任天堂Switch曝误差 ，分享二维码存隐私危害

宣布时间 2026-09-15

1. 任天堂Switch曝误差 ，分享二维码存隐私危害


9月11日 ，任天堂鞭策初代Switch用户更新主机 ，此前该公司披露了一个清静误差 ，可能袒露通过智能手机分享屏幕截图或视频的玩家隐私。该误差编号为CVE-2026-82079 ，影响运行23.0.0版本之前软件的Nintendo Switch主机。这家日本视频游戏巨头在外部清静研究职员报告后于周四披露了该误差 ，但通告中未提及研究职员姓名。该误差影响Switch的外地无线网络 ，体现为基于客栈的缓冲区溢出。处于无线信号规模内的攻击者可能使用此误差向控制台发送网络流量并在其上执行代码。对玩家而言 ，使用需要相当详细的条件。任天堂体现 ，攻击者需要直接扫描Switch或毗连的电视上显示的二维码。当玩家使用“发送到智能手机”功效传输屏幕截图或视频 ，以及在《马里奥赛车实况：家庭赛道》中使用卡丁车时 ，会泛起这些代码。任天堂忠言 ，若是攻击者能够扫描这些二维码之一 ，他们可能运行未经授权的代码或获取存储在游戏机上的信息。


https://cybernews.com/security/nintendo-switch-update-qr-code-security-flaw/


2. ScreenConnect严重误差遭蠕虫攻击使用


9月14日 ，ConnectWise已宣布紧迫补丁 ，修复ScreenConnect远程会见和支持软件中一个严重误差 ，该误差已被蠕虫状攻击使用。该清静缺陷被追踪为CVE-2026-84869（CVSS评分9.9/10） ，形貌为缺少授权和权限治理不当。ConnectWise在通告中诠释 ，该误差会在ScreenConnect客户端中造成“在某些情形下 ，允许在未经授权或主机确认的情形下 ，通过运动的远程会话传输和执行文件”。9月初 ，网络清静公司Huntress发出忠言 ，称该误差自8月20日起已被恶意使用。作为视察到的事务的一部分 ，使用修改后的ScreenConnect实例安排了四个VBScript文件 ，旨在建设长期性并撒播到其他ScreenConnect客户端。黑客使用社会工程学手段诱骗受害者执行恶意ScreenConnect客户端 ，然后这些客户端会检查运动会话 ，并将VBScript有用载荷推送至已毗连的目的。ConnectWise已修复ScreenConnect 26.6.5版本中的误差 ，并鞭策用户尽快应用修复程序。作为暂时缓解步伐 ，建议禁用ScreenConnect中的TransferFiles权限。


https://www.securityweek.com/connectwise-patches-screenconnect-vulnerability-exploited-in-worm-like-attacks/


3. 恶意Twitch扩展泄露3.1万用户令牌


9月14日 ，一款名为“Twitch Enhanced Viewer | JeetBot”的恶意跨平台Twitch浏览器扩展 ，快要31,000名用户的OAuth令牌泄露给俄罗斯商业机械人服务运营的署理服务器。该扩展在Chrome和Firefox市肆划分拥有约30,000和604名用户 ，阻止发稿仍可下载。Socket清静研究员Kush Pandya体现 ，目今版本会将令牌作为&auth=盘问参数经网络层重定向直接转发给运营商署理服务器 ，用户寓目的每个频道都会转发令牌 ，但硬编码允许列表中的十个俄罗斯主播频道除外。该运营商是商业化Twitch、Kick和VK-Live机械人SaaS提供商 ，拥有普遍Twitch主播权限。扩展虽声称提供无广告和不受地区限制的内容 ，现实是将Twitch视频播放列表请求通过运营商控制的署理服务器路由 ，并发送用户OAuth令牌。令牌可启用对用户谈天、私信和账户设置的会见权限 ，且因位于URL盘问字符串中会以明文写入署理服务器请求日志�？⒄呶牡低ǜ嫦允� ，Firefox插件85.8.7版本已修复该问题 ，Chrome版本正在审核中 ；新版本不再将用户OAuth令牌发送到署理。


https://thehackernews.com/2026/09/malicious-twitch-browser-extension.html


4. 日本数字厅24.6万条政府雇员信息泄露


9月14日 ，日本数字厅发明一起数据泄露事务 ，可能导致约24.6万条包括政府雇员小我私家信息的纪录外泄。攻击者使用政府解决计划服务（GSS）所用VPN装备中的误差获得初始会见权限。6月25日 ，该机构发明一名维护和运营职员的账户遭到大规模文件会见 ，随后睁开视察。7月9日 ，确认第三方使用VPN装备误差入侵系统并获取未经授权的会见权限。当天 ，机构暂停了相关维护和运维职员的账户 ，切断了受损装备与外界的通讯 ，并阻止了进一步的未经授权会见。现在尚不清晰受影响的详细VPN产品及被使用的误差 ，但日本网络清静机构体现该问题严重水平为中等 ，并非零日误差。视察显示 ，可能泄露的数据包括约23.6万个名字、23.1万个电子邮件地点、9.4万个电话号码及1000个实体地点 ，受影响职员包括政府雇员、公职职员以及使用GSS系统的相关企业和小我私家。不过 ，公众的小我私家数据并未泄露 ，可能泄露的信息也不包括我的号码识别码、银行账户详细信息或养老金号码。


https://www.bleepingcomputer.com/news/security/japans-digital-agency-says-vpn-flaw-exposed-246-000-personnel-records/


5. Vite开发服务器遭大规模扫描窃取云凭证


9月14日 ，针对袒露在互联网上的Vite开发服务器的大规模扫描运动 ，正试图从AWS和Azure安排中窃取云凭证和设置。该操作使用了CVE-2026-39364高危误差 ，可绕过Vite 7.1.0至7.3.2及8.0.5之前8.x分支的文件读取/会见控制。误差于4月7日披露 ，允许未经身份验证的攻击者使用HTTP GET请求中的盘问参数 ，绕过清静限制 ，以明文形式检索本不应会见的文件。F5通过蜜罐传感器检测到这些攻击 ，一个月内视察到800多次攻击和约32,000个原始事务。攻击者通过附加特定盘问参数 ，使服务器无法执行拒绝列表过滤 ，并以HTTP 200返回目的文件。攻破系统后 ，扫描重点是使用普遍字典获取敏感信息 ，包括情形文件、AWS凭证文件、设置文件和备份、Azure凭证和会见令牌、Terraform状态和变量文件、无服务器设置/状态等。攻击还实验了遍历和编码变体 ，包括双重编码序列 ，以绕过反向署理或WAF规范化。恶意运动大多源自美国、比利时和荷兰 ，并使用谷歌云IP地点规模规避。最活跃IP还使用了CVE-2025-30208、CVE-2025-31125和CVE-2024-45811等其他Vite会见控制误差。


https://www.bleepingcomputer.com/news/security/hackers-target-exposed-vite-dev-servers-to-steal-aws-azure-secrets/


6. 3BB宽带网络遭MeshCentral后门入侵


9月14日 ，威胁情报公司Hunt.io体现 ，一名攻击者潜在在泰国最大宽带提供商之一3BB的网络内部 ，使用正当治理工具MeshCentral远程控制内部机械。该公司通过检查攻击者留在互联网上的服务器发明入侵 ，该服务器生涯着攻击者的工具及已控制机械列表。研究职员于2026年6月3日捕获袒露服务器 ，其时攻击仍在举行� ；指吹奈募允竟セ髡呋竦昧四诓糠衿鞯耐耆玶oot权限。为维持会见 ，攻击者装置了MeshCentral ，将其设置成隐藏后门 ，署理程序向攻击者运行的控制服务器报告 ，位于名为TH-3BB的装备组下� ；指吹淖氨噶斜硐允� ，多台机械已毗连并以root权限运行 ，批注攻击者其时拥有有用治理控制权限。攻击者还编写整理剧本擦除日志并删除其他工具 ，同时居心保存MeshCentral署理以继续会见。在网络内部 ，攻击者一直扩大权限 ，通过SSH向凌驾55台内部盘算机发送密码 ，探测3BB内部销售门户 ，并搜索存储的密码、数据库登录信息和SSH密钥 ，还可植入Web Shell并添加SSH密钥作为备用入侵手段。Hunt.io体现 ，攻击者主要目的是3BB用户数据 ，服务器剧本用于复制存储宽带用户登录凭证的RADIUS数据库 ，但未发明数据被窃取。


https://thehackernews.com/2026/09/3bb-attacker-used-meshcentral-backdoor.html