任天堂Switch曝缝隙，分享二维码存隐衷风险

颁布功夫 2026-09-15

1. 任天堂Switch曝缝隙，分享二维码存隐衷风险


9月11日，任天堂督促初代Switch用户更新主机，此前该公司披露了一个安全缝隙，可能露出通过智能手机分享屏幕截图或视频的玩家隐衷。该缝隙编号为CVE-2026-82079，影响运行23.0.0版本之前软件的Nintendo Switch主机。这家日本视频游戏巨头在表部安全钻研人员汇报后于周四披露了该缝隙，但布告中未提及钻研人员姓名。该缝隙影响Switch的本地无线网络，阐发为基于仓库的缓冲区溢出。处于无线信号领域内的攻击者可能利用此缝隙向节造台发送网络流量并在其上执行代码。对玩家而言，利用必要相当具体的前提。任天堂暗示，攻击者必要直接扫描Switch或衔接的电视上显示的二维码。当玩家使用“发送到智能手机”职能传输屏幕截图或视频，以及在《马里奥赛车实况：家庭赛路》中使用卡丁车时，会出现这些代码。任天堂忠告，若是攻击者可能扫描这些二维码之一，他们可能运行未经授权的代码或获取存储在游戏机上的信息。


https://cybernews.com/security/nintendo-switch-update-qr-code-security-flaw/


2. ScreenConnect严沉缝隙遭蠕虫攻击利用


9月14日，ConnectWise已颁布垂危补丁，建复ScreenConnect远程接见和支持软件中一个严沉缝隙，该缝隙已被蠕虫状攻击利用。该安全缺点被追踪为CVE-2026-84869（CVSS评分9.9/10），描述为短缺授权和权限治理不当。ConnectWise在布告中诠释，该缝隙会在ScreenConnect客户端中造成“在某些情况下，允许在未经授权或主机确认的情况下，通度日动的远程会话传输和执行文件”。9月初，网络安全公司Huntress发出忠告，称该缝隙自8月20日起已被恶意利用。作为观察到的事务的一部门，使用批改后的ScreenConnect事俘部署了四个VBScript文件，旨在成立悠久性并传布到其他ScreenConnect客户端。黑客利用社会工程学伎俩诱骗受害者执行恶意ScreenConnect客户端，而后这些客户端会查抄活动会话，并将VBScript有效载荷推送至已衔接的指标。ConnectWise已建复ScreenConnect 26.6.5版本中的缝隙，并督促用户尽快利用建复法式。作为一时缓解措施，建议禁用ScreenConnect中的TransferFiles权限。


https://www.securityweek.com/connectwise-patches-screenconnect-vulnerability-exploited-in-worm-like-attacks/


3. 恶意Twitch扩大泄露3.1万用户令牌


9月14日，一款名为“Twitch Enhanced Viewer | JeetBot”的恶意跨平台Twitch浏览器扩大，将近31,000名用户的OAuth令牌泄露给俄罗斯贸易机械人服务运营的代理服务器。该扩大在Chrome和Firefox商店别离占有约30,000和604名用户，截至发稿仍可下载。Socket安全钻研员Kush Pandya暗示，当前版本会将令牌作为&auth=查问参数经网络层沉定向直接转发给运营商代理服务器，用户旁观的每个频路城市转发令牌，但硬编码允许列表中的十个俄罗斯主播频路之表。该运营商是贸易化Twitch、Kick和VK-Live机械人SaaS提供商，占有宽泛Twitch主播权限。扩大虽宣称提供无告白和不受地域限度的内容，现实是将Twitch视频播放列表要求通过运营商节造的代理服务器路由，并发送用户OAuth令牌。令牌可启用对用户谈天、私信和账户设置的接见权限，且因位于URL查问字符串中会以明文写入代理服务器要求日志�？⒄呶牡挡几嫦允�，Firefox插件85.8.7版本已建复该问题，Chrome版本在审核中；新版本不再将用户OAuth令牌发送到代理。


https://thehackernews.com/2026/09/malicious-twitch-browser-extension.html


4. 日本数字厅24.6万条当局雇员信息泄露


9月14日，日本数字厅发现一路数据泄露事务，可能导致约24.6万条蕴含当局雇员幼我信息的纪录表泄。攻击者利用当局解决规划服务（GSS）所用VPN设备中的缝隙获得初始接见权限。6月25日，该机构发现一名守护和运营人员的账户遭到大规模文件接见，随后发展调查。7月9日，确认第三方利用VPN设备缝隙入侵系统并获取未经授权的接见权限。当天，机构暂停了有关守护和运维人员的账户，堵截了受损设备与表界的通讯，并阻止了进一步的未经授权接见。目前尚不明显受影响的具体VPN产品及被利用的缝隙，但日本网络安全机构暗示该问题严沉水平为中等，并非零日缝隙。调查显示，可能泄露的数据蕴含约23.6万个名字、23.1万个电子邮件地址、9.4万个电话号码及1000个实体地址，受影响人员蕴含当局雇员、公职人员以及使用GSS系统的有关企业和幼我。不外，公家的幼我数据并未泄露，可能泄露的信息也不蕴含我的号码鉴别码、银行账户具体信息或养老金号码。


https://www.bleepingcomputer.com/news/security/japans-digital-agency-says-vpn-flaw-exposed-246-000-personnel-records/


5. Vite开发服务器遭大规模扫描窃取云凭证


9月14日，针对露出在互联网上的Vite开发服务器的大规模扫描活动，正试图从AWS和Azure部署中窃取云凭证和配置。该操作利用了CVE-2026-39364高危缝隙，可绕过Vite 7.1.0至7.3.2及8.0.5之前8.x分支的文件读取/接见节造。缝隙于4月7日披露，允许未经身份验证的攻击者把持HTTP GET要求中的查问参数，绕过安全限度，以明文大局检索本不应接见的文件。F5通过蜜罐传感器检测到这些攻击，一个月内观察到800屡次攻击和约32,000个原始事务。攻击者通过附加特定查问参数，使服务器无法执行回绝列表过滤，并以HTTP 200返回指标文件。攻破系统后，扫描沉点是利用宽泛字典获取敏感信息，蕴含环境文件、AWS凭证文件、配置文件和备份、Azure痛处和接见令牌、Terraform状态和变量文件、无服务器配置/状态等。攻击还尝试了遍历和编码变体，蕴含双沉编码序列，以绕过反向代理或WAF规范化。恶意活动大多源自美国、比利时和荷兰，并利用谷歌云IP地址领域躲避。最活跃IP还利用了CVE-2025-30208、CVE-2025-31125和CVE-2024-45811等其他Vite接见节造缝隙。


https://www.bleepingcomputer.com/news/security/hackers-target-exposed-vite-dev-servers-to-steal-aws-azure-secrets/


6. 3BB宽带网络遭MeshCentral后门入侵


9月14日，威胁谍报公司Hunt.io暗示，一名攻击者埋伏在泰国最大宽带提供商之一3BB的网络内部，使用合法治理工具MeshCentral远程节造内部机械。该公司通过查抄攻击者留在互联网上的服务器发现入侵，该服务器保留着攻击者的工具及已节造机械列表。钻研人员于2026年6月3日捕获露出服务器，其时攻击仍在进行�８丛奈募允竟セ髡呋竦昧四诓糠衿鞯钠肴玶oot权限。为维持接见，攻击者装置了MeshCentral，将其配置成暗藏后门，代理法式向攻击者运行的节造服务器汇报，位于名为TH-3BB的设备组下�８丛纳璞噶斜硐允�，多台机械已衔接并以root权限运行，批注攻击者其时占有有效治理节造权限。攻击者还编写算帐剧本擦除日志并删除其他工具，同时有意保留MeshCentral代理以持续接见。在网络内部，攻击者不休扩大权限，通过SSH向超过55台内部推算机发送密码，探测3BB内部销售门户，并搜索存储的密码、数据库登录信息和SSH密钥，还可植入Web Shell并增长SSH密钥作为备用入侵伎俩。Hunt.io暗示，攻击者重要指标是3BB用户数据，服务器剧本用于复造存储宽带用户登录凭证的RADIUS数据库，但未发现数据被窃取。


https://thehackernews.com/2026/09/3bb-attacker-used-meshcentral-backdoor.html