安全情报日报 2026-10-20
01漏洞与在野利用
Plex2Shell 漏洞链遭在野利用部署挖矿后门
The Hacker News 报道，威胁行为者已开始利用 Plex Media Server 上被称为 Plex2Shell 的四个漏洞组合投放加密货币挖矿程序与反向代理软件，时间点在公开 PoC 出现一天之后；活动细节由网名 boredhackerblog 的研究者披露。
暴露于公网且未升级的 Plex 媒体服务器可被直接接管，沦为挖矿算力与代理出口节点，并可能成为进入内网的初始立足点。
立即升级 Plex Media Server 到修复版本；不要将服务直接暴露公网，改走带认证的访问路径；排查异常外联、可疑反向代理进程与持续高 CPU 占用。
日立能源 SOI 现 ActiveMQ 代码执行漏洞
CISA 通告 ICSA-26-279-04 指出 Hitachi Energy SOI 产品内置的 Apache ActiveMQ 组件存在远程代码执行漏洞 CVE-2026-34197（CVSS v3 8.8，代码注入类），影响 SOI 2.0.0 至 2.2.0 版本，可被用来破坏产品的机密性、完整性与可用性，部署范围覆盖全球能源行业。
SOI 常用于能源行业的数据集成层，中间件被攻破后攻击者可在 OT/IT 交汇点获得立足位，进而不受认证依赖地读写流经的消息数据。
按通告的 Recommended Immediate Actions 升级或实施缓解；限制 ActiveMQ 监听端口仅在受信网段可达，核查该组件是否被运维网段以外访问。
02供应链 / CI-CD
Rank Math PRO 官方下载包被植入后门
Rank Math 官方安全公告称，在 10 月 15 日 20:02 UTC 到 10 月 16 日 07:12 UTC 之间从 rankmath.com 下载或作为更新推送的 Rank Math PRO 副本含有恶意代码，凡安装并激活过这些副本的站点都应视为已失陷；该后门可自我修复，恶意软件通过官方渠道完成投递。
官方站点与自动更新通道被污染，用户即使只从正规来源获取插件也会中招；站点被长期驻留后门后，可被用于挂马、凭据窃取与二次载荷投放。
比对该时间窗内的插件下载与更新记录，按干净版本重装并做文件完整性基线核查；重置站点管理员密码、API 密钥与会话凭据，排查自愈残留与计划任务。
GhostAction 团伙用假字体投毒 94 个仓库
发起 GhostAction 供应链攻击的威胁行为者已从向被入侵项目注入恶意 GitHub Actions 工作流，扩展到对开源开发者实施钓鱼并投递伪装成字体文件的凭据窃取木马；OpenSourceMalware 详细披露了这一手法演进，涉及 94 个 GitHub 仓库。
攻击面从项目仓库转移到维护者终端，开发者凭据一旦外泄会连带污染签名制品与 CI/CD 密钥，形成二次供应链风险。
限制未审查的第三方 Actions 与自托管 runner 权限，启用 workflow 审批；对字体、工具包类下载做来源与哈希核对；轮换近期在开发机和 CI 中使用过的 token 与密钥。
假 Web3 加速器借 npm 包投放窃密木马
Elastic 观察到一家假冒的 Web3 加速器以免费领取 Anthropic Claude 与 Google Gemini 的 AI 额度、编码工具和安全审计为诱饵，使用恶意 npm 包向 Windows 与 macOS 系统投递信息窃取器和后门，并劫持 AI Agent 流量。
区块链与 AI 开发环境被直接感染，钱包密钥、凭据与助记词面临外泄；对 AI Agent 流量的劫持还会把风险扩散到下游自动化与模型调用链路。
屏蔽来路不明的 npm 包与镜像源，锁定依赖版本并启用签名/构建溯源校验；开发终端与密钥管理隔离，并部署针对 npm postinstall 与外联行为的检测。
03勒索软件与数据泄露
勒索团伙 qilin 一周新增 35 名受害者
RansomLook 跟踪数据显示，勒索团伙 qilin 近 7 天在泄密站发布 35 条帖子，涉及 35 家受害者，最新发现时间为 2026-10-20。受害样例包括 BRUTRA Logistek、Belcorp、Brame Telecom 以及墨西哥 Victoria 市供水与排污委员会等机构。
该团伙处于连续大规模活跃期，受害面覆盖物流、电信、市政水务与零售等行业，被入侵的组织面临数据被公开与业务中断的双重压力。
复核对外暴露的远程接入面（VPN、RDP、邮件网关）的补丁与 MFA 状态；清理 MSP/第三方账号通道；确保离线备份可用并更新勒索事件响应预案。
04重大安全事件
ShinyHunters 泄密站疑由谈判公司高管运营
KrebsOnSecurity 获悉，正在追查 ShinyHunters（近期窃取过 FBI 高度敏感数据）的美国联邦调查人员已识别出两家勒索谈判公司的高管与该勒索团伙关系异常密切；接近调查的消息人士称，其中一名美国高管甚至帮助 ShinyHunters 运营用于向受害者施压付款的网站。
勒索响应链条中的第三方谈判角色出现信任缺口，企业在事件处置期间交给谈判方的敏感信息可能被回传给攻击方，扩大数据外泄与合规风险。
把谈判服务商纳入勒索预案的尽调范围：限定其可访问的最小信息集、要求书面留存审计，并对谈判期间外泄的敏感内容做事后独立复核。