思科清静邮件网关零日误差遭现实使用

宣布时间 2026-09-16
1. 思科清静邮件网关零日误差遭现实使用


9月15日，思科周一忠言客户，影响清静电子邮件网关装备的零日误差已被现实使用。该误差被识别为CVE-2026-76461，CVSS评分为9.8。思科将其形貌为AsyncOS软件中的一个电子邮件剖析问题，攻击者可以远程使用该误差，无需身份验证即可在底层操作系统上以root权限执行恣意下令。这家科技巨头诠释说，攻击者可以使用这个严重误差，通过在全心结构的电子邮件中向目的用户发送恶意SQL语句来执行这些语句。思科体现，其产品清静应急响应小组（PSIRT）于2026年9月发明了CVE-2026-76461误差，但并未透露有关该零日误差攻击的细节，现在尚不清晰幕后黑手是谁。该公司已宣布入侵指标（IoC），但指出由于威胁行为者可以获得设惫亓root权限，因此他们可以删除或隐藏IoC来掩饰其踪迹。该清静误差会影响任何设置下的清静电子邮件网关的物理版本和虚拟版本，清静电子邮件和Web治理器以及清静Web装备不受影响。


https://www.securityweek.com/root-rce-zero-day-in-cisco-secure-email-gateway-under-active-exploitation/


2. Telegram桌面版HTML导出功效曝存储型XSS误差


9月15日，Telegram Desktop的HTML导出功效保存存储型跨站剧本误差。攻击者可通过机械人内联键盘按钮，在谈天纪录中植入不可见JavaScript代码，潜在数月，待用户导出纪录并用浏览器翻开HTML文件时执行。攻击者无需加入目的谈天，转发新闻即可撒播。问题泉源在于导出时键盘按钮文本未经整理直接写入HTML，导致标签被看成真实标记执行。触发后，注入代码可读取新闻、发件人、时间戳等元数据并发送至攻击者服务器，还可获取文件外地路径、改动页面内容。该误差已保存两年多，2024年2月引入，3月进入稳固版4.15.1。研究职员6月3日报告后，Telegram于2026年6月修复，首个稳固修复版为7.0.1，7月14日宣布。但更新客户端无法修复旧版导出的HTML文件，恶意代码仍可执行，对留存纪任命于合规或视察的组织组成危害。建议更新后重新天生导出文件，将旧HTML文件视为不可信。


https://securityaffairs.com/199076/security/telegram-desktop-flaw-could-turn-old-chat-exports-into-data-theft-traps.html


3. CenterPoint Energy 749万客户信息被窃


9月15日，休斯顿公用事业公司CenterPoint Energy克日披露了一起数据泄露事务，部分客户的小我私家信息遭到泄露。事务因由于一名使用又名“4d722e4d656f77”的网络威胁者在网上发帖，声称从该公司窃取了749万条客户纪录，内容包括姓名、电话号码、服务和账单地点、账号、账单金额以及部分社会包管号码。该威胁者体现，因公司无视其信息、将其看成笑话，遂决议泄露数据。据其称，攻击方法是通过遍历CenterPoint公共API上的数百万个ID来窃取数据，而该API缺乏速率限制、Web应用程序防火墙�；ぜ捌渌苊庾远峒那寰膊椒�。CenterPoint Energy在提交给美国证券生意委员会的文件中证实数据被盗，但未透露威胁行为者身份、受影响客户数目及被泄露数据的详细类型。公司体现，视察仍在举行中，已确定未经授权的第三方通过公司面向外部的系统获取了部分客户的小我私家信息，正继续与第三方专家相助以确定事务影响规模，并妄想凭证适用执法要求通知受影响的客户和羁系机构。


https://www.bleepingcomputer.com/news/security/centerpoint-energy-confirms-customer-data-stolen-in-cyberattack/


4. BambooToken使用MQTT协议攻击多国系统


9月15日，网络清静研究职员披露，代号BambooToken的恶意软件使用MQTT协议控制Windows和Linux系统，至少自2023年2月起活跃，攻击亚洲和南美洲组织机构，最近一次检测在2026年7月。Lumen Black Lotus Labs于2026年头在VirusTotal上发明该恶意软件，以为出自手艺高明且此前未被发明的攻击者，初始会见途径尚未确定。攻击者使用Tendyron公司的“OnKey”软件将恶意软件侧载到目的机械。Tendyron生产用于高清静情形验证身份的硬件令牌，其PKI USB令牌流通量达1.9亿枚。只管其代码署名证书和构建情形未遭破损，但攻击者疑似使用易受DLL侧加载攻击的二进制文件触发攻击。早期BambooToken通过.DAT文件提取C2地点，失败则回退到硬编码地点。后续版本侧载恶意DLL文件“OnKeyToken_KEB.dll”，由Tendyron OnKeySrv程序进入MQTT通讯循环。阻止2025年12月，攻击规模已扩大至Linux主机。该恶意软件能网络普遍主机信息，并提供Windows防病毒插件，使用WMI框架网络已装置防病毒产品详情并泄露至C2服务器，相关域名使用Cloudflare署理。


https://thehackernews.com/2026/09/bambootoken-malware-uses-mqtt-to.html


5. HBO Max官方账号遭黑客入侵用于恶意广告攻击


9月15日，黑客入侵Reddit上的HBO Max官方账号，使用其提倡恶意广告运动，跳转至ClickFix着陆页。48小时内，攻击者通过五个诱饵组推送108个恶意广告，作为PasteSwitch运动的一部分。攻击者使用已验证的u/hbomax账户，针对macOS和Windows用户推广并不保存的HBO Max原生macOS应用。点击广告指导用户至模拟HBO Max官网的hbomaxx[.]us，其下载按钮翻开ClickFix提醒框，诱导用户复制下令并在终端运行，从而将执行权限转移至可信系统适用程序。在macOS上，攻击依赖curl | zsh撒播MacSync、AMOS Helper、虚伪钱包应用等恶意软件，窃取凭证、新闻、浏览器及加密钱币钱包信息并获得长期会见权限。在Windows上，则使用MSHTA和PowerShell撒播Amatera Stealer并实现长期化，该恶意软件通过伪造Facebook毗连绕过网络遥测，隐藏C&C通讯。PasteSwitch还使用AnimateClipper和ZigClipper作为剪贴板替换工具，在用户生意时交流加密钱币地点。剪贴板窃取者使用托管在区块链上的C&C服务器，该基础设施可能一年多前已搭建。


https://www.securityweek.com/hacked-hbo-reddit-account-used-for-malware-delivery-via-clickfix-attack/


6. CISA忠言勒索团伙使用VMware vCenter误差


9月15日，美国网络清静和基础设施清静局（CISA）忠言清静团队，勒索软件团伙现已加入正在举行的攻击，使用VMware vCenter的一个要害误差，该误差已于7月份获得修复。博通公司于7月29日解决了该清静误差（编号CVE-2026-59310），并将其形貌为vCenter Syslog服务器中的一个严重目录遍历误差，未经身份验证的攻击者可以使用该误差执行恣意代码。该公司其时在增补常见问题解答中忠言客户，将修复该误差视为紧迫情形并尽快装置补丁。两周后，数字取证和事务响应公司QUIRSO报告称，在疑似高级一连性威胁攻击者最先使用该误差安排反向SSH工具以实现长期性和远程会见后，发明47个国家/地区的361个IP地点遭到入侵。几天后，CISA将CVE-2026-59310添加到其已知使用误差目录中，并下令政府机构在三天内�；て鋠Center系统。周末时代，CISA再次更新KEV目录，将该清静误差标记为勒索软件团伙正在起劲使用的误差。


https://www.bleepingcomputer.com/news/security/cisa-critical-vmware-vcenter-rce-flaw-now-exploited-by-ransomware-gangs/