安全情报日报 2026-10-30
01漏洞与在野利用
Fragnesia 内核缺陷被串入 PHP2Shell 攻击
CISA 要求联邦机构修补一个高危 Linux kernel 本地提权缺陷：PHP2Shell 攻击者已在在野攻击中把它与 PHP 侧缺陷串联使用。来源文本未给出该内核缺陷的 CVE 编号与受影响发行版范围。
已拿到 Web 应用初始立足点的攻击者可借内核提权取得整机 root，影响承载 PHP 服务的 Ubuntu、RHEL 等服务器发行版与容器节点。
按 CISA 通告口径尽快升级各发行版内核软件包；对外暴露的 PHP 宿主优先处理，并回溯 Web 进程派生的异常子进程与本地提权行为。
ASA/FTD VPN 缺陷入 KEV 联邦限期处置
Polymarket 国际站 10 月 29 日暂停交易：前端引入的第三方 DebugBear RUM 监控脚本被劫持注入恶意代码，数分钟内盗走用户资产；一名交易员自述损失约 800,000 美元，平台确认系第三方供应商被入侵并承诺赔偿全部受影响用户，但未披露受害账户数与总金额。分析指出该链路的 CSP 与 SRI 防护均未能拦住脚本注入；交易其后已恢复。
依赖 ASA/FTD SSL VPN 的远程接入边界可被远程打崩造成业务中断，且已被官方确认存在在野利用；来源文本未给出攻击方归因。
升级 Cisco Secure Firewall ASA Software 与 Cisco Secure FTD Software 至厂商修复版本；核查设备异常重启与 VPN 服务日志；联邦侧按 BOD 26-04 与取证要求处置。
https://www.cyberkendra.com/2026/10/polymarket-hack-debugbear-script-drains-wallets.html
PHP2Shell 被用于攻打公网暴露的防火墙管理口
Palo Alto Networks 于 2026-10-29 更新通告：攻击者正在利用 PHP2Shell 缺陷，针对暴露到公网的管理界面已观测到在野利用。当日该条来源文本未给出具体 CVE 编号与受影响管理界面版本范围。
设备管理口通常握有全网配置权限，被取得代码执行位等同于边界设备整体失守；问题根源是管理面暴露公网这一配置禁忌。
立即清查可被公网访问的管理界面并收敛到管理网或 VPN 之后；升级 PHP 至修复 PHP2Shell 的版本，并按厂商通告更新设备固件。
跟进 2026-10-14 报道：GitLab 缺陷首次入 KEV
跟进 2026-10-14 报道的 GitLab 最高严重级缺陷 CVE-2026-97229：2026-10-29 它首次被 CISA 列入已知被利用漏洞目录 KEV，即官方确认在野利用，处置要求为按厂商指引修补并按 BOD 26-04 执行。
自建 GitLab 的团队面临代码托管与流水线被远程利用的风险，仓库内容与 Runner、流水线凭据是攻击者的直接目标。
按 GitLab 厂商指引升级并核查资产对外暴露程度；美国联邦侧按 BOD 26-04 与取证要求限期处置，无可用缓解措施时停用该产品。
Alpine 自建 GitLab 遭 CVSS 10.0 缺陷攻击
Alpine Linux 于 2026-10-28 披露：有攻击者在其自建 GitLab 服务器上尝试利用 CVE-2026-97229（CVSS 10.0），该缺陷可通过 CI 配置中构造的正则表达式在 GitLab 服务器上执行代码，时点在 GitLab 发布修复约一周后；未发现攻击得手证据。
各类自建 GitLab（包括上游发行版自身的基础设施）的 CI 配置入口成为直接目标，一旦成功即可获得服务器代码执行位，波及仓库与 Runner 凭据。
确认 GitLab 已升级到修复版本并复核对外暴露面；排查可疑合并请求的 CI 配置文件与 Runner 任务记录。
WS_FTP Server 未认证可取管理员凭据
NVD 于 2026-10-29 收录 CVE-2026-84295（10.0）：Progress 软件 WS_FTP Server（Windows）存在身份验证不当，未认证远程攻击者可获取含管理员凭据的敏感信息。受影响版本为 2024.0.6 与 2025.0.3 之前的版本。
文件传输服务器常持有多方上传凭据与后端共享路径权限，管理员凭据泄露会把单点缺陷放大为整条传输链路失陷；来源文本未提及在野利用。
将 WS_FTP Server 升级到 2024.0.6 或 2025.0.3 及以上；限制管理控制台对外暴露，并轮转其上保存的账号与凭据。
Mendix SAML 断言重放可绕过身份验证
CISA 发布 ICS 通告：Mendix SAML 模块存在身份验证绕过，未认证远程攻击者可在 IdP-initiated 认证流程中重放有效 SAML 断言获取未授权访问（CVE-2026-89209）。西门子已为受影响版本发布更新并建议升级。
以 IdP-initiated 方式接入企业门户与低代码应用的 Mendix 环境，身份验证边界可被一条重放的断言绕过；来源文本未提及在野利用。
将 Mendix SAML 模块升级到 4.2.4 及以上（Mendix 9/10/11 兼容线均涉及）；同时在身份提供方侧核查断言重放检测与来源限制。
PowerProtect Data Domain 硬编码加密密钥
NVD 于 2026-10-28 收录 CVE-2026-86384（9.8）：Dell PowerProtect Data Domain 使用硬编码加密密钥，具备远程访问能力的未认证攻击者可能利用，厂商描述文本在后果处截断。受影响范围含 Feature Release 7.7.1.0 through 8.8 以及 LTS2024、LTS2025、LTS2026 各线。
备份与归档存储是勒索事件中的最后防线，硬编码密钥意味着远程未认证方可能绕过数据保护边界；来源文本未提及在野利用。
按 Dell 通告核对 Feature Release 7.7.1.0 through 8.8 与 LTS 各线版本并升级；收敛 Data Domain 管理面的网络可达范围，仅允许备份管理网访问。
7.7.1.0
02供应链 / CI-CD
Polymarket 前端脚本遭第三方投毒用户资产被盗
Polymarket 国际站 10 月 29 日暂停交易：前端引入的第三方 DebugBear RUM 监控脚本被劫持注入恶意代码，数分钟内盗走用户资产；一名交易员自述损失约 800,000 美元，平台确认系第三方供应商被入侵并承诺赔偿全部受影响用户，但未披露受害账户数与总金额。分析指出该链路的 CSP 与 SRI 防护均未能拦住脚本注入；交易其后已恢复。
预测市场的资产托管在前端签名链路上，一个被信任的统计脚本即可把站点变成攻击面：数分钟内完成注入与盗币，说明 Web3 前端第三方依赖是与热钱包并列的独立失陷通道；同日币安热钱包案与之构成双重警示。
Web3 与高价值站点应立即清点前端第三方脚本（RUM/analytics），对脚本加载实施 SRI 哈希固定、CSP 收紧与变更监控；用户侧对钱包授权做额度限制，事发后轮换授权。
https://www.theblock.co/news/defi/2026-10-29-polymarket-exploit-2-5-million-cancel-only-mode-432158 https://thecybersecguru.com/news/polymarket-frontend-supply-chain-attack-debugbear/ https://www.cyberkendra.com/2026/10/polymarket-hack-debugbear-script-drains-wallets.html
03恶意软件与僵尸网络
UAT-11473 用 SD-WAN 缺陷部署 KeyDrift
被标记为 UAT-11473 的新 APT 团伙被观测到利用 CVE-2026-20127（Cisco Catalyst SD-WAN 控制器身份验证绕过缺陷）部署自定义恶意软件框架 KeyDrift。同事件的厂商侧披露称该框架用于复制站点间加密流量的密钥并留存备用。
取得 SD-WAN 控制器即掌握全网路由与站点加密材料，密钥留存使攻击者可长期被动解密分支互联流量；边界设备运维方首当其冲。
核对 Catalyst SD-WAN 控制器是否已修复 CVE-2026-20127；按披露排查控制器上的 KeyDrift 框架痕迹，并对站点间加密密钥做轮转。
04区块链基础设施
币安热钱包被盗约 5.912 billion 美元，疑起点为工程师笔记本
Binance 10 月 29 日深夜遭攻击者清空热钱包，Chainalysis 估算被盗约 5.912 billion 美元（2025 年 Bybit 案 1.5 billion 的近四倍，为加密史上最大盗窃），Glassnode 口径 5.3 billion、Arkham 标注攻击者钱包超 5.7 billion。币安初步调查指向一名 DevOps 工程师的笔记本被入侵：攻击者借此进入服务容器并提交未授权提现交易；官方声明称未发现钱包私钥泄露证据，将发布详细技术 post-mortem。全部存取款暂停，在稳定币发行商、链方与执法协助下已冻结约 3 billion（从 2.54 上调），并承诺承担全部损失。链上追截同步进行：Arbitrum 安全委员会动用紧急权限把 74.56 million 枚 ARB 移出攻击者钱包冻结。Chainalysis 同时强调，目前尚无任何机构或分析公司对本次失窃做团伙归因；被盗规模也已超出币安用户安全基金（SAFU）的既有储备，链上追截若继续，缺口还可能收窄。
事件把热钱包运维链路而非链协议本身暴露为交易所最脆弱面：一台工程师笔记本即可签发提现，说明内部机器与容器边界是资金安全的单点；数十亿美元外流同时引发市场连锁（BTC 承压、多家交易场所如 Gate 声明未受影响但将冻结流入关联资金），并测试稳定币发行商冻结能力的上限。 失窃额超过 SAFU 储备意味着赔付承诺直接压向交易所自身资产负债表，是本轮事件对行业信任层的最大考验。
等待币安官方技术 post-mortem（已承诺发布）；持币者关注存取款恢复公告与赔付流程；平台方应立即复核：工程师终端 EDR 覆盖、CI/CD 与服务容器的提现签名权限分离、热钱包提现策略的链上限额与多签时间锁；机构可对大额 UTXO 走受监管托管。
https://www.theblock.co/news/markets/2026-10-29-binance-investigating-hack-suspicious-outflows-5-billion-432171 https://www.cyberkendra.com/2026/10/binance-hot-wallet-hack-3-billion.html https://investinglive.com/cryptocurrency/chainalysis-estimates-5-9b-stolen-in-suspected-binance-hack-nearly-4-times-bybit/