安全情报日报 2026-11-01
01漏洞与在野利用
Ivanti ICS 缺陷列入 KEV 且可串成免认证 root
CISA 于周五把两个影响 Ivanti Connect Secure（ICS）的缺陷列入 Known Exploited Vulnerabilities（KEV）目录，理由是有在野利用；报道称攻击者把三个 ICS 缺陷串联后拿到免认证 root。清单内 CVE-2026-111357 评分 8.8，属关键功能缺失认证类型。来源文本未给出修复版本号。
承载远程接入的边界网关被无凭据取得设备最高权限，等于把进入内网的通道交给对方；已确认后果是 KEV 目录收录与在野利用。
按 KEV 口径限期处置 ICS 设备：核对厂商安全公告中的修复版本并完成升级；回查设备配置改动、异常管理会话与证书替换，无法立即升级的先收敛管理面与对外暴露。
WordPress RCE 补丁后 24 小时被试 63,000 次
来源称威胁行为者在补丁发布后随即尝试利用一个 WordPress Core 高危 RCE 缺陷，24 小时内出现近 63,000 次利用尝试。该缺陷没有 CVE 编号，影响 WordPress Core versions 4.7 through 7.1.3，评分 8.1，修复补丁已于 10 月发布。
已确认后果是被自动化利用尝试大规模围攻；暴露人群是尚未升级到修复版本的 WordPress 站点，一旦被打通即为远程代码执行。
立即升级到厂商已发布的修复版本（来源给出的受影响区间为 4.7 至 7.1.3）；对暂不能升级的站点在反向代理与 WAF 侧拦利用请求，并回查异常 PHP 子进程、新增管理员账号与被改写的主题/插件文件。
Thales Sentinel Keys 溢出可夺 SYSTEM 权限
NVD 于 2026-10-30 收录 CVE-2026-78403，评分 9.8：Windows 版 Sentinel Keys Server 同时存在栈缓冲区溢出与缺失授权，服务不校验 HTTP 请求第一个字段的长度，攻击者构造请求发往该服务即可能以 NT AUTHORITY 的 SYSTEM 身份远程执行代码。厂商通告给出的受影响范围未在来源文本中列全。
暴露人群是自建许可/密钥服务的 Windows 服务器：这类服务持有授权与密钥根，一旦被打通即以系统最高权限落地；来源未提及在野利用。
先把 Sentinel Keys Server 的监听面限制到可信管理网段并阻断外部 HTTP 可达；按厂商通告确认受影响版本后升级；主机侧核查以 SYSTEM 运行的异常子进程与对密钥库文件的访问。
Hitachi Energy TRO600 缺陷可用于 RCE 与信息泄露
CISA 发布 ICS 通告 ICSA-26-302-02：Hitachi Energy 确认 TRO600 系列存在多个缺陷，可被用于远程代码执行与敏感信息泄露，CVSS v3 7.5，涉及 CVE-2026-10756 与 CVE-2026-106087；受影响版本含 TRO600 的 ≤9.2.1.6 与 ≤9.1.1.0、9.2.2.1、9.1.2.0 组合。缺陷类型为对通信通道未做预期端点限制与关键功能缺失认证。
以 ICS 通告形式发布，暴露面落在关键基础设施的运维网络；已确认后果类型是可远程执行代码并读取敏感信息，来源未提及在野利用。
按通告的 Recommended Immediate Actions 做缓解与修复；把 TRO600 的通信通道限制到预期端点，为关键功能补上认证；厂商修复版本以通告列出版本为准，不可升级的做网络分段与可达面收敛。
9.2.1.6 9.1.1.0 9.2.2.1 9.1.2.0
vLLM 图片入口可串 Ghostscript 执行代码
GHSA 披露 vLLM 缺陷 CVE-2026-115915，评分 8.1：vLLM 0.30.0 的 ImageMediaIO 把攻击者可控图片字节直接交给 Pillow 做格式自动识别且不限制可解格式，标注为 image/png 的 EPS 载荷可到达宿主机 Ghostscript；若宿主 Ghostscript 含 CVE-2024-29510，即串出已知沙箱逃逸，造成拒绝服务或 RCE。修复版本 0.32.0。
运行 vLLM 做多模态推理的服务节点暴露在一条由图片输入通向宿主代码执行的路径上；来源未提及在野利用或公开 PoC。
升级 vLLM 至 0.32.0；在推理服务入口限制可接受图片格式并禁止 EPS 类载荷；核对宿主 Ghostscript 是否已修补 CVE-2024-29510，并把该可执行文件的可达面收敛。
imgproxy ICO 整数溢出可致崩溃或 RCE
GHSA 通告 imgproxy（go 模块 github.com/imgproxy/imgproxy）ICO 加载器整数溢出，评分 9.8：加载器读取 32 位攻击者可控的 data_size 后按 data_size + BMP_FILE_HEADER_LEN 分配内存，加法在分配前回绕，随后写入 ICO 前缀并按原始声明长度从欠分配区起读取，形成堆溢出。修复版本 4.0.16，后果为拒绝服务并可能通向远程代码执行。
暴露人群是把 imgproxy 放在图片处理链路上、接受远端可控图片来源的服务（对象存储、CDN 回源、用户上传）；来源未提及在野利用或公开 PoC。
升级到 4.0.16；对图片处理入口限制可接受格式并在网关侧拒收 ICO 类请求；无法立即升级的实例把 imgproxy 运行在最小权限与隔离容器中。
02供应链 / CI-CD
Polymarket 被盗元凶脚本确认为 DebugBear
跟进 2026-10-30 报道的 Polymarket 前端供应链事件，增量是把攻击载体明确到具体第三方脚本：来源称 2026 年 10 月 29 日的入侵经由 DebugBear RUM 脚本完成，并给出时间线、CSP 与 SRI 为何没能挡住以及防御建议。
已确认后果是用户钱包被划走（前端会话被第三方脚本劫持）；暴露人群是所有通过脚本管理器注入 RUM/监控类脚本的站点，单点脚本变更即可绕过既有 CSP 与 SRI。
清点站点加载的第三方脚本（含 DebugBear 这类 RUM/性能监控），能移除的移除；保留的固定具体版本并配置 SRI，收紧 CSP script-src 白名单；对前端资源做完整性与变更告警。
https://thecybersecguru.com/news/polymarket-frontend-supply-chain-attack-debugbear/
03勒索软件与数据泄露
勒索团伙 genesis 七天新增 10 家受害者
RansomLook 跟踪数据显示，勒索团伙 genesis 近 7 天在泄密站发布 10 条帖子、涉及 10 家受害者，最新发现时间 2026-10-30。被点名对象包括 A&B Lab、EAS Engineering、Illinois Work Injury Resource Center (IWIRC) 等小型企业与专业服务机构。
受害面是员工规模有限的企业与律所、工程咨询类机构，名单在泄密站公开意味着相关机构的内部资料已进入对外公布流程。
名单内机构按泄密站公布情形做取证、凭据轮换与对外通知；同类中小企业核查离线备份可用性、暴露的远程接入面与邮件钓鱼防护。
04区块链基础设施
币安 63 亿美元被盗，起点是 DevOps 笔记本失陷
跟进 2026-10-30 日报的可疑转账报道：币安把约 6.3 billion 美元（约合 63 亿美元）加密资产被盗与一台被入侵的 DevOps 笔记本联系起来，区块链分析人士把攻击归因于 North Korean 黑客。此前通报的可疑转账早期估算最高 5.8 billion 美元，一天后媒体口径上修为 6.3 billion。
失陷入口是工程师终端而不是链上协议本身：一台被控的 DevOps 工作站足以撬动全球最大加密货币交易所的签名侧控制，用户资产损失量级已达 6.3 billion 美元。
把热钱包签名环境与运维终端硬隔离（专用签名主机、跳板与人工复核，禁止运维笔记本直连签名基础设施）；清点工程师终端对密钥管理系统的可达路径与保存的凭据；用户侧赔付与恢复口径以交易所公告为准。
https://securityaffairs.com/202119/cyber-crime/6-3-billion-stolen-from-binance-in-attack-attributed-to-north-korea.html
币安被盗用到 EIP-7702，HSM 未能拦截
跟进 2026-10-30 报道的币安事件，增量在机制层：来源把 2026 年 10 月 29 日约 6.3 billion 美元被盗归因于攻击者滥用 EIP-7702，并说明为什么 HSM 没能拦住这类授权，同时列出交易所必须改动的部分。
凡是把链上账户抽象/授权委托能力接入签名流程的托管方与自建热钱包运维都在同一暴露面上：已确认后果是约 6.3 billion 美元资产被转走，硬件密钥设备不是这条通道的边界。
清点热钱包与签名服务是否暴露 EIP-7702 类授权写入路径，限制外部可触发的委托授权；对签名策略与账户代码变更做链上告警；按来源建议重做托管签名流程评审。
https://thecybersecguru.com/news/binance-hack-eip-7702-crypto-custody/