思科安全邮件网关零日缝隙遭现实利用

颁布功夫 2026-09-16
1. 思科安全邮件网关零日缝隙遭现实利用


9月15日，思科周一忠告客户，影响安全电子邮件网关设备的零日缝隙已被现实利用。该缝隙被鉴别为CVE-2026-76461，CVSS评分为9.8。思科将其描述为AsyncOS软件中的一个电子邮件解析问题，攻击者能够远程利用该缝隙，无需身份验证即可在底层操作系统上以root权限执行肆意号令。这家科技巨头诠释说，攻击者能够利用这个严沉缝隙，通过在精心机关的电子邮件中向指标用户发送恶意SQL语句来执行这些语句。思科暗示，其产品安全应急响应幼组（PSIRT）于2026年9月发现了CVE-2026-76461缝隙，但并未泄漏有关该零日缝隙攻击的细节，目前尚不明显幕后黑手是谁。该公司已颁布入侵指标（IoC），但指出由于威胁行为者能够获得设备上的root权限，因而他们能够删除或暗藏IoC来覆盖其踪影。该安全缝隙会影响任何配置下的安全电子邮件网关的物理版本和虚构版本，安全电子邮件和Web治理器以及安全Web设备不受影响。


https://www.securityweek.com/root-rce-zero-day-in-cisco-secure-email-gateway-under-active-exploitation/


2. Telegram桌面版HTML导出职能曝存储型XSS缝隙


9月15日，Telegram Desktop的HTML导出职能存在存储型跨站剧本缝隙。攻击者可通过机械人内联键盘按钮，在谈天纪录中植入不私见JavaScript代码，埋伏数月，待用户导出纪录并用浏览器打开HTML文件时执行。攻击者无需参与指标谈天，转发新闻即可传布。问题本原在于导出时键盘按钮文本未经算帐直接写入HTML，导致标签被当作真实象征执行。触发后，注入代码可读取新闻、发件人、功夫戳等元数据并发送至攻击者服务器，还可获取文件本地蹊径、篡改页面内容。该缝隙已存在两年多，2024年2月引入，3月进入不变版4.15.1。钻研人员6月3日汇报后，Telegram于2026年6月建复，首个不变建复版为7.0.1，7月14日颁布。但更新客户端无法建复旧版导出的HTML文件，恶意代码仍可执行，对留存纪录用于合规或调查的组织组成风险。建议更新后沉新天生导出文件，将旧HTML文件视为不成信。


https://securityaffairs.com/199076/security/telegram-desktop-flaw-could-turn-old-chat-exports-into-data-theft-traps.html


3. CenterPoint Energy 749万客户信息被窃


9月15日，休斯顿公用事业公司CenterPoint Energy近日披露了一路数据泄露事务，部门客户的幼我信息遭到泄露。事务起因于一名使用别号“4d722e4d656f77”的网络威胁者在网上发帖，宣称从该公司窃取了749万条客户纪录，内容蕴含姓名、电话号码、服务和账单地址、账号、账单金额以及部门社会保险号码。该威胁者暗示，因公司忽视其信息、将其当作笑话，遂决定泄露数据。据其称，攻击方式是通过遍历CenterPoint公共API上的数百万个ID来窃取数据，而该API不足快率限度、Web利用法式防火墙�；ぜ捌渌し雷远蛹陌踩胧�。CenterPoint Energy在提交给美国证券买卖委员会的文件中证实数据被盗，但未泄漏威胁行为者身份、受影响客户数量及被泄露数据的具体类型。公司暗示，调查仍在进行中，已确定未经授权的第三方通过公司面向表部的系统获取了部门客户的幼我信息，正持续与第三方专家合作以确定事务影响领域，并筹算依照合用司法要求通知受影响的客户和监管机构。


https://www.bleepingcomputer.com/news/security/centerpoint-energy-confirms-customer-data-stolen-in-cyberattack/


4. BambooToken利用MQTT和谈攻击多国系统


9月15日，网络安全钻研人员披露，代号BambooToken的恶意软件利用MQTT和谈节造Windows和Linux系统，至少自2023年2月起活跃，攻击亚洲和南美洲组织机构，最近一次检测在2026年7月。Lumen Black Lotus Labs于2026岁首在VirusTotal上发现该恶意软件，以为出自技术高明且此前未被发现的攻击者，初始接见蹊径尚未确定。攻击者使用Tendyron公司的“OnKey”软件将恶意软件侧载到指标机械。Tendyron出产用于高安全环境验证身份的硬件令牌，其PKI USB令牌流通量达1.9亿枚。只管其代码署名证书和构建环境未遭粉碎，但攻击者疑似利用易受DLL侧加载攻击的二进造文件触发攻击。早期BambooToken通过.DAT文件提取C2地址，失败则回退到硬编码地址。后续版本侧载恶意DLL文件“OnKeyToken_KEB.dll”，由Tendyron OnKeySrv法式进入MQTT通讯循环。截至2025年12月，攻击领域已扩大至Linux主机。该恶意软件能网络宽泛主机信息，并提供Windows防病毒插件，使用WMI框架网络已装置防病毒产品详情并泄露至C2服务器，有关域名使用Cloudflare代理。


https://thehackernews.com/2026/09/bambootoken-malware-uses-mqtt-to.html


5. HBO Max官方账号遭黑客入侵用于恶意告白攻击


9月15日，黑客入侵Reddit上的HBO Max官方账号，利用其提议恶意告白活动，跳转至ClickFix着陆页。48幼时内，攻击者通过五个钓饵组推送108个恶意告白，作为PasteSwitch活动的一部门。攻击者利用已验证的u/hbomax账户，针对macOS和Windows用户推广并不存在的HBO Max原生macOS利用。点击告白疏导用户至仿照HBO Max官网的hbomaxx[.]us，其下载按钮打开ClickFix提醒框，诱导用户复造号令并在终端运行，从而将执行权限转移至可信系统实用法式。在macOS上，攻击依附curl | zsh传布MacSync、AMOS Helper、虚伪钱包利用等恶意软件，窃取痛处、新闻、浏览器及加密钱币钱包信息并获得悠久接见权限。在Windows上，则利用MSHTA和PowerShell传布Amatera Stealer并实现悠久化，该恶意软件通过伪造Facebook衔接绕过网络遥测，暗藏C&C通讯。PasteSwitch还使用AnimateClipper和ZigClipper作为剪贴板代替工具，在用户买卖时互换加密钱币地址。剪贴板窃取者使用托管在区块链上的C&C服务器，该基础设施可能一年多前已搭建。


https://www.securityweek.com/hacked-hbo-reddit-account-used-for-malware-delivery-via-clickfix-attack/


6. CISA忠告勒索团伙利用VMware vCenter缝隙


9月15日，美国网络安全和基础设施安全局（CISA）忠告安全团队，勒索软件团伙现已参与在进行的攻击，利用VMware vCenter的一个关键缝隙，该缝隙已于7月份得到建复。博通公司于7月29日解决了该安全缝隙（编号CVE-2026-59310），并将其描述为vCenter Syslog服务器中的一个严沉目录遍历缝隙，未经身份验证的攻击者能够利用该缝隙执行肆意代码。该公司其时在补充常见问题解答中忠告客户，将建复该缝隙视为垂危情况并尽快装置补丁。两周后，数字取证和事务响应公司QUIRSO汇报称，在疑似高级持续性威胁攻击者起头利用该缝隙部署反向SSH工具以实现悠久性和远程接见后，发现47个国度/地域的361个IP地址遭到入侵。几天后，CISA将CVE-2026-59310增长到其已知利用缝隙目录中，并号令当局机构在三天内�；て鋠Center系统。周末期间，CISA再次更新KEV目录，将该安全缝隙象征为勒索软件团伙在积极利用的缝隙。


https://www.bleepingcomputer.com/news/security/cisa-critical-vmware-vcenter-rce-flaw-now-exploited-by-ransomware-gangs/