Citrix NetScaler零日缝隙遭利用

颁布功夫 2026-09-28

1. Citrix NetScaler零日缝隙遭利用


9月27日，Citrix确认NetScaler ADC和NetScaler Gateway存在两个严沉零日缝隙CVE-2026-88771和CVE-2026-88772，且在官方补丁颁布前已遭攻击者现实利用 。两缝隙CVSS评分均为9.5，其中CVE-2026-88771属于输入验证缺点，可被未经身份验证的攻击者利用执行肆意号令 ；CVE-2026-88772属于内存溢露马脚，在启用DTLS的设备上可能导致远程代码执行或回绝服务，尤其涉及默认启用DTLS的NetScaler Gateway VPN虚构服务器 。攻击活动最初由IT供给商和安全团队向治理员发出暗里预警，随后获watchTowr及荷兰国度网络安全中心等机构确认 。Citrix于9月27日颁布建复法式，并建议受影响用户尽快升级至14.1-73.37、13.1-64.23及更高版本，同时提供入侵指标（IoC）用于排查潜在入侵 。由于NetScaler宽泛承担VPN、远程接见、负载平衡和身份验证等关键职能，有关设备一旦遭入侵，可能成为攻击者进入企业网络天堑的沉要入口 。


https://securityaffairs.com/199873/security/citrix-confirmed-two-new-netscaler-flaws-exploited-as-zero-day.html


2. 微软SharePoint高危缝隙遭在野攻击


9月27日，微软SharePoint远程代码执行缝隙CVE-2026-65660已被发现遭现实攻击，距离微软于2026年8月“周二补丁日”颁布建复法式约六周，距离钻研人员披露技术细节仅数日 。该缝隙允许已认证且拥有低级别权限的攻击者绕过类型查抄，在无需用户交互的情况下执行肆意代码 ；若与其他身份验证绕过缝隙结合，还可能实现未经身份验证的远程代码执行 。微软于9月25日确认把握针对该缝隙攻击的靠得住证据，CISA同日将其纳入已知被利用缝隙（KEV）目录，并要求联国机构期限实现建补 。威胁谍报机构Previdian称，9月24日已发现有关利用尝试，次日进一步发现攻击者创建WebShell后门的行为 。现阶段尚不明显攻击者身份，有关攻击疑似在Viettel Security披露技术细节后不久出现 。值妥贴心的是，微软最初将该缝隙评估为中等严沉度糊弄问题，后调整为高危远程代码执行缝隙 。


https://www.securityweek.com/microsoft-sharepoint-flaw-cve-2026-65660-now-exploited-in-attacks/


3. Clop数据泄露网站遭入侵并迁徙


9月25日，勒索软件团伙Clop的数据泄露网站近日遭ShinyHunters入侵并篡改，攻击者随后将网站代替为全页面，并宣称窃取了Clop Tor洋葱服务的源代码、Grav CMS插件、服务器日志及私钥 。Clop确认其服务器运行的Grav CMS 1.7.43未实现更新，并已将数据泄露网站迁徙至新的Tor地址，同时否定与ShinyHunters存在合作或交涉关系 。经Grav CMS开发方确认，攻击所利用的缝隙为CVE-2026-42608，是Grav主题中的未经身份验证蹊径遍历缝隙，攻击者可通过机关恶意参数，使文件上传蹊径被创建至预期目录之表，从而向Grav装置目录其他地位写入文件 。该缝隙此前已在Grav 2.0中建复，但持久未向1.7分支移植，导致旧版本仍存在风险 。Grav在确认缝隙细节后，于近期颁布1.7.53.4版本并实现建复，督促仍使用1.7分支的用户尽快升级 。


https://www.bleepingcomputer.com/news/security/shinyhunters-hacked-clop-leak-site-using-grav-cms-path-traversal-flaw/


4. Bitget遭疑似朝鲜黑客攻击损失3.5亿美元


9月25日，加密钱币买卖所Bitget暗示，9月24日发现少数热钱包和温钱包产生未经授权转账，疑似与朝鲜有关联的威胁行为者窃取约3.516亿美元数字资产，随后平台一度暂停提现 。Bitget称，用户余额、冷钱包及大部吩旖台资产仍维持安全，存款和买卖职能正常，用户� ；せ鸾械Ｕ獯纹教ㄊ挛裨斐傻挠跋� 。公司已结合Mandiant和SlowMist发展调查，首席执行官暗示，受影响资产蕴含多个区块链上的ETH、XRP、BNB、AVAX、USDT和USDC，攻击者疑似通过攻破后端钱包系统、伪造买卖数据并绕过授权流程转移资金 。Bitget已联系有关区块链基金会，部门基金会据称已冻结攻击者钱包地址 。凭据IP行为模式及链上分析，Bitget方面以为这次攻击手法与已知朝鲜黑客组织的攻击模式高度一致 。Bitget称其服务覆盖150多个国度和地域、用户超过1.2亿，这次事务如进一步扩散，可能对平台资产安全及用户信赖造成影响 。


https://securityaffairs.com/199754/cyber-crime/cryptocurrency-exchange-bitget-says-north-korea-linked-hackers-stole-351-6-million.html


5. Kiteworks遭潜在零日攻击威胁


9月25日，科技巨头Kiteworks近日收到法律部门提供的可信威胁谍报，称威胁行为者可能试图攻击部门客户系统，公司随即向客户发出警报，并建议在周末前尽快关关有关系统，以防备潜在零日攻击 。Kiteworks首席信息安全官暗示，目前尚未发现公司自身系统遭到入侵，这次通知属于预防性措施，公司已在最新软件版本9.5.1中建复所有已知缝隙，并建议客户升级 。Kiteworks不安其产品可能存在尚未通达的缝隙，攻击者可能利用这些缝隙在厂商实现建复前执行攻击 。目前尚不明显具体受影响客户数量及潜在攻击者身份，Kiteworks客户覆盖医疗、科技、教育、汽车和当局等多个行业 。一名医疗行业客户在收到警报后当即关关服务器，导致医生与患者联系出现延长和中断 。Kiteworks前身为Accellion，2021年曾因文件传输产品缝隙遭大规模攻击，数百家机构的数据被窃取并遭勒索 。


https://techcrunch.com/2026/09/25/kiteworks-urges-customers-to-shut-down-their-servers-amid-imminent-threat-of-cyberattack/


6. Carbonato僵尸网络攻击露出Docker主机


9月24日，新型僵尸网络恶意软件Carbonato在针对Docker守护过程露出且不足身份验证的主机执行攻击，通过2375端口接见Docker API，启动特权容器并获取主机节造权 。ThreatDown钻研人员发现，该恶意软件拥有蠕虫式传布能力，可持续扫描网络中的其他露出Docker守护过程，并从未经身份验证的Docker注册表获取恶意植入法式 。入侵后，Carbonato通过反向SSH隧路成立远程节造通路，并利用cron、systemd、rc.local及OpenRC等机造实现悠久化，同时通过Telegram回传部署信息 。这次攻击的凸起特点是将Hermes Agent AI框架装置到受害主机，并使用名为“GH0ST”的代理执行攻击者下发的工作，蕴含网络AI API密钥、SSH凭证、接见令牌等敏感信息、执行号令并返回了局，从而加强攻击者对受习染主机的交互式节造能力 。ThreatDown把握的有关活动证据覆盖2024年10月至2026年8月，但目前无法将Carbonato与已知威胁组织关联 。


https://www.bleepingcomputer.com/news/security/new-carbonato-malware-uses-ai-agents-to-hijack-exposed-docker-hosts/