需认证情况下注入并执行任意shell命令，实现远程代码执行。受影响的DSL-2740R、DSL-2640B、DSL-2780B、DSL-526B等型号设备已于2020年停止支持。D-Link正进行内部调查并审查固件。建议用户淘汰这些设备，升级到获得定期安全更新的支持产品。
TOTOLINK EX200存在未修复固件漏洞可被完全远程接管
CERT协调中心披露TOTOLINK EX200无线扩展器存在未修复安全漏洞CVE-2025-65606。该固件上传错误处理逻辑缺陷可能导致设备意外启动未认证的root级telnet服务。已认证攻击者可通过上传恶意固件文件触发异常状态，获得设备完全控制权限，进行配置篡改或任意命令执行。TOTOLINK尚未发布补丁且产品不再维护。
AI流量激增为何现在就需要光网络自动化
随着AI应用的快速增长，带宽需求持续激增，光网络面临前所未有的挑战。诺基亚贝尔实验室研究显示，AI流量增长率可达14%至31%。传统手动配置和监控的静态光网络已无法满足AI动态连接需求。通信服务提供商需要通过网络自动化来应对严格的服务等级要求，包括吞吐量、延迟和可靠性。标准化开放API和先进网络控制器的成熟，为多厂商生态系统的自动化部署奠定了基础，使运营商能够减少错误、简化运营并开启新的盈利机会。
富士通前支持团队被称为"合法黑客"
据2015年举报人采访录音显示，富士通在邮局地平线系统支持中心的员工可通过后门访问分支机构账户，能够在不被发现的情况下盗取邮局分站长资金，但从未实施。前富士通技术员理查德·罗尔透露，远程访问审计规则可被"合法黑客"团队无视。该丑闻导致约800名邮局分站长在2000-2015年间因系统错误被错误定罪。
新加坡电信试点50Gbps光纤支持未来AI与云计算负载
新加坡电信启动50Gbps光纤宽带技术试点，成为新加坡首家测试该技术的运营商。该试点基于10Gbps对称无源光网络技术，旨在为未来3至5年内主流的带宽密集型应用提供基础设施支持。随着人工智能、混合现实和高保真云计算的普及，网络吞吐量和延迟性能需求将大幅提升。该举措符合新加坡数字连接蓝图规划，将支持远程办公、医疗影像传输和VR理疗等应用场景。
加密钱包公司Ledger确认第三方合作伙伴数据泄露事件
加密钱包公司Ledger确认其第三方合作伙伴Global-e发生数据泄露事件，客户姓名和联系信息被泄露。Global-e是Ledger使用的端到端电商平台，遭到未经授权访问，部分订单数据被复制，包括客户姓名、地址、邮箱、电话和订单详情。Ledger强调这不是其平台或设备的安全漏洞，不影响加密资产安全。该公司此前在2020年曾遭受重大数据泄露，影响约27.2万客户。
思科或洽谈收购网络安全公司Axonius，但遭到否认
据报道，思科系统公司正在洽谈以20亿美元收购网络安全资产管理初创公司Axonius。然而，Axonius否认了相关谈判，称公司专注于执行、服务客户和持续增长。Axonius成立于2017年，提供网络安全资产管理平台，帮助企业安全管理连接设备。该平台无需代理，可发现未管理的资产，并提供自动化执行功能。
从集成困境到合作共赢：协作如何强化网络安全
数据驱动的协作面临多重挑战，包括系统泄露风险、数据质量不一致等问题。2025年上半年已有超过3.45亿条私人记录因8000多起数据泄露事件而暴露。企业需建立清晰的治理框架，统一数据安全标准，打破内部数据孤岛。通过制定标准化架构和验证规则，合作伙伴能更好地共享威胁情报，提升主动防护能力。IBM与Securitas的全球共享安全协议为行业树立了标杆。
2025年供应链攻击与云服务故障大盘点
2025年供应链攻击频发，黑客通过入侵单一目标影响数百万下游用户。Solana区块链遭受15.5万美元损失，NPM仓库被植入126个恶意包，超500家电商公司被攻击。AI聊天机器人成为新攻击目标，黑客通过投毒长期记忆使其执行恶意操作。Meta和Yandex被发现利用Android漏洞追踪用户。云服务故障频发，AWS十月份全球性宕机持续超15小时。Signal应用升级量子安全加密成为唯一亮点。
终端浏览器新突破：支持完整图形和现代功能
开发者janantos在假期期间发布了brow6el，这是一款完全在终端运行的现代网页浏览器。该浏览器支持Sixel图形格式，基于Chromium嵌入式框架，具备完整的网页渲染能力。功能包括鼠标输入、书签、下载管理器、隐私浏览、HTML5/CSS/JavaScript支持、页面检查、JavaScript控制台、弹窗处理和内置广告拦截器。在AI功能泛滥的当下，这款极简浏览器为用户提供了无AI干扰的选择，尽管目前仍是概念验证阶段。
GitHub个人访问Token被曝光后威胁激增，攻击者可直达云环境
Wiz安全团队研究发现，攻击者正利用泄露的GitHub个人访问令牌（PAT）获取GitHub Action机密信息，进而渗透企业云环境。研究显示73%使用私有GitHub仓库的企业在其中存储云服务提供商凭据。攻击者可通过PAT冒充开发者身份，搜索工作流中的密钥信息，进而访问AWS、Azure等云服务，执行恶意代码、窃取数据或建立持久化访问机制。专家建议企业应将PAT视为特权凭据管理，设置合理过期时间，遵循最小权限原则，并将云密钥迁移出GitHub工作流。
苹果ATT功能究竟阻止了什么样的追踪？
苹果在iOS 14.5中推出的应用跟踪透明度功能要求开发者获得用户许可才能共享数据。用户可选择"允许"或"要求应用不跟踪"。选择后者会阻止应用访问IDFA标识符，但开发者仍可通过IP地址等其他方式跟踪用户。该功能推出后，可跟踪用户比例从73%降至18%，迫使广告商转向设备指纹识别等替代方案。
2025年十大网络安全事件回顾：从量子威胁到政策巨变
人工智能在2025年主导了科技头条，网络安全领域同样如此。疫情五年后，远程办公和供应链安全仍是热点话题。量子计算的兴起及其对加密技术的威胁成为另一主线。美国新政府的政策转变对行业产生重大影响。本文盘点了2025年十大网络安全事件，包括朝鲜IT承包商丢案、量子安全加密迁移计划、NHS供应商网络安全契约、美国CISA预算削减、Windows10支持终止警告、英国勒索软件支付禁令等重大事件。
京公网安备 11010802021500号
