01月26日，星期一，您好！中科汇能与您分享信息安全快讯：
英伟达Linux图形工具曝本地漏洞，开发环境面临代码执行与权限提升风险
英伟达发布了针对其Linux平台开发工具NVIDIA Nsight Graphics的紧急安全更新，修复了一个高危漏洞。该漏洞被追踪为CVE-2025-33206，CVSS评分为7.8分，源于软件在处理命令时对输入验证不当，存在操作系统命令注入缺陷。攻击者若能获得目标系统的本地访问权限，并诱骗用户执行特定操作，便可利用此漏洞逃逸命令上下文，以提升的权限执行任意系统命令。
尽管漏洞利用需要本地访问和用户交互，但其威胁不容小觑。该工具主要用于图形开发和性能分析，常运行于存有未发布代码、专有算法和测试数据的工作站上。成功利用可导致攻击者完全控制开发环境，造成代码被窃取或篡改、系统服务遭中断，甚至可能以此为跳板，横向移动至关联的构建或测试网络，对游戏开发、影视渲染及科研计算等领域构成直接的数据安全与知识产权泄露风险。
苹果核心供应商遭勒索软件攻击机密泄露，全球消费电子供应链面临断链与仿冒风险
苹果公司第二大制造合作伙伴、中国立讯精密工业股份有限公司据称遭受勒索软件攻击，大量内部机密文件被窃取并在网上泄露。泄露数据涉及AirPods、iPhone及Apple Vision Pro等核心产品的生产工作流程、安全协议和供应链细节。作为苹果Vision Pro头显的独家组装商及约30% iPhone的制造商，立讯精密在苹果全球供应链中扮演着至关重要的角色。
此次泄露事件影响深远，远超单一公司的数据安全范畴。公开的“运营蓝图”可能被竞争对手利用以缩小技术差距，或催生高仿假冒零件，损害苹果品牌声誉。更严峻的风险在于，攻击者可能利用获取的精确生产漏洞实施破坏性攻击，或以此要挟导致关键生产线停摆，直接冲击苹果的产品发布与市场供应，暴露出高度集成的全球化高科技供应链在面对定向网络攻击时的极端脆弱性。
Zoom企业级会议设备曝出高危命令注入漏洞，混合部署场景下面临远程接管威胁
视频会议巨头Zoom为其企业级硬件产品发布了安全更新，修复了Zoom Node多媒体路由器中的一个关键漏洞。该漏洞编号为CVE-2026-22844，CVSS评分高达9.9分，属于命令注入类型。它影响了用于大型会议混合部署或连接器部署的MMR模块，允许已接入会议的远程攻击者通过网络向该设备发送恶意指令，从而远程执行任意代码。
由于Zoom Node设备通常部署在企业网络内部，用于桥接Zoom云会议与本地会议室系统，其权限和网络位置特殊。一旦被攻陷，攻击者不仅能完全控制该设备，窃取流经的会议音视频数据，更可能将其作为跳板，向企业内网发起进一步的渗透攻击，威胁整个组织的网络安全。尽管Zoom表示尚未发现该漏洞在野被利用，但所有使用受影响硬件方案的企业客户必须立即更新至修复版本。
研究人员在Pwn2Own大会上成功入侵特斯拉信息娱乐系统，智能汽车核心车机安全再响警钟
在2026年东京举办的Pwn2Own Automotive全球汽车安全黑客大赛上，安全研究团队Synacktiv通过组合多个零日漏洞，成功入侵了特斯拉汽车的信息娱乐系统，并因此获得了35，000美元奖金。攻击通过USB接口发起，演示了在物理接触或诱骗用户插入恶意设备的情况下，获取车机系统控制权的可能性。此次演示是在受控环境下的授权测试，旨在发现并修复漏洞。
尽管比赛场景受限，但结果具有强烈的现实警示意义。现代汽车的信息娱乐系统已非独立单元，它与车辆的部分控制网络存在数据交换，是通往核心行车功能的一道潜在门户。此类漏洞若被恶意利用，攻击者可能实现从篡改车载显示、窃取用户隐私数据，到干扰辅助驾驶功能乃至影响部分低速行驶状态下的车辆控制，直接威胁驾乘人员的人身安全与隐私，凸显了智能网联汽车在软件复杂性激增背景下的安全挑战。
研究证实高级Linux恶意软件VoidLink主要由AI生成，标志网络安全威胁迈入“AI辅助工业化”新阶段
Check Point研究团队经过深入分析后确认，此前发现的复杂Linux恶意软件框架VoidLink，其绝大部分代码和开发流程均由人工智能代理在人类指导下完成。该框架功能齐全、模块化程度高，包含超过8.8万行代码，专为隐秘控制云服务器设计。研究人员发现了与之配套的、由AI生成的详细开发计划文档，但实际开发周期从文档中计划的30周大幅缩短至约四周。
这一发现标志着网络威胁演化的一个关键转折点。它证明AI不再是初级攻击者的玩具，而是已成为能够实质性提升“高端”攻击能力的“力量倍增器”。在经验丰富的攻击者手中，AI能极大压缩复杂攻击平台的开发时间与人力成本，将原本需要国家背景或大型犯罪团伙才能支撑的能力“平民化”。这意味着未来防御方将面对更多由AI快速迭代、定制化且质量更高的恶意软件，从根本上改变了攻防双方的成本结构与对抗节奏。
LastPass用户遭遇钓鱼邮件新攻势，攻击者冒充官方以“紧急维护”为名诱骗主密码
密码管理服务LastPass于2026年1月21日向其用户发出紧急警告，一场新的钓鱼攻击活动正在冒充其官方身份进行。攻击者发送大量伪造邮件，主题涉及“基础设施更新”、“保险库安全”等，谎称服务即将进行维护，要求用户在24小时内点击链接创建密码库备份。邮件链接最终导向精心伪造的钓鱼网站，目的是窃取用户的主密码。
主密码是解锁用户整个密码保险库的唯一密钥，一旦泄露，意味着攻击者能够访问受害者存储的所有网站账号和敏感信息。此次攻击特意选在假期周末发起，旨在利用安全团队响应可能延迟的时间窗口，提高成功率。LastPass明确声明绝不会通过邮件索要主密码或设置此类紧急截止日期。此事件再次凸显，即使使用密码管理器，用户对索要凭证的“官方”通知保持高度警惕、严格进行二次验证，仍是保护数字资产的最后且最重要的防线。
冬奥会面临网络威胁评估发布，钓鱼网站与伪造凭证成攻击者主要入侵途径
随着2026年米兰-科尔蒂纳冬奥会临近，Palo Alto Networks发布的最新网络威胁评估报告指出，钓鱼攻击和伪造网站仍是攻击者针对此类全球大型体育赛事最常用的初始入侵手段。报告基于对过往奥运会网络事件的分析，预测犯罪团伙、国家背景黑客及黑客行动主义者将利用奥运会庞大的数字生态系统（包括票务、媒体、物流和合作伙伴网络）发起攻击。
报告强调，高达76%的钓鱼事件与商业邮件入侵（BEC）手法相关，攻击者利用赛事组织内部及与外部合作伙伴间的信任关系，伪装成同事或供应商发送欺诈邮件。其风险在于，一次成功的钓鱼攻击可能导致员工或供应商凭证被盗，进而使攻击者渗透进核心运营网络，引发票务系统欺诈、敏感数据泄露、支付中断，甚至通过虚假信息发布扰乱赛事秩序，对奥运会的顺利举办和商业声誉构成严重威胁。
GNU经典网络工具telnetd曝出超高危漏洞，无需密码即可直接获取服务器根权限
奇安信CERT发布紧急通告，GNU Inetutils套件中的telnetd服务存在一个身份认证绕过漏洞。该漏洞编号为QVD-2026-4408，CVSS评分高达9.8分，属于超高危级别。漏洞源于telnetd守护进程在调用系统登录程序时，未能对客户端传入的用户名进行过滤，直接将其拼接为命令行参数。远程攻击者利用此缺陷，可在无需提供任何密码的情况下，直接获取目标服务器的root shell（最高权限命令行访问）。
尽管Telnet协议因明文传输已不再被推荐，但其服务仍在一些老旧系统、嵌入式设备或特定网络设备中存在。该漏洞的危害极为直接和致命，攻击者一旦发现开放了受影响版本telnetd服务的设备，就能瞬间获得完全控制权，从而窃取服务器上所有数据、安装后门、或将其作为跳板机攻击内网其他设备。管理员必须立即检查并更新所有相关系统，或彻底禁用不必要的老旧远程访问服务。
新型“CrashFix”攻击借恶意扩展使浏览器崩溃，社交工程新招专攻企业内网设备
安全公司Huntress Labs发现一种名为“CrashFix”的新型复杂攻击活动。该活动首先通过恶意广告或伪装，诱导用户安装一个名为NexShield的恶意Chrome浏览器扩展（仿冒知名广告拦截器）。一小时后，该扩展会主动触发浏览器崩溃，随后弹出虚假安全警报，指导用户从剪贴板粘贴并运行一条“修复命令”。该命令实为PowerShell脚本，会根据设备是否加入企业域网络，投放不同等级的恶意负载。
此攻击的狡诈之处在于其“制造问题再提供解决方案”的社会工程学手法，说服力极强。尤其值得警惕的是，攻击者明确区分了攻击目标：普通的家庭电脑可能仅被用于测试或轻量级攻击；而加入企业域的工作站则会收到功能完整的ModeloRAT远程访问木马。这表明攻击者有明确的商业或间谍目的，旨在长期潜伏于企业网络，窃取核心数据、监控员工活动，其威胁远超一般的消费级恶意软件。
AI核心组件MCP服务器曝重大安全漏洞，恐致远程代码执行与云服务密钥泄露
安全研究人员相继在流行的模型上下文协议（MCP）服务器中发现严重漏洞。其中，微软官方维护的MarkItDown MCP服务器存在服务器端请求伪造（SSRF）漏洞，可被滥用以访问服务器内部网络资源。在云服务器（如AWS EC2）上运行时，攻击者甚至可利用此漏洞窃取云服务的临时访问密钥，可能导致整个云环境被接管。与此同时，Anthropic官方维护的Git MCP服务器也被发现存在路径验证绕过等漏洞。
MCP服务器是连接大型语言模型与外部数据源（如代码库、文件系统）的关键枢纽。这些漏洞组合在一起危害巨大：攻击者可能通过“间接提示注入”方式，诱骗用户的AI助手利用有漏洞的MCP服务器执行恶意操作。例如，通过组合Git与文件系统MCP服务器的漏洞，攻击者最终能在服务器上实现远程代码执行。随着AI代理日益普及并与企业关键系统连接，这些底层组件的安全漏洞为攻击者开辟了一条全新的、高度自动化的入侵路径，威胁企业核心数据和基础设施安全。
信息来源：人民网 国家计算机网络应急技术处理协调中心 国家信息安全漏洞库 今日头条 360威胁情报中心 中科汇能GT攻防实验室 安全牛 E安全 安全客 NOSEC安全讯息平台 火绒安全 亚信安全 奇安信威胁情报中心 MACFEESy mantec白帽汇安全研究院 安全帮 卡巴斯基 安全内参 安全学习那些事 安全圈 黑客新闻 蚁景网安实验室 IT之家IT资讯 黑客新闻国外 天际友盟
本文版权归原作者所有，如有侵权请联系我们及时删除
