安全情报日报 Security Intelligence Daily — 2026-11-10 ======================================================== 头条：OpenSSH SSHole 漏洞入选 KEV 今日入选 10 条，在野 7。KEV 线：SSHole 修复后约 40 小时即观测到成功利用，GPUStack 与 FreeSWITCH 同获 dateAdded，管理面与默认配置是重灾区；供应链线 Ethersphere 自家发布自动化被用来投毒，Qubole 的跨账号 IAM 角色则被拿去收割客户环境；勒索面 n0n 单周泄密 110 家。口径：KEV 按 BOD 26-04 限期修复，发布通道与第三方云信任按已失陷假设审计。 共 10 条。字段：类别 | 在野状态 | 置信度 | 来源 -------------------------------------------------------- [1] n0n 泄密站一周新增 110 家受害者 (ransomware | 置信high | 分76) 摘要： 跟进跨天跟踪：2026-11-07 日报推送时 n0n 近 7 天新增为 36 家，RansomLook 当前页显示 110 last 7 days、262 last 30 days、283 posts (all time)，最新发帖 2026-11-09 12:27，泄密站 30 天平均可用率 67%。增量 +74 触发跟进条件。本周名单高度集中在医药/生物科技：Ransomware.live 明细页显示 Cogent Biosciences, Inc. 于 2026-11-06 10:53 UTC 被公布，标注 [NOT PAID — EXPOSED]，被窃内容为肿瘤临床阶段公司的理赔分析环境——millions of patient claim rows with patient, claim and provider identifiers and full diagnosis code detail；同批 Company #199 至 #211 多为 oncology/neuroscience/免疫治疗类生物制药公司，分布在美国、法国、荷兰、爱尔兰、意大利。 [2] 世嘉确认邮件分发商泄露 219 万邮箱 (incident | 在野利用 | 置信medium | 分72) 摘要： 跟进 PHP2Shell 系列报道（2026-10-23/10-28 日报）后的受害方实名披露：Sega 确认在 Arara Message 邮件分发服务事件中泄露 2,196,044 个邮箱地址。三方标题所称 81 Million Email Addresses 属以讹传讹，经一手口径纠偏——日通/Jiji Press（nippon.com 转载）：Arara Message 运营方母公司 Paycloud Holdings 通告全事件泄露约 77 million 邮箱地址、波及使用该服务的多达 380 家公司的登记信息，且不包含信用卡号；原条目里的 7.13 million phishing emails 同为整个事件的口径而非世嘉单家。CyberSec Guru 把入侵链关联到 PHP2Shell（CVE-2026-109618、CVE-2026-109619），并描述借此横向移动至 97 台服务器；AUTOMATON 转述称 SEGA Accounts not affected，世嘉账号体系本身未受波及。 [3] OpenAM 伪造 SAML 断言可冒管理员登录 (vuln | 置信high | 分70) 摘要： NVD 2026-11-08 收录 CVE-2026-123550（评分 9.8）：OpenAM before 16.1.4 的 SAML v2.0 service provider 在 WantAssertionsSigned 为 false 时，对 ECP（PAOS）与 HTTP-Artifact 绑定接受未签名断言；未认证远程攻击者可提交伪造断言获得任意映射用户（包括管理员）会话，劫持依赖应用的单点登录。与 2026-11-09 日报所报 CVE-2026-123551（会话令牌被动窃取）同属本轮 OpenAM 修复批次的不同缺陷。 [4] Ethersphere 发布通道被投毒，密钥被盗 (supplychain | 在野利用 | 置信high | 分78) 摘要： Socket 调查（2026-11-09）：攻击者用 Ethersphere 项目自身的 GitHub 发布自动化推送恶意 @ethersphere/bee-js 13.3.0 上 npm、并发布被植入的 Swarm Desktop 0.56.2——恶意 bee-js 系把 scripts/generate-version.cjs 改写为远程加载器并挂进 postinstall hook；两版产物均从 api[.]frameworkmetrics[.]xyz 拉取 JavaScript、以完整 Node.js 权限执行，窃取 Swarm Desktop 为节点保存的钱包私钥与解锁口令，并在 Windows、macOS、Linux 装后门。该包由带有效 SLSA provenance 的合法 trusted-publishing workflow 发布，加载器在发布作业里运行了三次；npm 在发布约 75 分钟后下架 bee-js，Swarm Desktop 发行挂网约八个半小时后撤回，同一 CI 构建的全部九个平台包均带加载器。Socket 指认其合约、控制钱包与 stage-3 implant 与 10 月 Pluto Security 记录的 SleepyDuck/EtherDuck Open VSX 运动完全相同，并列出 43 条 IOC。恶意版本已下架、维护者已发干净更新，但官方口径明确：已装后门不会因此清除、已外发的密钥也救不回；截至报道尚无资金被盗报告。 [5] GPUStack 管理面板绕过入选 KEV，已在野利用 (vuln | 在野利用 | 置信high | 分76) 摘要： CVE-2026-102895（CVSS 9.8）由 CISA 于 dateAdded 2026-11-09 列入 KEV。GPUStack 是开源 GPU 集群管理与 AI 模型服务调度平台：NVD 官方记录指 Prior to 2.2.0 时，gpustack/api/auth.py 的 get_current_user 在 force_auth_localhost 为 false（默认值）时把回环来源请求当作内置管理员；client_ip_getter 接受同主机反代对端或客户端自报的 X-GPUStack-Real-IP，远程请求可伪装成 127.0.0.1。未认证攻击者由此获得管理面：改用户与模型、创建持久管理员 API key、读取 worker 与云服务商密钥，并经 POST /v2/inference-backends/from-yaml 执行代码。NVD 明确 Exploitation was observed in the wild against a 2.1.1 deployment，修复版本 2.2.0（GHSA-gj9m-f8ph-pmhr）。 [6] OpenSSH 口令绕过漏洞入选 CISA KEV (vuln | 在野利用 | 置信high | 分84) 摘要： 跟进 2026-11-08 日报 *sshole 分析：CISA 已于 dateAdded 2026-11-09 将 CVE-2026-123158（CVSS 8.1，代号 SSHole/*sshole）列入 KEV，确认在野利用。NVD 官方记录：sshd in OpenSSH before 10.6p2 on Linux，在 musl libc 无 PAM 时缺少口令认证绕过 workaround——攻击者对口令字段为 * 的账号提交超长口令（257 到 1024 bytes）即可一次登入；Alpine Linux 官方通告点明只需任意一个带哈希的账号存在，其余所有无口令账号即可达。BleepingComputer 汇总：修复与 PoC 同在 11 月 5 日发布，GreyNoise 于 11 月 7 日 00:46 UTC（约修复后 40 小时）记录首个成功在野利用，观测到 6 个源 IP 的 16 条成功利用链——登录后做系统与容器侦察、探测云元数据服务、读取口令哈希与 root SSH 密钥、改写 authorized_keys，一例已拿到 root 并安装 TAC Agent Python C2（其 C2 域名未能连通）。 [7] FreeSWITCH 漏洞入选 KEV，已在野利用 (vuln | 在野利用 | 置信high | 分75) 摘要： CVE-2026-116779（CVSS 9.8）由 CISA 于 dateAdded 2026-11-09 列入 KEV，厂商/产品 SignalWire FreeSwitch。NVD 官方记录：FreeSWITCH Prior to 1.11.3 的 sofia_presence_handle_sip_i_message() 按加号拆分入站 SIP MESSAGE 的 To user，把左半当作 chat 协议选择器；选中 api chat proto 即达 switch_api_execute()，凡 MESSAGE 被接受的 peer 都能以守护进程权限执行 FreeSWITCH API 命令、含操作系统命令汇。Inbound chat 在出厂 internal/external profile 即开启，只需任一认证 profile 账号；无口令材料的出厂 directory 用户还能移除这最后一道门槛。后果覆盖配置与凭据泄露、任意呼叫控制与命令执行，且 exploitation has been observed in the wild；修复版本 1.11.3（GHSA-mg63-h38w-8p9p）。 [8] imgproxy 畸形 ICO 可触发代码执行 (vuln | 置信high | 分66) 摘要： NVD 2026-11-08 收录 CVE-2026-123614（评分 9.8）：imgproxy from 4.0.0 before 4.0.16 的 ICO 加载器存在整数溢出，构造的 data_size 值使 vips/icoload.c 中的分配回绕，造成堆缓冲区溢出；远程攻击者可借畸形 ICO 图片令进程崩溃或达成代码执行。 [9] Qubole 跨客户 AWS 凭据被滥用 (supplychain | 在野利用 | 置信high | 分72) 摘要： Wiz CIRT 2026-11-09 调查（与 Sentra、Mandiant 联合，Sentra 先在自家客户环境识别出可疑活动并通报）：威胁行为者 between October 14 and October 26, 2026 使用属于 Qubole 关联 AWS 账号的 IAM 凭据，assume 客户为信任 Qubole 而创建的跨账号 IAM 角色；进入多个受害 AWS 环境后枚举资源、收集配置与 secrets、访问 S3 数据、并验证沿途发现的更多凭据。首个观测活动出现在 10 月 14 日，由一个 Mullvad VPN 的 IP（45.83.220[.]211）对集成的 IAM 角色发起 AssumeRole。Qubole 为 Idera 旗下数据湖平台；上游凭据如何失陷仍未披露，Wiz 提示可查其 Threat Intel Center 公告。 [10] Web3Auth 缺陷被利用，Keplr 钱包遭搬 (crypto-infra | 在野利用 | 置信high | 分76) 摘要： 首报口径已在多源间被修正：Crypto Briefing 复盘，资金于 the trouble started over November 6 and 7, 2026 从社交登录 Keplr 钱包流出，Web3Auth 当日确认漏洞并暂停 embedded wallet service；Bitquery 追踪到 Cosmos 生态超 44,041 个受影响钱包、Injective 链上另有 7,603 个，据此流传 $6.01 million 被盗——Web3Auth 公开反驳该数字：部分被当作盗窃的链上转账实为它借助攻击者同一通道做的 whitehat 救援，rescue 与抢劫在链上几乎无法区分。11 月 8 日 Web3Auth 发布经验证恢复地址清单，覆盖 11 条 Cosmos 系网络与 8 条 EVM 兼容链；Keplr 联创 Josh Lee 指根因在 Web3Auth 服务侧，约影响 Google/Apple 登录所建钱包的 20%，recovery phrase 与硬件钱包不受波及。 -------------------------------------------------------- 口径与全文版：https://sid-daily.pages.dev 本文件由 SID 流水线自动生成；数字/实体均经机械校验对照来源原文。