安全情报日报 Security Intelligence Daily — 2026-10-30
========================================================

头条：币安热钱包被盗约 5.912 billion 美元

  入选 11 条，在野 8：头条是币安热钱包被盗，Chainalysis 估算约 5.912 billion 美元、初步指向一名
  DevOps 工程师笔记本被入侵，币安称私钥未泄露、已冻结约 3 billion 并将发布技术复盘；同日 Polymarket
  前端第三方脚本被投毒，一交易员自述损失 800,000 美元后暂停交易。漏洞面 GitLab 的 CVE-2026-97229
  与 Cisco ASA/FTD 的 CVE-2026-76418 新入 KEV。口径：币安用户等官方复盘与恢复公告，Web3
  站点清点第三方脚本并上 SRI，KEV 项限期修。

共 11 条。字段：类别 | 在野状态 | 置信度 | 来源
--------------------------------------------------------

[1] Fragnesia 内核缺陷被串入 PHP2Shell 攻击
    (vuln | 在野利用 | 置信medium | 分82)
    摘要：
      CISA 要求联邦机构修补一个高危 Linux kernel 本地提权缺陷：PHP2Shell 攻击者已在在野攻击中把它与
      PHP 侧缺陷串联使用。来源文本未给出该内核缺陷的 CVE 编号与受影响发行版范围。

[2] Mendix SAML 断言重放可绕过身份验证
    (vuln | 置信high | 分67)
    摘要：
      CISA 发布 ICS 通告：Mendix SAML 模块存在身份验证绕过，未认证远程攻击者可在 IdP-initiated
      认证流程中重放有效 SAML 断言获取未授权访问（CVE-2026-89209）。西门子已为受影响版本发布更新并建议升级。

[3] PowerProtect Data Domain 硬编码加密密钥
    (vuln | 置信medium | 分66)
    摘要：
      NVD 于 2026-10-28 收录 CVE-2026-86384（9.8）：Dell PowerProtect Data
      Domain 使用硬编码加密密钥，具备远程访问能力的未认证攻击者可能利用，厂商描述文本在后果处截断。受影响范围含
      Feature Release 7.7.1.0 through 8.8 以及 LTS2024、LTS2025、LTS2026
      各线。

[4] 跟进 2026-10-14 报道：GitLab 缺陷首次入 KEV
    (vuln | 在野利用 | 置信high | 分76)
    摘要：
      跟进 2026-10-14 报道的 GitLab 最高严重级缺陷 CVE-2026-97229：2026-10-29
      它首次被 CISA 列入已知被利用漏洞目录 KEV，即官方确认在野利用，处置要求为按厂商指引修补并按 BOD 26-04
      执行。

[5] ASA/FTD VPN 缺陷入 KEV 联邦限期处置
    (vuln | 在野利用 | 置信high | 分80)
    摘要：
      Polymarket 国际站 10 月 29 日暂停交易：前端引入的第三方 DebugBear RUM
      监控脚本被劫持注入恶意代码，数分钟内盗走用户资产；一名交易员自述损失约 800,000
      美元，平台确认系第三方供应商被入侵并承诺赔偿全部受影响用户，但未披露受害账户数与总金额。分析指出该链路的 CSP 与 SRI
      防护均未能拦住脚本注入；交易其后已恢复。

[6] Alpine 自建 GitLab 遭 CVSS 10.0 缺陷攻击
    (vuln | 在野利用 | 置信high | 分74)
    摘要：
      Alpine Linux 于 2026-10-28 披露：有攻击者在其自建 GitLab 服务器上尝试利用
      CVE-2026-97229（CVSS 10.0），该缺陷可通过 CI 配置中构造的正则表达式在 GitLab
      服务器上执行代码，时点在 GitLab 发布修复约一周后；未发现攻击得手证据。

[7] PHP2Shell 被用于攻打公网暴露的防火墙管理口
    (vuln | 在野利用 | 置信medium | 分77)
    摘要：
      Palo Alto Networks 于 2026-10-29 更新通告：攻击者正在利用 PHP2Shell
      缺陷，针对暴露到公网的管理界面已观测到在野利用。当日该条来源文本未给出具体 CVE 编号与受影响管理界面版本范围。

[8] WS_FTP Server 未认证可取管理员凭据
    (vuln | 置信medium | 分68)
    摘要：
      NVD 于 2026-10-29 收录 CVE-2026-84295（10.0）：Progress 软件 WS_FTP
      Server（Windows）存在身份验证不当，未认证远程攻击者可获取含管理员凭据的敏感信息。受影响版本为 2024.0.6
      与 2025.0.3 之前的版本。

[9] UAT-11473 用 SD-WAN 缺陷部署 KeyDrift
    (malware | 在野利用 | 置信medium | 分78)
    摘要：
      被标记为 UAT-11473 的新 APT 团伙被观测到利用 CVE-2026-20127（Cisco Catalyst
      SD-WAN 控制器身份验证绕过缺陷）部署自定义恶意软件框架
      KeyDrift。同事件的厂商侧披露称该框架用于复制站点间加密流量的密钥并留存备用。

[10] 币安热钱包被盗约 5.912 billion 美元，疑起点为工程师笔记本
    (crypto-infra | 在野利用 | 置信medium | 分92)
    摘要：
      Binance 10 月 29 日深夜遭攻击者清空热钱包，Chainalysis 估算被盗约 5.912 billion
      美元（2025 年 Bybit 案 1.5 billion 的近四倍，为加密史上最大盗窃），Glassnode 口径 5.3
      billion、Arkham 标注攻击者钱包超 5.7 billion。币安初步调查指向一名 DevOps
      工程师的笔记本被入侵：攻击者借此进入服务容器并提交未授权提现交易；官方声明称未发现钱包私钥泄露证据，将发布详细技术
      post-mortem。全部存取款暂停，在稳定币发行商、链方与执法协助下已冻结约 3 billion（从 2.54
      上调），并承诺承担全部损失。链上追截同步进行：Arbitrum 安全委员会动用紧急权限把 74.56 million 枚
      ARB 移出攻击者钱包冻结。Chainalysis
      同时强调，目前尚无任何机构或分析公司对本次失窃做团伙归因；被盗规模也已超出币安用户安全基金（SAFU）的既有储备，链上追截若继续，缺口还可能收窄。

[11] Polymarket 前端脚本遭第三方投毒用户资产被盗
    (supplychain | 在野利用 | 置信high | 分80)
    摘要：
      Polymarket 国际站 10 月 29 日暂停交易：前端引入的第三方 DebugBear RUM
      监控脚本被劫持注入恶意代码，数分钟内盗走用户资产；一名交易员自述损失约 800,000
      美元，平台确认系第三方供应商被入侵并承诺赔偿全部受影响用户，但未披露受害账户数与总金额。分析指出该链路的 CSP 与 SRI
      防护均未能拦住脚本注入；交易其后已恢复。

--------------------------------------------------------
口径与全文版：https://sid-daily.pages.dev
本文件由 SID 流水线自动生成；数字/实体均经机械校验对照来源原文。