01漏洞与在野利用
Ivanti VPN零日入选CISA KEV
CISA 10月13日发布紧急通告：Ivanti Connect Secure 存在一个已被在野利用的漏洞 CVE-2026-104935，影响 25.1.1.1 及更早、25.1.2.2 及更早、22.8R2.4 及更早版本。该零日为认证绕过缺陷，可让远程未认证者执行任意命令，攻击者已用于凭据窃取与数据外泄。CISA 已于 10 月 13 日将其列入 KEV 目录，要求立即升级到最新版本。
VPN 是这些组织的身份边界，未认证命令执行意味着边界设备被接管：攻击者可窃取域凭据、外传数据、以此为跳板进入内网，并在重启后仍可能保留访问。
立即升级 Ivanti Connect Secure 至 Ivanti 安全通告中的最新版本；对已暴露设备按 CISA/Ivanti 指引做入侵排查与取证留存，轮换经该 VPN 使用的所有凭据，收敛管理面与设备暴露面。
Nextcloud服务器遭植入后门
BleepingComputer 报道，威胁者正在利用 Nextcloud 应用 Collabora Online - Built-in CODE Server（richdocumentscode）中的严重命令执行漏洞，该缺陷现被编目为 CVE-2026-110447，攻击者借此在 Nextcloud 服务器上植入后门。
自建 Nextcloud 常承载企业文件、Share 链接与对接的 IdP/LDAP 凭据，Web 服务账户被命令执行后可横向读取共享数据、持久化 Webshell 并成为内部网络入口。
升级或停用 richdocumentscode（Built-in CODE Server）应用至修复版本，检查 Web 目录异常 PHP/脚本文件与新增管理员账户，对面向公网的 Nextcloud 实例加防护并复核出站流量。
NGINX修复可未认证利用的RCE漏洞
Security Affairs 报道，F5 公布 NGINX 中十一个安全问题的修复，其中被列为严重级别的 CVE-2026-15176 与 CVE-2026-93479 可被攻击者在无需认证的情况下通过构造的 HTTP 请求触发远程代码执行，且触发条件部分超出运维者自身控制。
NGINX 作为海量站点与云负载的反向代理/TLS 终结点，未认证 RCE 意味着单一入站请求即可能导致主机被接管、缓存与后端凭据泄露。
尽快把 NGINX 升级到 F5 通告的修复版本并核对命中的具体 CVE 与配置条件；临时措施包括在边缘启用请求体/头大小限制与 WAF 规则、移除不必要的指令链，并为代理主机准备重启与取证流程。
KEDA提权漏洞可读取全集群密钥
GitHub 通告 CVE-2026-77524（GHSA-637c-6jxx-4rwm）：KEDA 存在严重（CVSS 9.9）提权缺陷，命名空间管理员只需在自己的命名空间创建 TriggerAuthentication 与 ScaledObject，就能让 KEDA operator 把自身 ServiceAccount token 发送到租户控制的 URL；该 token 具有集群级 ["*"]/["*"] get 权限，可读取所有命名空间的全部 Secret，并可跨命名空间创建/删除 Job 与 HPA。修复版本为 2.21.0。
KEDA 是 Kubernetes 上广泛部署的弹性伸缩组件，提权后低信任命名空间可获取集群级凭据（含云厂商密钥、数据库口令）并创建负载，等价于集群接管。
升级 KEDA 至 2.21.0；审查哪些主体拥有创建 TriggerAuthentication/ScaledObject 的权限并按多租户边界收紧 RBAC，监控 operator ServiceAccount 的异常外联与跨命名空间 Secret 读取。
SAP云SDK满分漏洞可外泄OAuth2凭据
SAP 于 10 月 13 日发布安全通告，其 Cloud SDK for Python（BTP 服务的官方 Python 客户端）存在 CVSS 10 的严重缺陷：可把应用的 OAuth2 客户端凭据发送到攻击者控制的服务器。该问题影响使用此 SDK 的 SAP Business Technology Platform（BTP）多租户应用，攻击者需要能够控制租户子域名。
云原生应用的 OAuth2 客户端凭据一旦外泄，攻击者可冒充应用访问 BTP 后端服务与下游系统，多租户环境下租户隔离假设被直接破坏。
按 SAP 通告升级 Cloud SDK for Python 并复核多租户域名/子域解析配置；轮换可能已暴露的 client credentials，检查出站请求是否存在指向未知子域的异常目标。
Drupal核心缺陷存未授权RCE路径
The Hacker News 报道，Drupal 核心 Field UI 模块存在严重缺陷，可让攻击者在站点服务器上执行代码，修复已于 10 月 14 日随 Drupal 11.4.10、11.3.19、10.6.19 发布。Drupal 安全团队说明仅靠核心无法触达该缺陷，但通过若干贡献模块存在多条利用路径，其中至少一条已知路径无需登录。
Drupal 承载大量政府与媒体站点，贡献模块把不可达的核心缺陷变成未授权 RCE 面，站点被控后可用于篡改内容、窃取用户数据与作为供应链投递点。
升级至上述修复版本；清点站点安装的贡献模块并确认是否位于已知利用路径内，无法立即升级时对相关路由做访问限制与虚拟补丁，加强站点文件完整性与 Webshell 检测。
OpenBSD本地提权PoC可拿root
The Hacker News 报道，安全公司 Calif 在 OpenBSD 发布修复后公开了本地提权利用与完整 PoC：通过串联一个约 37 年前的整数溢出与另一内核缺陷，可在 OpenBSD 7.9 上获取 root，并绕过 KARL 内核地址随机化以及 SMAP/SMEP 硬件保护。
OpenBSD 常用于防火墙与关键小服务，任何获得低权限 shell 的主体（租户、CI、被入侵账户）都可能借此升至 root，使边界设备完全失守。
确认已应用 OpenBSD 对应 errata 并重启至修复内核；收敛可登录的本地账户与共享 shell 主机，监控本地程序的异常内核调用行为与提权后的配置变更。
02恶意软件与僵尸网络
FortiOS漏洞投递ARM64恶意软件
The Hacker News 报道，一个疑似高级威胁组织被观测到利用 Fortinet FortiOS 的 CVE-2025-61624（CVSS 5.4，命令行解释器中的路径穿越缺陷，影响 FortiOS、FortiPAM、FortiProxy 与 FortiSwitchManager）投递此前未公开的内存驻留 ARM64 恶意软件 PEERSTITCH；报道标题指出该恶意软件可绕过对已标记 VPN 会话的检查。
目标从 x86 服务器转向 ARM 边缘设备（防火墙/PAM/代理/交换机管理面板），内存驻留使重启即清除、磁盘取证难留痕，VPN 会话检查绕过可能导致边界策略被静默穿透。
升级 FortiOS/FortiPAM/FortiProxy/FortiSwitchManager 至修复 CVE-2025-61624 的版本；审计 CLI 解释器的异常路径穿越调用与会话标记校验日志，为 ARM 边缘设备补充内存采集与出站流量基线告警。
03攻击战术与技术
Silent Lynx四条感染链袭CIS政府
The Hacker News 报道，威胁组织 Silent Lynx 被归因于针对独联体（CIS）国家政府机构的新一轮攻击，活动时间从 2025 年 6 月持续到 2026 年 8 月，包含四条不同感染链，使用带宏文档、PS2EXE 下载器、托管在 GitHub 上的 PowerShell 以及构造的 WinRAR 压缩包，最终投递反弹 shell。
政府办公网被长期控制；载荷托管在 GitHub 等可信域名使基于信誉的出站拦截失效，归档类入口可绕过常规 Office 宏阻断策略。
更新 WinRAR 并禁用压缩包内的自动执行/脚本联动；检测 Office 派生子进程、ps2exe 编译产物与从 GitHub raw 下载脚本再本地执行的链式行为，对政府/NGO 终端收紧 PowerShell 与出站白名单。
04钓鱼与社工
CISA与FBI警示选举官员遭钓鱼
CISA 与 FBI 联合发布 PSA，就 2026 年美国中期选举期间的网络威胁警告选举与竞选工作人员：恶意行为者可能使用钓鱼与短信钓鱼（smishing）窃取登录凭据与其他敏感信息，或在目标设备上安装恶意软件；由于可接触选民登记数据、现任官员与竞选敏感信息，选举官员、候选人与政治组织被视为有吸引力目标，且攻击内容愈发贴近合法通讯。
凭据失窃可直接导致邮件账户接管、选民数据外泄与内部系统被入侵，政治类组织通常缺少企业级身份防护，成为攻击者的低阻力入口。
为相关账户启用抗钓鱼 MFA（FIDO2/WebAuthn）、限制第三方 OAuth 授权与应用密码，收敛通讯录对外可见性，部署短信/语音钓鱼意识培训并建立可疑讯息上报流程。