安全情报日报 Security Intelligence Daily — 2026-11-08
========================================================

头条：OpenSSH 空口令绕过已出现在野利用尝试

  入选 8 条，在野 2 条，两条都落在认证入口：OpenSSH 空口令绕过披露后不到九小时即被试用于蜜罐；SonicWall
  SSL-VPN 靠另一种登录方式的凭据绕过 SAML 强制 MFA，已入 KEV。加密托管侧，币安复盘把 6.3 billion
  被盗还原成假面试到内部签名服务的路径，Elliptic 称 3.11 billion 仍未清洗；Mercado Bitcoin
  自称止住的攻击被链上取证推翻。先锁认证与签名权限，归因与追赃都在其后。

共 8 条。字段：类别 | 在野状态 | 置信度 | 来源
--------------------------------------------------------

[1] SonicWall SSL-VPN 可绕过 SAML 强制 MFA
    (vuln | 在野利用 | 置信high | 分84)
    摘要：
      CISA 于 2026-11-06 将 CVE-2026-19868 列入已知被利用漏洞目录（KEV），目录条目定性为
      Use of Single-factor Authentication Vulnerability，产品为
      SonicWall SonicOS SSLVPN，并据 BOD 26-04 要求联邦民事机构在 2026-11-20
      前处置。NVD 官方记录评 7.5，厂商 SNWLID-2026-0014 评
      7.1：持有同一设备上另一种登录方式的有效凭据即可绕过 SAML 认证控制，连带绕过 SAML 强制多因子认证，且只在
      SSL-VPN 服务启用 SAML 认证时可触发。SonicWall PSIRT
      说明已调查到一份关于该漏洞被利用的报告，同一通告一并修复七个 SonicOS 缺陷，其中两个管理面缺陷评 8.8。

[2] 前 FBI 反间谍探员盗查扣钱包认罪
    (crypto-infra | 置信medium | 分64)
    摘要：
      据美检方材料与报道，前 FBI 反间谍探员 Patrick Steven Yaroch 于 11 月 5
      日就电信欺诈与洗钱认罪：他用 FBI 系统内持有的调查凭据访问与 35
      起在办调查相关的钱包（含调查对象、被反间谍监控的对手国家行为体，以及至少一个 FBI 自建操作钱包），自 2024 年 12
      月起至 2026 年 7 月 31 日分约 100 笔转走 2,474,380.66 美元——Decrypt 快讯口径写作
      2.5M。他把助记词背下来而不落纸以规避痕迹，FBI 内部监控全程未报警，最终于 7 月 28 日自首；量刑定于 2027
      年 3 月 4 日，最高面临 20 年。

[3] CISA 与 NSA 发后量子厂商评估问卷
    (supplychain | 置信high | 分62)
    摘要：
      CISA 与澳大利亚信号局下属 ACSC、NSA 于 2026-11-05 发布联合指引与配套
      quick-reference
      list，主题是向供应商问询后量子密码（PQC）就绪度：在具有相关算力的量子计算机（CRQCs）可用之前，公钥密码即可被破解，组织必须先完成迁移规划。指引点名两类高危对象——依赖第三方托管服务与云能力的组织，以及密码嵌入其中、资产生命周期长、只能靠厂商支持或整体更换的系统（工业控制系统与
      IoT 设备）。

[4] OpenSSH 空口令账号可用任意长口令登入
    (vuln | 在野利用 | 置信high | 分86)
    摘要：
      编号 CVE-2026-123158、代号 *sshole 的 OpenSSH sshd 认证绕过由 Horizon3.ai
      公布：在使用 musl libc 且不通过 PAM 校验口令的 Linux 上（含 Alpine Linux 默认
      openssh-server），sshd 用 crypt() 比对口令，而 musl 对超过 256 字节的输入返回错误标记
      *，恰好与"该账号未设口令"的存储值相同，于是 257 到 1,024 字节的任意口令都能登入密码字段为 *
      的账号。OpenSSH 项目已于 2026-11-05 发应急版本 10.6p2，Alpine 为 3.16 至 3.24
      各分支发布修复包；漏洞根因可追溯到 2016 年修 CVE-2016-6210 用户名枚举时引入的代码路径。威胁情报机构
      Previdian 观测到 CVE 公布后不到九小时即出现首次利用尝试，并已确认一台运行 Alpine 与 OpenSSH
      的蜜罐被拿到 root，来源 IP 定位在日本。

[5] 币安 3.11 billion 被盗币尚未清洗
    (crypto-infra | 置信medium | 分76)
    摘要：
      Elliptic 最新跟踪把币安 2026 年 10 月 29 日被盗总额定为 6.43 billion，其中约 3.11
      billion（以 ETH 与 BTC 为主）仍停在攻击关联地址、尚未清洗；攻击者已在 16 条链上动用超过 20,000
      个钱包、涉及至少 36 个服务与约 65,000 笔交易，平均约 30 秒新开一个钱包，呈高度自动化。约 2.85
      billion（占总额 44%）已被冻结或查扣，主要来自 Tether 与 Circle
      等稳定币发行方在事发一小时内响应。存量里 18,270 BTC（事发时约值 1.5 billion）当天被分散到 19
      个地址后再未移动，9 个主要地址持有攻击者 ETH 的 89%；至 11 月 6 日约 124 million
      被盗代币已被换成约 1,650 BTC。

[6] 链上取证拆穿 Mercado Bitcoin 止损口径
    (crypto-infra | 置信medium | 分74)
    摘要：
      Bitquery 对 11 条链的取证复核显示，巴西交易所 Mercado Bitcoin 在 11 月 2 日被转走
      48.6 million 美元，高于其最初对外口径的 40 million；以太坊热钱包在 24 分钟内以 $29.5M 逐
      token 外流，随后攻击者开始逐个签名掏空客户存款地址——以太坊上 36,042 个地址在 12:27 至 16:56
      UTC 间把余额全部交给对方，而交易所在 12:56 UTC
      就宣称攻击已被控制，存款地址在此后约四小时仍在被扫。稳定币发行方冻结 11.8
      million（Tether、Circle、Paxos 为主），攻击者在 11 月 3、4 日经 MetaMask
      兑换服务把 136 种代币中的 11.9 million 换成 ETH，其后持有 8,678 ETH，比特币地址上的
      106.07 BTC 至今未动。

[7] 币安复盘假面试到签名服务攻击链
    (crypto-infra | 置信high | 分80)
    摘要：
      币安在 2026-11-03 发布事件报告，把 10 月 29 日约 6.3 billion
      资产被盗定性为"复杂的分阶段行动"，并明确写明这不是孤立的单次入侵或简单钓鱼事件：6 月一名 Wallet DevOps
      工程师（Engineer A）从搜索引擎下载了被植入木马的 Homebrew
      安装器，虽被安全团队检出、更换设备并轮换凭据，但其岗位与钱包基础设施团队信息已暴露给攻击者；9
      月另一名工程师（Engineer B）在真实招聘平台被自称项目总监的人安排两轮面试，假 HR
      在视频面试中分享社交账号建立信任，收尾时被要求下载含恶意代码的"作业"仓库到工作电脑；10 月 20 日攻击者借
      Engineer B 的终端与被攻陷的内部 AI 工具拿下 Engineer A 与软件工程师 C，并在 10 月 29 日
      17:15 至 19:56 使用从 A
      处窃取的凭据部署容器、触发恶意脚本，通过内部钱包签名服务发起正常提现流程之外的交易。FBI 已把该案归因给与 Lazarus
      关联、以假招聘与窃密著称的朝鲜组织 TraderTraitor。

[8] LXD 允许一个 Guest 抢占邻居存储卷
    (vuln | 置信high | 分66)
    摘要：
      GHSA-hhf9-qw4v-72xp 收录 CVE-2026-12411，CVSS 8.4：LXD 的 guest
      可把其他 guest 的 custom storage volume 挂载到自己容器的 /dev/lxd
      并读写其内容。DevLXD 存储 API 本应阻止访问非自有卷，但实例的 device-update
      挂载路径没有做属主校验；修复版本为 0.0.0-20260626085133-7cb96ac80a6d，触发前提是项目开启
      security.devlxd.management.volumes。

--------------------------------------------------------
口径与全文版：https://sid-daily.pages.dev
本文件由 SID 流水线自动生成；数字/实体均经机械校验对照来源原文。