安全情报日报 2026-10-27
01漏洞与在野利用
MCP Toolbox 可外泄主机文件
NVD 于 2026-10-26 收录 CVE-2026-93328，评分 9.3：Google Cloud MCP Toolbox for Databases（googleapis/mcp-toolbox）versions 1.2.0 through 1.4.0 的 cloud-storage source 同时存在路径穿越与缺失授权，未认证远程攻击者通过构造的 tool invocation 参数即可把主机文件外泄到外部 Google Cloud Storage 桶，并覆写任意本地文件。
暴露人群是网络可达的 MCP Toolbox 部署，尤其是配置了 cloud-storage source 的推理与数据服务；来源确认的后果是主机文件被外送与本地文件被任意覆写。
核对 googleapis/mcp-toolbox 版本是否落在 1.2.0 through 1.4.0，升级到厂商修复版本；同时限制 cloud-storage source 可读写路径与可访问的 Google Cloud Storage 桶，按未授权可达的口径排查存量资产。
OpenHands 智能体 SDK 未认证 RCE
NVD 于 2026-10-26 收录 CVE-2026-112346，评分 9.8：OpenHands Software Agent SDK before 1.52.0 存在未认证远程代码执行问题——DockerWorkspace 与 Apptainer workspace 启动器把 sandbox agent server 绑定到所有网络接口（0.0.0.0），并把 session_api_keys 置为空列表，等于默认关闭认证。能访问到发布端口的攻击者可发送未认证的 HTTP 与 WebSocket 请求。
暴露人群是把智能体沙箱端口直接放到网络上、又沿用默认空 session_api_keys 的 OpenHands 部署；这类入口在无任何凭据的情况下即可被执行侧请求。
升级到 1.52.0 及以上；同时检查 DockerWorkspace/Apptainer 启动方式，避免 agent server 监听 0.0.0.0，并为 session_api_keys 配置非空密钥。
0.0.0.0
Pillow FPX 解码堆溢出可致执行
GitHub 安全公告 GHSA-5x8w-8jj5-q52h（CVE-2026-112398）定级 critical：Pillow 的 FlashPix (FPX) JPEG-tile 解码器存在堆缓冲区溢出，应用只要用 Image.open() 打开一个精心构造的文件就可能被任意代码执行。由于该文件是按内容（OLE2 magic）而非扩展名被识别，任何打开或给不可信上传做缩略图的服务都在受影响范围内；修复版本为 13.0.0。
暴露人群是用 Pillow 处理用户上传图像的服务，如缩略图、预览与格式转换流水线；入口只需一次打开构造文件，且按扩展名过滤无法拦住。
升级到 pillow 13.0.0；排查所有以 Image.open() 接收不可信上传的服务面，公告中 CVSS 数值未给出（CVSS 0），按 critical 等级排修复优先级。
MSAL Node 授权码流程参数外泄
GitHub 公告 GHSA-xcx6-jx8p-x3h5（CVE-2026-109461）定级 high、CVSS 7.5：@azure/msal-node 因 Origin 校验错误，在 auth_code 流程中可能把参数透露给攻击者控制的端点，让未授权攻击者通过网络获取信息。Version 7.1.0 and higher are patched，临时缓解是调用 acquireTokenByCode 时只传入 auth_code。
暴露人群是用 MSAL Node 实现授权码登录的 Node.js 应用，包括企业 SSO 与内部工具；来源确认的后果限于信息泄露，未提及在野利用或凭据被滥用的实例。
升级到 @azure/msal-node 7.1.0 及以上；暂不能升级时按公告 workaround 只向 acquireTokenByCode 传入 auth_code，并复核回调端点的 Origin 校验。
mem0 Databricks 向量库 SQL 注入
GitHub 公告 GHSA-7587-9684-52r6（CVE-2026-115324）定级 critical、CVSS 8.1：mem0 0.1.117 before 1.0.8 的 mem0/vector_stores/databricks.py 未对存储的记忆内容做转义，攻击者通过构造的 memory text、metadata 或 message name 影响 insert() 与 update() 的字符串拼接，即可在配置好的 Databricks SQL warehouse 上执行注入的 SQL。修复版本 1.0.8。
暴露人群是接入 Databricks 后端的 mem0 记忆层部署：任何可让外部内容写入记忆的入口，都可能被转化为在 SQL warehouse 上执行攻击者提供的 SQL。
升级到 mem0ai 1.0.8；约束可写入记忆的 memory text、metadata 与 message name 来源，并收紧 Databricks SQL warehouse 侧账号权限。
PHP 五天内二次重发 Windows 包
跟进 2026-10-24 关于同一 Brotli 缺陷的报道：PHP 在五天内第二次更新官方 Windows 安全包，为 PHP 8.2 through 8.5 重新构建以修复 CVE-2026-111497。该缺陷位于包内自带的 Brotli 压缩库，可造成内存破坏并可能执行代码。PHP 说明它可经 cURL 扩展在自动解压 HTTP 响应时被触达，而该行为在 cURL 默认配置中是关闭的。
暴露人群是在 Windows 上运行 PHP 官方构建、并显式开启 cURL 自动解压 HTTP 响应的服务端；未开启该行为时按来源口径风险显著降低。
Windows 侧 PHP 8.2 through 8.5 使用者重新下载并安装重建后的官方包；暂不能更新时确认 cURL 扩展未开启自动解压 HTTP 响应。
02供应链 / CI-CD
Gheist 用 GitHub 令牌窃云端密钥
来源报道披露一场仍在进行的供应链攻击：攻击者把窃取到的 GitHub 令牌武器化，用来窃取云端机密。报道描述该行动正在从数千个开发者仓库中收割凭据与敏感数据；来源未给出攻击载体、受害清单、时间起点与修复方案。
暴露人群是持有 GitHub 令牌、且仓库或流水线可触达云凭据的开发团队与 CI 环境；来源已确认的后果是凭据与敏感数据被批量收割，目标是云侧密钥。
按令牌维度全量轮换与吊销，清点可读取云 Secrets 的 GitHub 令牌与第三方授权；来源未提供具体工具或版本号，先收敛令牌暴露面并核查仓库访问日志。
03勒索软件与数据泄露
团伙 the gentlemen 周受害 44 家
跟进 2026-10-19 关于同一团伙的推送：RansomLook 数据显示 the gentlemen 近 7 天在泄密站发布 44 条帖子、涉及受害者 44 家，较上次推送时的 37 家增加 7 家，最新发现时间 2026-10-26。受害者样例包括 Atlas Stamping Manufacturing、Belmont Resorts、Conax Technologies 等。
暴露人群是被公布的中小型制造、酒店与网络服务商主体，来源给出的样例含 Atlas Stamping Manufacturing、Belmont Resorts；已确认后果是相关主体名出现在泄密站帖子中。
对照 the gentlemen 泄密站公布清单核查自身供应链与客户重合度；来源未给出该团伙的入侵手法与工具版本，按勒索暴露面通用口径处置。
04钓鱼与社工
攻击者借 Teams 冒充 IT 支持投递
研究者指出一种反复出现的社工模式：在数百起案例中，攻击者使用 Microsoft Teams 的外部聊天创建功能实施冒充诈骗或投递恶意软件。来源提到这些事件里行为高度一致——复用同一批一次性 tenant、使用同一套 IT 支持身份话术，标题层面还点名其被用于投放勒索软件。
暴露人群是接受 Teams 外部联系人或陌生会话的企业与机构终端；已确认后果是用户被诱导执行远程协助类操作，进而被投递恶意软件与勒索软件。
收紧租户的外部聊天与陌生人联系策略，明确一线 IT 支持不会通过外部陌生聊天发起远程协助；来源未给出具体版本号，处置口径落在租户策略与用户核验流程。