F5垂危建复BIG-IP APM零日缝隙
颁布功夫 2026-09-249月23日 ，F5颁布安全更新 ，以解决BIG-IP APM的一个关键零日缝隙 ，该缝隙正被用于远程代码执行攻击。BIG-IP APM（Access Policy Manager）是该公司的集中式接见治理代理解决规划 ，可援手治理员�；ざ宰橹纭⒗梅ㄊ健⒃坪屠梅ㄊ奖喑探涌冢ˋPI）的接见。该缝隙被追踪为CVE-2026-94127 ，当在虚构服务器上配置了BIG-IP APM接见战术和OAuth配置文件时 ，配置为OAuth授权服务器的事俘会受到影响。F5在周二颁布的安全布告中忠告称 ，该缝隙已被利用 ，仅将APM用作OAuth客户端/资源服务器（未配置OAuth授权服务器配置文件）的部署不受影响。该公司建议客户 ，若是检测到多个OAuth身份验证失败和可疑号令的组合 ，随后不久出现TMM SIGABRT ，则应查抄系统是否存在入侵指标。F5还分享了针对无法当即装置安全更新的治理员的缓解措施 ，这必要将iRule（可从F5支持部门获�。├糜谑苡跋斓腂IG-IP APM虚构服务器。
https://www.bleepingcomputer.com/news/security/f5-warns-of-big-ip-apm-remote-code-execution-zero-day-exploited-in-attacks/
2. RemControl安卓木马假装IPTV窃密
9月23日 ，RemControl是一款新型Android恶意软件即服务（MaaS）平台 ，通过假意TVTap IPTV利用的恶意告白活动攻击用户。该基础设施至少从5月运行 ，首批样本7月被发现 ，蕴含30多个窃取银行凭证的垂钓攻击 ，指标为欧洲、加拿大和中东用户。恶意软件通过虚伪Google Play页面分发 ，意大利推广活动使用了地理围栏和移动用户代理查抄 ，恶意网站含Meta Pixel跟踪ID ，批注运营者滥用了Meta告白生态。启动后 ，投放器启动VPN阻止Google Play流量 ，使Play Protect无法实时查抄 ，该个性也见于ToxicPanda恶意软件。装置时要求辅助职能权限 ，若授予则可显示全屏垂钓弹窗窃取密码、银行代码、银行卡有效期和凭证；动态接管新银行指标；实时传输屏幕截图和UI树；纪录点击、文本更改等输入；远程执行点击、滑动、文本注入等操作；捕获多家厂商手机图案锁坐标；并通过检测用户进入利用治理或复原出厂设置自动退出 ，预防被删除。RemControl从Telegram检索加密C2信息以动态轮换基础设施。Group-IB发现露出的FastAPI文档 ，揭示了银行覆盖层获取和凭证提交端点。起源不明 ，但覆盖层HTML含俄语 ，操作员被追踪为UNKK ，疑与Medusa银行木马有关。
https://www.bleepingcomputer.com/news/security/new-remcontrol-android-banking-malware-targets-users-in-europe-and-canada/
3. Check Point网关缝隙遭在野利用
9月23日 ，网络安全公司Check Point已确认其安全网关产品VPN证书处置职能中的CVE-2026-85102缝隙已被积极利用。该布告还忠告称 ，威胁行为者在利用编号为CVE-2026-93616的预身份验证蹊径遍历缝隙 ，该缝隙影响治理Web服务 ，并可能允许剧本执行和Java类加载。该公司暗示 ，CVE-2026-93616自7月23日起已被用作零日缝隙。9月10日 ，荷兰国度网络安全中心（NCSC）就安全网关问题发出警报 ，并督促用户利用可用的安全更新 ，由于预计很快就会有人利用该缝隙。Check Point现已确认恶意活动始于9月12日 ，攻击者使用VPN和代理来暗藏其地位。然而 ，这家网络安全公司指出 ，目前观察到的证书主题可能只是部门情况 ，可能还有更多主题在使用。CISA现已将这两个缺点增长到其已知利用缝隙（KEV）目录中 ，并督促联国机构在2026年9月25日之前利用可用的建复法式或缓解措施。Check Point建议装置LivePatch Take 26或建复后的Jumbo Hotfix并更新Spark防火墙 ，早期离线补丁用户需Take 26能力齐全覆盖。若无法更新 ，禁用VPN隐含规定 ，站点到站点VPN限度特定对等IP ，远程接见VPN仅盛开必要服务并限度源IP。
https://www.bleepingcomputer.com/news/security/check-point-warns-of-hackers-exploiting-security-gateway-vpn-rce-flaw/
4. WordPress高危缝隙遭在野利用
9月23日 ，威胁行为者已从探测易受CVE-2026-87902缝隙影响的WordPress网站转向利用该缝隙向磁盘写入文件 ，以便接见时执行shell号令。窥伺流量在WordPress 7.1.2补丁颁布不到5幼时后就已起头 ，随后恶意活动增长十倍 ，攻击者正试图投放有效载荷。Patchstack于9月22日17:44 UTC观察到来自一幼群IP的初次恶意要求。该缝隙由Robert Ressl发现 ，是未经身份验证的蹊径遍历缝隙 ，在某些情况下可导致远程代码执行 ，严沉性评分9.2。利用前提蕴含：活动主题需有以“page-”开头的顶级目录、存在Web服务器可读的本地.php文件且该文件对Web服务器账户有读取权限。Docker官方PHP镜像及使用8.5之前PHP版本的默认cPanel配置均受影响。WordPress已颁布7.1.2建复该缝隙 ，并向蕴含4.7及更早版本在内的所有分支向后移植补丁 ，4.6之前版本不再建复。网站治理员应尽快更新至WordPress 7.1.2并查抄日志中的恶意活动。
https://www.bleepingcomputer.com/news/security/hackers-start-exploiting-critical-wordpress-flaw-for-code-execution/
5. Arista VCO零日缝隙遭在野利用
9月23日 ，Arista Networks颁布了针对零日缝隙的安全补丁 ，该缝隙正被积极利用 ，影响VeloCloud Orchestrator（VCO）本地部署。VCO是基于云的集中式治理平台 ，援手治理员配置、监控和治理VeloCloud SD-WAN及有关边缘设备。该缝隙追踪为CVE-2026-93952 ，属最高严沉性 ，源于输入验证不当 ，影响配置了从VeloCloud Edge到VCO基于证书身份验证的部署。远程威胁行为者能够低复杂度攻击接见特权内部VCO主机职能 ，无需指标系统权限或用户交互。Arista忠告称 ，该缝隙由表部人员发现且已知被积极利用 ，攻击者需接见VeloCloud Edge身份验证证书公共部门 ，并通过网络接见VCO Web界面 ，无需VCO租户或运营商痛处。Arista已为托管部署打补丁 ，并将为更多VCO事俘颁布安全补丁。美国CISA已将CVE-2026-93952增长到已知利用缝隙目录 ，号令联国民事行政部门机构在9月25日前�；ね�。补丁部署期间 ，治理员应将VCO Web接见限度在治理网络内 ，审查治理员活动异常 ，监控恶意IP衔接 ，并查抄接见日志中的可疑要求、异常URL蹊径或高要求率。
https://www.bleepingcomputer.com/news/security/arista-patches-actively-exploited-velocloud-orchestrator-zero-day/
6. EDX泄露数百GB数据影响百事等企业
9月23日 ，电子文档治理公司EDX Solutions泄露数百GB数据 ，涉及数千万笔纪录 ，含员工账户、明文凭证和税务数据。7月初 ，钻研人员发现EDX占有的可公开接见MongoDB事俘 ，含48个数据库、292GB数据 ，估计至少3000万条敏感纪录泄露 ，百事拉美分支机构受影响最严沉。泄露数据中四分之三（218GB）属百事哥伦比亚分公司 ，一个集中含超1100万笔纪录 ，蕴含发票买卖纪录及内部API明文痛处。哥伦比亚总泄露超221GB ，秘鲁超42GB（涉及百事秘鲁和豪瑞秘鲁） ，多米尼加近18GB ，萨尔瓦多7GB ，哥斯达黎加2GB ，厄瓜多尔41MB。钻研人员联系EDX后对方终场回应 ，已联系墨西哥CERT。泄露信息可被用于金融诳骗、账户盗用和社会工程攻击：发票文件、税务文件、数字证书、API凭证和供给商数据可被用于假意企业、篡改发票或提交诓骗文件；税务鉴别号和内部流程纪录可使诳骗更真切；员工账户和内部端点接见权限可导致账户收受和供给链假意。
https://cybernews.com/security/edx-solutions-data-leak-pepsico-exposed/
京公网安备11010802024551号