01漏洞与在野利用
OpenSSH 空口令账号可用任意长口令登入
编号 CVE-2026-123158、代号 *sshole 的 OpenSSH sshd 认证绕过由 Horizon3.ai 公布：在使用 musl libc 且不通过 PAM 校验口令的 Linux 上（含 Alpine Linux 默认 openssh-server），sshd 用 crypt() 比对口令，而 musl 对超过 256 字节的输入返回错误标记 *，恰好与"该账号未设口令"的存储值相同，于是 257 到 1,024 字节的任意口令都能登入密码字段为 * 的账号。OpenSSH 项目已于 2026-11-05 发应急版本 10.6p2，Alpine 为 3.16 至 3.24 各分支发布修复包；漏洞根因可追溯到 2016 年修 CVE-2016-6210 用户名枚举时引入的代码路径。威胁情报机构 Previdian 观测到 CVE 公布后不到九小时即出现首次利用尝试，并已确认一台运行 Alpine 与 OpenSSH 的蜜罐被拿到 root，来源 IP 定位在日本。
暴露面是容器基础镜像与轻量云主机常用的 Alpine/musl 形态：只要 openssh-server 未接 PAM、PasswordAuthentication 为默认的 yes、机上有一个密码字段为 * 的账号（key-only 用户、root、经 musl-nscd 的目录服务用户），且另有任一账号带 $5$ 或 $6$ 口令散列，一次连接即可稳定登入，无需窃取凭据或密钥。Alpine 官方还点名 tiny-cloud 云镜像的 alpine 用户带 * 口令且可免密 doas 提权，等于拿到入口即拿到 root；root 仅在 PermitRootLogin yes 时才被直接命中。glibc 发行版、走 PAM 的 openssh-server-pam（UsePAM yes）与 Dropbear 不受影响。
升到 OpenSSH 10.6p2；Alpine 侧执行 apk upgrade -U -a 并务必重启 sshd（升级软件包不会替换运行中的守护进程）——修复包对应 edge 10.6_p2-r0、3.24 10.3_p1-r2、3.23 10.2_p1-r1、3.22 10.0_p1-r11、3.21 9.9_p2-r1，3.16 至 3.20 同样已发布；无法即时升级则设 PasswordAuthentication no 后重启，并先确认密钥登录可用。取证口径：在 /var/log/messages 中核查无口令账号（alpine、root、key-only 用户）出现的 "Accepted password for" 记录，复核 doas 使用与新建用户、文件与 authorized keys；无法排除登录即视为已失陷。
https://alpinelinux.org/posts/2026-11-05-openssh-password-authentication-bypass/ https://www.openssh.com/releasenotes.html
SonicWall SSL-VPN 可绕过 SAML 强制 MFA
CISA 于 2026-11-06 将 CVE-2026-19868 列入已知被利用漏洞目录（KEV），目录条目定性为 Use of Single-factor Authentication Vulnerability，产品为 SonicWall SonicOS SSLVPN，并据 BOD 26-04 要求联邦民事机构在 2026-11-20 前处置。NVD 官方记录评 7.5，厂商 SNWLID-2026-0014 评 7.1：持有同一设备上另一种登录方式的有效凭据即可绕过 SAML 认证控制，连带绕过 SAML 强制多因子认证，且只在 SSL-VPN 服务启用 SAML 认证时可触发。SonicWall PSIRT 说明已调查到一份关于该漏洞被利用的报告，同一通告一并修复七个 SonicOS 缺陷，其中两个管理面缺陷评 8.8。
暴露人群是把 SonicOS SSL-VPN 当作远程入口并用 SAML 统一身份与 MFA 的机构：攻击者不需要破密，只要手上有任一同设备的替代认证凭据（本地账号等）就能越过 SAML 强制 MFA。KEV 收录等于官方确认已在野利用，而非理论风险；通告同时列出的还有 SSL-VPN 与 TACACS+ 的预认证缓冲区溢出可致拒绝服务，以及影响虚拟 appliance 的弱口令散列问题。
升级到 SNWLID-2026-0014 列出的 7.3.4-7013（Gen7）或 8.2.3-8015（Gen8），厂商明确无可用临时缓解；受影响的版本范围为 Gen7 7.3.3-7015 及更早、Gen8 8.2.2-8015 及更早。按 KEV/BOD 26-04 复核资产互联网暴露面并留证（Forensics Triage Requirements）：排查 SSL-VPN 日志中经非 SAML 方式登录后建立的会话，收紧同设备多认证方式并存的账号，并对管理面暴露的 Gen7/Gen8 设备一并打补丁。
LXD 允许一个 Guest 抢占邻居存储卷
GHSA-hhf9-qw4v-72xp 收录 CVE-2026-12411，CVSS 8.4：LXD 的 guest 可把其他 guest 的 custom storage volume 挂载到自己容器的 /dev/lxd 并读写其内容。DevLXD 存储 API 本应阻止访问非自有卷，但实例的 device-update 挂载路径没有做属主校验；修复版本为 0.0.0-20260626085133-7cb96ac80a6d，触发前提是项目开启 security.devlxd.management.volumes。
面向同一 LXD 项目里多租户共存的环境（托管池、CI 构建机）：任一 guest 都能读取甚至改写邻居卷的内容，跨租户隔离被打通，数据与被注入的配置可直通到下一层。来源未提到在野利用，属需按补丁计划处置的隔离缺陷。
升级到 0.0.0-20260626085133-7cb96ac80a6d 及以上；不能即时升级则关闭项目的 security.devlxd.management.volumes，或避免不同租户共享同一项目；审计现有实例的 device 配置里是否出现非自有卷挂载，并把跨 guest 卷读写纳入异常检测。
02供应链 / CI-CD
CISA 与 NSA 发后量子厂商评估问卷
CISA 与澳大利亚信号局下属 ACSC、NSA 于 2026-11-05 发布联合指引与配套 quick-reference list，主题是向供应商问询后量子密码（PQC）就绪度：在具有相关算力的量子计算机（CRQCs）可用之前，公钥密码即可被破解，组织必须先完成迁移规划。指引点名两类高危对象——依赖第三方托管服务与云能力的组织，以及密码嵌入其中、资产生命周期长、只能靠厂商支持或整体更换的系统（工业控制系统与 IoT 设备）。
采购侧的密码学债务被正式并入 ICT 供应链风险口径：答不清算法与协议迁移计划的供应商，把风险转嫁给客户方的长生命周期资产与 ICS/IoT 设备。对需要长期保密的数据与身份体系而言，先收集后解密场景没有缓冲期，清点与合同谈判的窗口就在当下。
按指引的 vendor-neutral 问题清单逐项问询托管服务、云与固件供应商：是否理解量子相关风险、有无密码清单与算法/协议迁移时间表、是否提供混合方案与可测试环境；组织侧先完成密码学清点（哪些系统仍用传统公钥算法、哪些数据必须长期保密），并把 PQC 迁移承诺写入采购门槛与合同条款。
03区块链基础设施
币安复盘假面试到签名服务攻击链
币安在 2026-11-03 发布事件报告，把 10 月 29 日约 6.3 billion 资产被盗定性为"复杂的分阶段行动"，并明确写明这不是孤立的单次入侵或简单钓鱼事件：6 月一名 Wallet DevOps 工程师（Engineer A）从搜索引擎下载了被植入木马的 Homebrew 安装器，虽被安全团队检出、更换设备并轮换凭据，但其岗位与钱包基础设施团队信息已暴露给攻击者；9 月另一名工程师（Engineer B）在真实招聘平台被自称项目总监的人安排两轮面试，假 HR 在视频面试中分享社交账号建立信任，收尾时被要求下载含恶意代码的"作业"仓库到工作电脑；10 月 20 日攻击者借 Engineer B 的终端与被攻陷的内部 AI 工具拿下 Engineer A 与软件工程师 C，并在 10 月 29 日 17:15 至 19:56 使用从 A 处窃取的凭据部署容器、触发恶意脚本，通过内部钱包签名服务发起正常提现流程之外的交易。FBI 已把该案归因给与 Lazarus 关联、以假招聘与窃密著称的朝鲜组织 TraderTraitor。
攻击者不需要拿到私钥，只要掌握能提交签名请求的容器部署权限与内部 AI 工具的横向能力，即可让签名服务按"合法"路径放行资产。暴露人群是所有把签名/提现能力接入 DevOps 工具链与内部 AI 助手的加密机构与 Web3 用人流程：Chainalysis 统计同类假面试手法在过去 18 个月已造成超过 14.3 million 美元损失、涉及数十起"面试即导致钱包失陷"的前案，币安也称今年以来已挫败 57 起疑似朝鲜关联的网络威胁事件。
把外部候选人当作不可信第三方处理：面试与"作业"只能在隔离账户与受管虚拟机上执行，禁止把工作仓库直接跑在个人开发机、禁止在生产终端上安装未经审核的包管理器脚本（本案起点即被篡改的 Homebrew 安装）；把内部 AI 工具的权限与人的登录会话解耦，避免用 AI 工具反查他人令牌；复核容器部署令牌与签名服务的调用来源、限额与延迟提现窗口。对已发生损失，按币安补救清单自查——重建钱包系统与新环境、更换受影响设备、退役相关工程师的凭据与令牌、全量终端扫描并加强 AI 行为异常检测。
币安 3.11 billion 被盗币尚未清洗
Elliptic 最新跟踪把币安 2026 年 10 月 29 日被盗总额定为 6.43 billion，其中约 3.11 billion（以 ETH 与 BTC 为主）仍停在攻击关联地址、尚未清洗；攻击者已在 16 条链上动用超过 20,000 个钱包、涉及至少 36 个服务与约 65,000 笔交易，平均约 30 秒新开一个钱包，呈高度自动化。约 2.85 billion（占总额 44%）已被冻结或查扣，主要来自 Tether 与 Circle 等稳定币发行方在事发一小时内响应。存量里 18,270 BTC（事发时约值 1.5 billion）当天被分散到 19 个地址后再未移动，9 个主要地址持有攻击者 ETH 的 89%；至 11 月 6 日约 124 million 被盗代币已被换成约 1,650 BTC。
追赃仍在窗口期：主体资产未被清洗、近半已冻结，说明链上透明度与发行方协同仍能限制损失，交易所与执法的冻结/拒付路径依然有效——Elliptic 认为这些存量高度可能仍在朝鲜控制下，FBI 已把攻击归因给 TraderTraitor。风险的另一面是攻击者尚未开始大规模出金，后续仍会持续跨链拆分与兑换，凡涉及对手方为这批地址的业务都长期暴露在污名化与合规判定压力之下。
把 Elliptic 公布的涉案地址与其免费的 Binance exploit blocklist 同步进风控与准入名单，对 19 个 BTC 地址、9 个 ETH 大户地址及新开盘钱包（本案平均每 30 秒新增一个）保持实时标注与拒付；内部大额提现复核签名限额与延迟窗口，参照 11 月 6 日已有 124 million 被兑换成 BTC 的事实把跨链桥与兑换服务列为优先监控点。
https://decrypt.co/382711/3-1b-in-stolen-binance-crypto-has-yet-to-be-laundered-elliptic https://www.elliptic.co/insights/how-north-korea-is-laundering-the-6-4-billion-stolen-from-binance/ https://crypto-economy.com/elliptic-3-1b-in-stolen-binance-crypto-still-untouched/
链上取证拆穿 Mercado Bitcoin 止损口径
Bitquery 对 11 条链的取证复核显示，巴西交易所 Mercado Bitcoin 在 11 月 2 日被转走 48.6 million 美元，高于其最初对外口径的 40 million；以太坊热钱包在 24 分钟内以 $29.5M 逐 token 外流，随后攻击者开始逐个签名掏空客户存款地址——以太坊上 36,042 个地址在 12:27 至 16:56 UTC 间把余额全部交给对方，而交易所在 12:56 UTC 就宣称攻击已被控制，存款地址在此后约四小时仍在被扫。稳定币发行方冻结 11.8 million（Tether、Circle、Paxos 为主），攻击者在 11 月 3、4 日经 MetaMask 兑换服务把 136 种代币中的 11.9 million 换成 ETH，其后持有 8,678 ETH，比特币地址上的 106.07 BTC 至今未动。
受害面从平台热钱包扩到客户存款地址：交易所为每个客户地址持有签名能力，攻击者拿到签名路径后即可逐地址扫走——本案被扫的存款地址中 91% 余额不足 10 美元，而持有 100 美元以上的 113 个地址占了这笔小钱的 61%。更关键的是对外口径与链上事实相差约四小时，客户与合作方据此做出的止损与信任判断不可靠；交易所自 11 月 2 日起暂停存取款，同时 BitMart 也称自身遭连带入侵，事发前 53 分钟起约 424k 美元已先从与 BitMart 关联的钱包被转走。
客户应核对 11 月 2 日 12:27 至 16:56 UTC 之间自有存款地址的转出记录并留存证据；平台侧需按取证结论重做事件边界判定与全部签名密钥轮换，并对客户存款地址的派生与签名系统单独取证，而不是再发一次 containment 声明；对 MetaMask 兑换路径、跨链桥与已冻结的 11.8 million 保持标注，向 Tether/Circle/Paxos 的冻结协作记录归档。
https://decrypt.co/382670/mercado-bitcoin-hack-contained-blockchain-data https://bitquery.io/investigations/mercado-bitcoin-hack
前 FBI 反间谍探员盗查扣钱包认罪
据美检方材料与报道，前 FBI 反间谍探员 Patrick Steven Yaroch 于 11 月 5 日就电信欺诈与洗钱认罪：他用 FBI 系统内持有的调查凭据访问与 35 起在办调查相关的钱包（含调查对象、被反间谍监控的对手国家行为体，以及至少一个 FBI 自建操作钱包），自 2024 年 12 月起至 2026 年 7 月 31 日分约 100 笔转走 2,474,380.66 美元——Decrypt 快讯口径写作 2.5M。他把助记词背下来而不落纸以规避痕迹，FBI 内部监控全程未报警，最终于 7 月 28 日自首；量刑定于 2027 年 3 月 4 日，最高面临 20 年。
查扣资产与自建操作钱包的签名能力完全落在单一持有人权限内，检方确认该行为损害了 FBI 用于境外情报收集的 sources and methods。这是所有托管私钥机构的同型风险：内部人无需入侵即可搬走资产，且持续 20 个月无人发现。报道还提到他 6 月 4 日向 ChatGPT 咨询如何把约 1 million 美元换成欧盟居留、6 月 15 日已授权律师办理葡萄牙税号——跑路准备与资产转移并行。
对查扣/托管资产凭据做"知道即能取"的隔离：助记词分人分片、转出走多人与多重签名并设延迟窗口，任何对已归集资产的转账触发与案件/资产台账联动的告警；对内部凭据库执行全量访问审计与逐笔对账（本案搜查当天仅约 925,000 美元被转回政府控制地址，其余仍未追回）。
https://decrypt.co/382695/former-fbi-agent-pleads-guilty-to-stealing-2-5m-in-crypto-from-35-investigations https://www.tftc.io/fbi-agent-guilty-crypto-theft-35-investigations-yaroch