2026年9月第4周网络安全形势周报报告周期2026年9月19日—9月25日第39周一、本周摘要本周安全态势呈现网络边界基础设施集中失守AI代理攻击从理论走向实战供应链攻击规模化三大主题CISA KEV单日新增4个已被野外利用的零日漏洞全部指向网络边界核心设备F5 BIG-IP APMCVE-2026-94127CVSS 9.8、Arista VeloCloud OrchestratorCVE-2026-93952CVSS 10.0、Check Point Security ManagementCVE-2026-93616CVSS 9.8与Check Point VPN网关CVE-2026-85102CVSS 9.5。联邦修复窗口仅3天9月25日截止。AI代理攻击首次被数据保护监管机构正式确认西班牙数据保护局AEPD9月15日公布全球首起由自主AI代理执行的数据泄露事件攻击者使用开源大模型自动完成漏洞扫描、凭据窃取、权限提升和数据篡改全链路。AI编码代理供应链出现首个零点击RCE漏洞Plugin4Shell9月18日披露影响Claude Code、OpenAI Codex、GitHub Copilot、Gemini CLI四大主流AI编码代理通过绕过SHA-pinning机制实现零点击远程代码执行——AI代理生态的供应链安全假设被系统性击穿。营销平台Brevo遭供应链攻击10万网站被动分发恶意代码攻击者利用硬编码的Cloudflare API密钥在CDN边缘注入ClickFix社工脚本再次印证第三方JavaScript即生产代码的风险。朝鲜Kimsuky组织完成AI战术升级放弃公有云大模型API改为本地部署离线开源大模型批量生成无语法错误钓鱼诱饵传统找语病识钓鱼经验彻底失效。二、头条事件2.1 CISA KEV 9月22日密集新增四大网络边界零日漏洞已被野外利用9月22日CISA将4个已被野外利用的漏洞同时纳入KEV目录全部影响网络边界核心基础设施联邦机构修复截止日为9月25日仅3天。CVE编号CVSS受影响产品漏洞类型状态CVE-2026-9395210.0Arista VeloCloud Orchestrator (VCO) On-Prem输入验证不当→未认证访问特权功能已被野外利用CVE-2026-941279.8F5 BIG-IP APM (17.1–21.1)堆缓冲区溢出→未认证RCEOAuth配置场景已被野外利用CVE-2026-936169.8Check Point Security Management Server路径遍历→未认证任意文件上传与执行已被野外利用CVE-2026-851029.5Check Point Quantum Security Gateway / Spark Firewall证书验证不当→VPN协商阶段认证绕过→RCE已被野外利用各漏洞关键细节CVE-2026-93952Arista VeloCloud Orchestrator影响VCO On-Prem版本5.2.0–5.2.3.15、6.1.0–6.1.3.7、6.4.0–6.4.2.7仅影响启用证书认证certificate-based Edge-to-VCO auth的实例修复版本5.2.3.16、6.4.2.8其他版本补丁陆续发布Arista确认该问题外部发现且已知被积极利用但未发布确定性IOC排查建议审查Web、应用与系统日志中的异常证书认证请求CVE-2026-94127F5 BIG-IP APM仅影响配置了APM access policy OAuth profile的虚拟服务器Appliance mode同样受影响影响版本21.1.0、17.5.0–17.5.1、17.1.0–17.1.3F5已发布工程热修复hotfix并公布3个IOC排查建议检查/var/log/apm中异常OAuth流量核实虚拟服务器配置是否存在未授权APMOAuth组合CVE-2026-93616Check Point Security Management影响Security Management Server、Multi-Domain Security Management、Log Server、SmartEvent修复方式R82.20 Security Hotfix或Jumbo HotfixR82.10/R82/R81.20/R81.10标准LivePatch不修复临时缓解将TCP/19009限制为可信IPCheck Point确认少量客户已被攻击CVE-2026-85102Check Point VPN网关影响Security Gateway与Spark Firewall利用匿名化基础设施VPN/代理发起使用特定证书主题Check Point 9月9日已发布补丁当时无利用证据现已确认全球Spark客户遭受利用尝试为何重要这四个漏洞覆盖SD-WAN编排器VeloCloud、应用交付控制器F5 BIG-IP、防火墙管理平面Check Point SMS和VPN网关Check Point Gateway——网络边界的四大支柱在同一周全部失守。任何一个被攻破都可导致全网渗透。2.2 Plugin4ShellAI编码代理生态的首个零点击RCE供应链漏洞9月18日AIR Security披露Plugin4Shell漏洞影响四大主流AI编码代理的插件安装机制被安全界称为AI代理生态的Log4Shell。技术原理AI编码代理市场采用SHA-pinning机制保证插件完整性——市场将插件锁定到特定Git commit哈希40字符代理安装时检出该哈希对应的代码。Plugin4Shell发现四个代理均只请求pinned commit但从不验证检出后的工作目录是否真正对应该哈希。Claude Code / Codex / GitHub Copilot攻击者创建一个与pinned SHA完全同名的Git分支40字符十六进制字符串设为默认分支。代理执行git checkout sha时Git优先解析分支名而非commit对象静默检出攻击者控制的恶意代码但代理仍报告成功安装pinned版本。Gemini CLI使用git fetch origingit checkout FETCH_HEAD流程。攻击者将默认分支命名为FETCH_HEADcheckout解析到该分支而非刚fetch的commit。零点击条件Claude Code和Codex默认启用插件自动后台更新。已安装的信任插件可在下一次自动更新周期被静默替换为恶意版本无需用户任何操作。修复状态产品修复版本状态Claude Code2.1.179✅ 已修复6月17日确认OpenAI Codex0.146.0✅ 已修复8月12日确认GitHub Copilot无⚠️ 未修复Bitbucket/自托管Git仍可利用Gemini CLI无❌ 已弃用不修复建议迁移至Antigravity防御建议立即更新Claude Code和CodexCopilot用户禁用插件自动更新并审计已安装插件Gemini CLI用户迁移。根本修复是在代理内增加单条验证test $(git rev-parse HEAD) pinned_sha || abort。2.3 西班牙确认全球首起自主AI代理执行的数据泄露9月14日西班牙数据保护局AEPD收到并公布全球首起由自主AI代理执行的数据泄露事件通报。攻击链全自主执行无人工干预侦察AI代理扫描目标组织的通用文件寻找可利用漏洞初始访问发现有效企业凭据成功登录内部系统内网横向自主在应用内继续搜寻漏洞利用与影响发现可利用缺陷后修改个人数据记录并访问发票AEPD特别强调使用的开源大模型及其提供商基础设施未被入侵模型本身并非为恶意活动设计关键在于第三方将AI代理作为工具自主串联攻击各阶段。监管信号AEPD明确要求组织将AI辅助/AI执行攻击纳入正式数据保护风险评估传统针对人工攻击设计的响应流程可能不足以应对AI代理的机器速度攻击链。三、漏洞预警按CVSS排序3.1 P0级CVSS 9.0已被野外利用 / 暴露面广 / 影响核心组件漏洞CVSS状态受影响产品修复建议CVE-2026-9395210.0已利用Arista VeloCloud Orchestrator On-Prem升级至5.2.3.16/6.4.2.8审查证书认证日志CVE-2026-941279.8已利用F5 BIG-IP APMOAuth配置场景应用工程hotfix审查APMOAuth虚拟服务器配置CVE-2026-936169.8已利用Check Point Security Management Server安装R82.20 Security Hotfix或Jumbo HotfixTCP/19009限IPCVE-2026-851029.5已利用Check Point Quantum Gateway / Spark Firewall升级至修复版本监控VPN网关异常证书协商CVE-2026-72739.5已利用Zyxel GS1900系列交换机升级固件限制管理接口暴露CVE-2025-399649.5已利用Linux内核crypto子系统race condition随发行版内核更新CVE-2026-532669.5已利用Linux内核netfilter bridge越界写随发行版内核更新CVE-2025-396829.5已利用Linux内核TLS零长度记录处理随发行版内核更新注上述Linux内核三漏洞于9月18日进入KEV与本周网络边界四漏洞形成内核边界双线利用态势。3.2 P1级CVSS 7.0–8.9已知PoC或高敏感场景漏洞CVSS受影响产品修复建议CVE-2026-851039.8Check Point Security GatewayASN.1堆溢出RCE升级虽未确认被利用但与CVE-2026-85102同产品建议同批次处理CVE-2026-87902高WordPress路径遍历→代码执行已野外利用升级至7.1.2Plugin4Shell高Claude Code(2.1.179)/Codex(0.146.0)/Copilot/Gemini CLI见2.2节3.3 P2级关注但不紧急上周遗留Cisco ISE CVE-2026-76460CISA截止9月19日、GitLab CVE-2026-85706、ScreenConnect CVE-2026-84869、JFrog Artifactory CVE-2026-42016/42018——未完成整改的单位继续跟进Microsoft 9月Patch Tuesday遗留974 CVE中104个Critical、20个wormable、2个zero-dayCVE-2026-85880/81963——大规模补丁队列按优先级分批推进四、供应链与第三方风险4.1 Brevo供应链攻击10万网站被动分发恶意代码9月14日营销平台Brevo原Sendinblue遭供应链攻击。攻击者利用硬编码在应用源码中的长期有效Cloudflare API密钥完整账户权限在16:07–20:30 UTC期间部署恶意Cloudflare Worker边缘篡改在CDN层面修改HTTP响应源文件未被修改传统完整性检查无法发现剥离Content-Security-Policy头注入ClickFix社工脚本影响范围brevo.com、sibforms.com及客户嵌入的JavaScript文件Sansec估计超10万网站受影响双路径投递普通访客看到伪造Cloudflare验证页面诱导复制粘贴执行恶意命令登录状态的WordPress管理员被静默安装名为Web Media Optimizer的持久化后门插件mu-plugin隐藏自身定期轮询C2前置事件9月10日Brevo曾披露SAML SSO漏洞导致138个账户被访问——两次事件是否关联尚未确认防御启示长期有效的云边缘/CDN密钥应视为Tier-0凭据第三方JavaScript必须纳入与生产代码同等级别的完整性监控Cloudflare Worker等边缘计算能力的变更应触发与代码部署同等的告警。4.2 npm/PyPI恶意包瞄准AI记忆插件StepSecurity发现恶意版本的memtensor/memos-cloud-openclaw-pluginnpm和MemoryOS 2.0.34PyPI在AI记忆插件正常召回功能激活时窃取主机环境变量和用户提示文本目标包括云凭据和源码控制令牌。恶意版本在清理后数分钟内即重新出现。4.3 AI编码代理插件生态供应链风险集中爆发Plugin4Shell2.2节与AI记忆插件投毒事件共同表明AI代理的插件/技能生态已成为与npm/PyPI同等级的供应链攻击面但安全审查成熟度远低于传统包管理器。建议将AI代理及其插件纳入资产清单禁用插件自动更新建立人工审批流程在隔离环境沙箱/专用受限账户中运行AI编码代理监控插件仓库的分支名变更与所有权转移五、勒索软件与数据泄露5.1 CenterPoint Energy无认证API导致749万客户记录泄露休斯顿公用事业公司CenterPoint Energy服务约700万客户确认数据泄露。攻击者声称通过缺乏WAF、速率限制、证书验证和JWT/Auth令牌的公开API批量拉取749万行客户数据包括姓名、电话、服务地址、账单地址、账户号、账单金额和部分SSN。关键教训攻击者在论坛嘲讽一家262亿美元的公司保护措施如此薄弱。API安全已成为与Web应用安全同等重要的独立领域——默认拒绝、强制认证、速率限制、WAF和审计日志是API暴露的最低基线。5.2 Premier Medical Group28万患者健康信息泄露纽约Hudson Valley地区的Premier Medical Group向HHS报告282,075名患者的个人和医疗信息在2026年6月的入侵中被窃取包括姓名、联系方式、诊断、用药和医保信息。5.3 勒索团伙本周受害者速览据泄露站点监测团伙受害者行业/国家日期QilinTechwise科技/阿根廷9月17日DragonForceMedical Department Store零售/美国9月11日StormTechnology Dynamics Inc.制造电源/军工/美国9月9日VexyEngefitas制造粘合剂/巴西9月初Qilin攻击Techwise时关联到CVE-2026-20079Cisco FMC CVSS 10.0认证绕过——与上周报告Qilin集群利用Cisco FMC完成勒索投递形成连续印证。5.4 1.53亿驾照扫描件暗网曝光暗网服务Nexus声称出售1.53亿美国和加拿大驾照扫描件部分被关联至身份验证提供商IDScan.net。FBI新奥尔良分局已立案调查。驾照信息姓名、地址、DOB、政府ID号、高清照片无法像密码一样更换一旦被窃将造成长期身份欺诈风险。六、APT与国家级威胁动态6.1 Kimsuky组织完成AI战术升级本地离线大模型生成无错诱饵据ZONE.CI等情报源朝鲜Kimsuky组织已实现重大战术升级放弃公有云API为避免留下API调用日志和IP访问痕迹不再依赖ChatGPT等公有云大模型本地离线部署在攻击者自有服务器部署离线开源大模型环境批量生成高质量诱饵自动产出行文专业、逻辑通顺的邮件正文、公文报告、业务文档诱饵肉眼几乎无法分辨RAG辅助自动解析窃取的海量涉密资料迭代优化恶意代码和钓鱼内容目标政府机构、科研院所、金融、Web3行业防御启示找语病、挑翻译错误的传统钓鱼识别经验已彻底失效。防御必须回归附件管控宏/脚本执行限制、行为审计异常登录、批量数据访问和身份核验设备码认证管控、带外确认。6.2 APT28多阶段钓鱼战役利用CVE-2026-21509Trellix披露APT28Fancy Bear/UAC-0001在1月28–30日对欧洲政府、国防和外交组织发起鱼叉邮件攻击武器CVE-2026-21509Microsoft Office OLE安全功能绕过公开披露后24小时内武器化诱饵武器走私警报、军事训练邀请、欧盟/北约外交咨询请求、气象紧急公报——均使用真实政府信头、双语格式和部长印章发送源被入侵的真实政府账户通过SPF/DKIM/DMARC验证双路径感染Chain A部署BEARDSHELL/Covenant Grunt使用filen.io云存储做C2Chain B部署NotDoor恶意Outlook VbaProject.OTM静默转发所有收件箱邮件6.3 某国家级威胁行为体利用VMware vCenter漏洞国际安全机构观测到与某国家级威胁行为体关联的集群利用Broadcom VMware vCenter CVE-2026-59310目录遍历→RCE攻击涉及部署恶意cron任务建立持久化使用reverse_ssh工具。该活动与此前已知集群的TTP一致。七、执法行动与反制7.1 瑞士判决勒索软件开发者近13年监禁苏黎世法院对编写LockerGoga、MegaCortex、Nefilim勒索家族代码的52岁乌克兰籍开发者判处12年9个月监禁。法院认定其并非团伙头目仅为技术雇佣兵——这是勒索软件技术开发者首次在瑞士获得顶格量刑。7.2 美国引渡Black Axe五名头目五名被指控的Black Axe组织头目从南非引渡至新泽西罪名涉及浪漫诈骗、欺诈与洗钱。该团伙同时运营商业邮件入侵BEC其手法与勒索支付链高度重合。7.3 曼哈顿地检查封12个AI深度伪造网站曼哈顿地区检察官办公室查封12个托管非自愿AI生成图像的网站涉及约1,200名受害者为迄今最大规模同类执法行动。7.4 乌克兰起诉Roblox账户窃取团伙乌克兰检方起诉三名嫌疑人指控其窃取并倒卖超过61万个游戏平台账户。攻击者使用被窃的会话令牌登录并转售——会话令牌可绕过密码甚至部分MFA校验。7.5 中国净网-2026专项行动阶段性成效公安部9月17日公布今年以来全国公安机关网安部门累计侦办网络违法犯罪案件3.6万余起开展网络和数据安全隐患排查7,900余次发现整改各类安全隐患和漏洞3.8万个侦办不履行网络安全、数据安全、个人信息保护义务类行政案件3.8万起。同时公布20起典型案例包括虚假摆拍编造网络谣言、侵犯公民个人信息、非法控制计算机信息系统等。八、本周修复优先级建议P0/P1/P2P024小时内Arista VeloCloud Orchestrator升级至5.2.3.16/6.4.2.8审查证书认证日志禁用不必要的Edge-to-VCO证书认证CISA截止9月25日F5 BIG-IP APM应用工程hotfix审查所有配置了APMOAuth的虚拟服务器检查/var/log/apm异常CISA截止9月25日Check Point Security Management Server安装R82.20 Security Hotfix或对应版本Jumbo Hotfix标准LivePatch不修复TCP/19009限制为可信IPCISA截止9月25日Check Point VPN网关/Spark Firewall升级至修复版本监控异常证书协商流量CISA截止9月25日Zyxel GS1900系列交换机升级固件限制管理接口暴露CISA截止9月24日Linux内核CVE-2025-39964/53266/39682随发行版紧急更新重点排查容器/云环境CISA已入KEVClaude Code / OpenAI Codex升级至2.1.179/0.146.0审计已安装插件清单P1一周内Check Point Security Gateway CVE-2026-85103ASN.1堆溢出9.8虽未确认被利用但同产品批次处理WordPress升级至7.1.2CVE-2026-87902路径遍历已野外利用GitHub Copilot禁用插件自动更新审计已安装插件等待微软补丁上周遗留Cisco ISE/GitLab/ScreenConnect/Artifactory未完成整改的单位继续推进Microsoft 9月Patch Tuesday按优先级分批推送974个补丁优先两个zero-dayCVE-2026-85880/81963和20个wormable漏洞P2两周内AI代理资产盘点Claude Code、Codex、Copilot、Gemini CLI及所有插件纳入资产清单第三方JavaScript完整性监控审计所有嵌入的Brevo/sibforms脚本建立CDN边缘变更检测API安全基线审查对所有面向互联网的API强制认证、速率限制、WAF和审计日志合规响应流程加固建立数据访问请求带外核实机制Revolut/CenterPoint事件教训高价值账户令牌治理缩短会话有效期、启用异常会话检测、考虑令牌绑定九、趋势观察与建议零日漏洞3天修复窗口成为新常态CISA连续两周对高危漏洞仅给3天修复窗口上周Cisco ISE、本周网络边界四漏洞。KEV响应必须以小时为单位组织建议固化KEV监控→预授权变更→批量推送高速通道。AI代理攻击从理论进入实战西班牙AEPD首起确认案例Plugin4ShellAI记忆插件投毒三线并进表明AI代理已成为真实攻击面。建议本周内完成AI代理资产盘点按数据库等级实施网络隔离与最小权限。网络边界四大支柱同时失守的系统性风险VeloCloudSD-WAN编排、BIG-IP应用交付、Check Point SMS防火墙管理、Check Point GatewayVPN接入在同一周全部出现已利用零日。建议立即收敛所有网络设备管理接口至专用管理网段管理凭据独立于业务域并强制短期轮换。传统钓鱼识别经验失效Kimsuky本地离线大模型生成的诱饵无语法错误、逻辑通顺、格式专业。防御重心必须从内容识别转向行为管控附件宏/脚本执行限制、异常登录检测、批量数据访问告警。供应链攻击进入边缘计算阶段Brevo攻击利用Cloudflare Worker在CDN边缘篡改响应源文件未被修改。传统完整性检查SRI哈希、源文件校验无法检测边缘层篡改需要增加CDN/边缘计算配置变更监控。API安全成为独立关键领域CenterPoint Energy的API无任何认证和防护即暴露749万记录。建议对所有面向互联网的API实施默认拒绝策略将API纳入与Web应用同等级的漏洞管理和渗透测试范围。十、信息来源类别来源CISA KEV 9月22日更新CISA Known Exploited Vulnerabilities Catalog、CSIRTS.com、Security ResilienceF5 BIG-IP/CVE-2026-94127F5 K000162605、SecurityWeek、Rapid7、ScottHarvanek.comArista VeloCloud/CVE-2026-93952Arista Security Advisory 0183、SecurityWeek、AviatrixCheck Point/CVE-2026-93616/85102/85103Check Point sk1000171、Help Net Security、CY.FAR、The Next Gen Tech InsiderZyxel/CVE-2026-7273CISA KEV、East Bay Cyber KEV DashboardLinux内核三漏洞CVE Brief 9月18日/23日、CISA KEVPlugin4ShellAIR Security、CSA Labs、Help Net Security、The Register、IT Security News西班牙AI代理泄露AEPD官方博客、El País Cinco Días、Reuters、The Register、PCRiskBrevo供应链攻击SecurityWeek、BleepingComputer、Sansec、F5 Labs Weekly Threat Bulletin、Invaders CybersecurityKimsuky AI升级ZONE.CI、AI紫队安全研究APT28活动Trellix SecondSight Threat Hunting Report勒索与泄露Ransomware.live、CTIWatch、Security Affairs、The CyberSignal、Threat Beat执法行动The CyberSignal、瑞士/美国/乌克兰/中国官方通报HiddenLayer AI报告HiddenLayer 2026 AI Threat Landscape Report、Infosec.ge免责声明本周报基于公开威胁情报源整理仅供内部安全运维参考。文中所述CVE编号、IOC、修复版本等信息请以各厂商官方公告为准。涉及CVE细节与利用代码请遵循负责任披露原则禁止用于未授权测试。 2026年9月第4周网络安全形势周报
2026年9月第4周网络安全形势周报报告周期2026年9月19日—9月25日第39周一、本周摘要本周安全态势呈现网络边界基础设施集中失守AI代理攻击从理论走向实战供应链攻击规模化三大主题CISA KEV单日新增4个已被野外利用的零日漏洞全部指向网络边界核心设备F5 BIG-IP APMCVE-2026-94127CVSS 9.8、Arista VeloCloud OrchestratorCVE-2026-93952CVSS 10.0、Check Point Security ManagementCVE-2026-93616CVSS 9.8与Check Point VPN网关CVE-2026-85102CVSS 9.5。联邦修复窗口仅3天9月25日截止。AI代理攻击首次被数据保护监管机构正式确认西班牙数据保护局AEPD9月15日公布全球首起由自主AI代理执行的数据泄露事件攻击者使用开源大模型自动完成漏洞扫描、凭据窃取、权限提升和数据篡改全链路。AI编码代理供应链出现首个零点击RCE漏洞Plugin4Shell9月18日披露影响Claude Code、OpenAI Codex、GitHub Copilot、Gemini CLI四大主流AI编码代理通过绕过SHA-pinning机制实现零点击远程代码执行——AI代理生态的供应链安全假设被系统性击穿。营销平台Brevo遭供应链攻击10万网站被动分发恶意代码攻击者利用硬编码的Cloudflare API密钥在CDN边缘注入ClickFix社工脚本再次印证第三方JavaScript即生产代码的风险。朝鲜Kimsuky组织完成AI战术升级放弃公有云大模型API改为本地部署离线开源大模型批量生成无语法错误钓鱼诱饵传统找语病识钓鱼经验彻底失效。二、头条事件2.1 CISA KEV 9月22日密集新增四大网络边界零日漏洞已被野外利用9月22日CISA将4个已被野外利用的漏洞同时纳入KEV目录全部影响网络边界核心基础设施联邦机构修复截止日为9月25日仅3天。CVE编号CVSS受影响产品漏洞类型状态CVE-2026-9395210.0Arista VeloCloud Orchestrator (VCO) On-Prem输入验证不当→未认证访问特权功能已被野外利用CVE-2026-941279.8F5 BIG-IP APM (17.1–21.1)堆缓冲区溢出→未认证RCEOAuth配置场景已被野外利用CVE-2026-936169.8Check Point Security Management Server路径遍历→未认证任意文件上传与执行已被野外利用CVE-2026-851029.5Check Point Quantum Security Gateway / Spark Firewall证书验证不当→VPN协商阶段认证绕过→RCE已被野外利用各漏洞关键细节CVE-2026-93952Arista VeloCloud Orchestrator影响VCO On-Prem版本5.2.0–5.2.3.15、6.1.0–6.1.3.7、6.4.0–6.4.2.7仅影响启用证书认证certificate-based Edge-to-VCO auth的实例修复版本5.2.3.16、6.4.2.8其他版本补丁陆续发布Arista确认该问题外部发现且已知被积极利用但未发布确定性IOC排查建议审查Web、应用与系统日志中的异常证书认证请求CVE-2026-94127F5 BIG-IP APM仅影响配置了APM access policy OAuth profile的虚拟服务器Appliance mode同样受影响影响版本21.1.0、17.5.0–17.5.1、17.1.0–17.1.3F5已发布工程热修复hotfix并公布3个IOC排查建议检查/var/log/apm中异常OAuth流量核实虚拟服务器配置是否存在未授权APMOAuth组合CVE-2026-93616Check Point Security Management影响Security Management Server、Multi-Domain Security Management、Log Server、SmartEvent修复方式R82.20 Security Hotfix或Jumbo HotfixR82.10/R82/R81.20/R81.10标准LivePatch不修复临时缓解将TCP/19009限制为可信IPCheck Point确认少量客户已被攻击CVE-2026-85102Check Point VPN网关影响Security Gateway与Spark Firewall利用匿名化基础设施VPN/代理发起使用特定证书主题Check Point 9月9日已发布补丁当时无利用证据现已确认全球Spark客户遭受利用尝试为何重要这四个漏洞覆盖SD-WAN编排器VeloCloud、应用交付控制器F5 BIG-IP、防火墙管理平面Check Point SMS和VPN网关Check Point Gateway——网络边界的四大支柱在同一周全部失守。任何一个被攻破都可导致全网渗透。2.2 Plugin4ShellAI编码代理生态的首个零点击RCE供应链漏洞9月18日AIR Security披露Plugin4Shell漏洞影响四大主流AI编码代理的插件安装机制被安全界称为AI代理生态的Log4Shell。技术原理AI编码代理市场采用SHA-pinning机制保证插件完整性——市场将插件锁定到特定Git commit哈希40字符代理安装时检出该哈希对应的代码。Plugin4Shell发现四个代理均只请求pinned commit但从不验证检出后的工作目录是否真正对应该哈希。Claude Code / Codex / GitHub Copilot攻击者创建一个与pinned SHA完全同名的Git分支40字符十六进制字符串设为默认分支。代理执行git checkout sha时Git优先解析分支名而非commit对象静默检出攻击者控制的恶意代码但代理仍报告成功安装pinned版本。Gemini CLI使用git fetch origingit checkout FETCH_HEAD流程。攻击者将默认分支命名为FETCH_HEADcheckout解析到该分支而非刚fetch的commit。零点击条件Claude Code和Codex默认启用插件自动后台更新。已安装的信任插件可在下一次自动更新周期被静默替换为恶意版本无需用户任何操作。修复状态产品修复版本状态Claude Code2.1.179✅ 已修复6月17日确认OpenAI Codex0.146.0✅ 已修复8月12日确认GitHub Copilot无⚠️ 未修复Bitbucket/自托管Git仍可利用Gemini CLI无❌ 已弃用不修复建议迁移至Antigravity防御建议立即更新Claude Code和CodexCopilot用户禁用插件自动更新并审计已安装插件Gemini CLI用户迁移。根本修复是在代理内增加单条验证test $(git rev-parse HEAD) pinned_sha || abort。2.3 西班牙确认全球首起自主AI代理执行的数据泄露9月14日西班牙数据保护局AEPD收到并公布全球首起由自主AI代理执行的数据泄露事件通报。攻击链全自主执行无人工干预侦察AI代理扫描目标组织的通用文件寻找可利用漏洞初始访问发现有效企业凭据成功登录内部系统内网横向自主在应用内继续搜寻漏洞利用与影响发现可利用缺陷后修改个人数据记录并访问发票AEPD特别强调使用的开源大模型及其提供商基础设施未被入侵模型本身并非为恶意活动设计关键在于第三方将AI代理作为工具自主串联攻击各阶段。监管信号AEPD明确要求组织将AI辅助/AI执行攻击纳入正式数据保护风险评估传统针对人工攻击设计的响应流程可能不足以应对AI代理的机器速度攻击链。三、漏洞预警按CVSS排序3.1 P0级CVSS 9.0已被野外利用 / 暴露面广 / 影响核心组件漏洞CVSS状态受影响产品修复建议CVE-2026-9395210.0已利用Arista VeloCloud Orchestrator On-Prem升级至5.2.3.16/6.4.2.8审查证书认证日志CVE-2026-941279.8已利用F5 BIG-IP APMOAuth配置场景应用工程hotfix审查APMOAuth虚拟服务器配置CVE-2026-936169.8已利用Check Point Security Management Server安装R82.20 Security Hotfix或Jumbo HotfixTCP/19009限IPCVE-2026-851029.5已利用Check Point Quantum Gateway / Spark Firewall升级至修复版本监控VPN网关异常证书协商CVE-2026-72739.5已利用Zyxel GS1900系列交换机升级固件限制管理接口暴露CVE-2025-399649.5已利用Linux内核crypto子系统race condition随发行版内核更新CVE-2026-532669.5已利用Linux内核netfilter bridge越界写随发行版内核更新CVE-2025-396829.5已利用Linux内核TLS零长度记录处理随发行版内核更新注上述Linux内核三漏洞于9月18日进入KEV与本周网络边界四漏洞形成内核边界双线利用态势。3.2 P1级CVSS 7.0–8.9已知PoC或高敏感场景漏洞CVSS受影响产品修复建议CVE-2026-851039.8Check Point Security GatewayASN.1堆溢出RCE升级虽未确认被利用但与CVE-2026-85102同产品建议同批次处理CVE-2026-87902高WordPress路径遍历→代码执行已野外利用升级至7.1.2Plugin4Shell高Claude Code(2.1.179)/Codex(0.146.0)/Copilot/Gemini CLI见2.2节3.3 P2级关注但不紧急上周遗留Cisco ISE CVE-2026-76460CISA截止9月19日、GitLab CVE-2026-85706、ScreenConnect CVE-2026-84869、JFrog Artifactory CVE-2026-42016/42018——未完成整改的单位继续跟进Microsoft 9月Patch Tuesday遗留974 CVE中104个Critical、20个wormable、2个zero-dayCVE-2026-85880/81963——大规模补丁队列按优先级分批推进四、供应链与第三方风险4.1 Brevo供应链攻击10万网站被动分发恶意代码9月14日营销平台Brevo原Sendinblue遭供应链攻击。攻击者利用硬编码在应用源码中的长期有效Cloudflare API密钥完整账户权限在16:07–20:30 UTC期间部署恶意Cloudflare Worker边缘篡改在CDN层面修改HTTP响应源文件未被修改传统完整性检查无法发现剥离Content-Security-Policy头注入ClickFix社工脚本影响范围brevo.com、sibforms.com及客户嵌入的JavaScript文件Sansec估计超10万网站受影响双路径投递普通访客看到伪造Cloudflare验证页面诱导复制粘贴执行恶意命令登录状态的WordPress管理员被静默安装名为Web Media Optimizer的持久化后门插件mu-plugin隐藏自身定期轮询C2前置事件9月10日Brevo曾披露SAML SSO漏洞导致138个账户被访问——两次事件是否关联尚未确认防御启示长期有效的云边缘/CDN密钥应视为Tier-0凭据第三方JavaScript必须纳入与生产代码同等级别的完整性监控Cloudflare Worker等边缘计算能力的变更应触发与代码部署同等的告警。4.2 npm/PyPI恶意包瞄准AI记忆插件StepSecurity发现恶意版本的memtensor/memos-cloud-openclaw-pluginnpm和MemoryOS 2.0.34PyPI在AI记忆插件正常召回功能激活时窃取主机环境变量和用户提示文本目标包括云凭据和源码控制令牌。恶意版本在清理后数分钟内即重新出现。4.3 AI编码代理插件生态供应链风险集中爆发Plugin4Shell2.2节与AI记忆插件投毒事件共同表明AI代理的插件/技能生态已成为与npm/PyPI同等级的供应链攻击面但安全审查成熟度远低于传统包管理器。建议将AI代理及其插件纳入资产清单禁用插件自动更新建立人工审批流程在隔离环境沙箱/专用受限账户中运行AI编码代理监控插件仓库的分支名变更与所有权转移五、勒索软件与数据泄露5.1 CenterPoint Energy无认证API导致749万客户记录泄露休斯顿公用事业公司CenterPoint Energy服务约700万客户确认数据泄露。攻击者声称通过缺乏WAF、速率限制、证书验证和JWT/Auth令牌的公开API批量拉取749万行客户数据包括姓名、电话、服务地址、账单地址、账户号、账单金额和部分SSN。关键教训攻击者在论坛嘲讽一家262亿美元的公司保护措施如此薄弱。API安全已成为与Web应用安全同等重要的独立领域——默认拒绝、强制认证、速率限制、WAF和审计日志是API暴露的最低基线。5.2 Premier Medical Group28万患者健康信息泄露纽约Hudson Valley地区的Premier Medical Group向HHS报告282,075名患者的个人和医疗信息在2026年6月的入侵中被窃取包括姓名、联系方式、诊断、用药和医保信息。5.3 勒索团伙本周受害者速览据泄露站点监测团伙受害者行业/国家日期QilinTechwise科技/阿根廷9月17日DragonForceMedical Department Store零售/美国9月11日StormTechnology Dynamics Inc.制造电源/军工/美国9月9日VexyEngefitas制造粘合剂/巴西9月初Qilin攻击Techwise时关联到CVE-2026-20079Cisco FMC CVSS 10.0认证绕过——与上周报告Qilin集群利用Cisco FMC完成勒索投递形成连续印证。5.4 1.53亿驾照扫描件暗网曝光暗网服务Nexus声称出售1.53亿美国和加拿大驾照扫描件部分被关联至身份验证提供商IDScan.net。FBI新奥尔良分局已立案调查。驾照信息姓名、地址、DOB、政府ID号、高清照片无法像密码一样更换一旦被窃将造成长期身份欺诈风险。六、APT与国家级威胁动态6.1 Kimsuky组织完成AI战术升级本地离线大模型生成无错诱饵据ZONE.CI等情报源朝鲜Kimsuky组织已实现重大战术升级放弃公有云API为避免留下API调用日志和IP访问痕迹不再依赖ChatGPT等公有云大模型本地离线部署在攻击者自有服务器部署离线开源大模型环境批量生成高质量诱饵自动产出行文专业、逻辑通顺的邮件正文、公文报告、业务文档诱饵肉眼几乎无法分辨RAG辅助自动解析窃取的海量涉密资料迭代优化恶意代码和钓鱼内容目标政府机构、科研院所、金融、Web3行业防御启示找语病、挑翻译错误的传统钓鱼识别经验已彻底失效。防御必须回归附件管控宏/脚本执行限制、行为审计异常登录、批量数据访问和身份核验设备码认证管控、带外确认。6.2 APT28多阶段钓鱼战役利用CVE-2026-21509Trellix披露APT28Fancy Bear/UAC-0001在1月28–30日对欧洲政府、国防和外交组织发起鱼叉邮件攻击武器CVE-2026-21509Microsoft Office OLE安全功能绕过公开披露后24小时内武器化诱饵武器走私警报、军事训练邀请、欧盟/北约外交咨询请求、气象紧急公报——均使用真实政府信头、双语格式和部长印章发送源被入侵的真实政府账户通过SPF/DKIM/DMARC验证双路径感染Chain A部署BEARDSHELL/Covenant Grunt使用filen.io云存储做C2Chain B部署NotDoor恶意Outlook VbaProject.OTM静默转发所有收件箱邮件6.3 某国家级威胁行为体利用VMware vCenter漏洞国际安全机构观测到与某国家级威胁行为体关联的集群利用Broadcom VMware vCenter CVE-2026-59310目录遍历→RCE攻击涉及部署恶意cron任务建立持久化使用reverse_ssh工具。该活动与此前已知集群的TTP一致。七、执法行动与反制7.1 瑞士判决勒索软件开发者近13年监禁苏黎世法院对编写LockerGoga、MegaCortex、Nefilim勒索家族代码的52岁乌克兰籍开发者判处12年9个月监禁。法院认定其并非团伙头目仅为技术雇佣兵——这是勒索软件技术开发者首次在瑞士获得顶格量刑。7.2 美国引渡Black Axe五名头目五名被指控的Black Axe组织头目从南非引渡至新泽西罪名涉及浪漫诈骗、欺诈与洗钱。该团伙同时运营商业邮件入侵BEC其手法与勒索支付链高度重合。7.3 曼哈顿地检查封12个AI深度伪造网站曼哈顿地区检察官办公室查封12个托管非自愿AI生成图像的网站涉及约1,200名受害者为迄今最大规模同类执法行动。7.4 乌克兰起诉Roblox账户窃取团伙乌克兰检方起诉三名嫌疑人指控其窃取并倒卖超过61万个游戏平台账户。攻击者使用被窃的会话令牌登录并转售——会话令牌可绕过密码甚至部分MFA校验。7.5 中国净网-2026专项行动阶段性成效公安部9月17日公布今年以来全国公安机关网安部门累计侦办网络违法犯罪案件3.6万余起开展网络和数据安全隐患排查7,900余次发现整改各类安全隐患和漏洞3.8万个侦办不履行网络安全、数据安全、个人信息保护义务类行政案件3.8万起。同时公布20起典型案例包括虚假摆拍编造网络谣言、侵犯公民个人信息、非法控制计算机信息系统等。八、本周修复优先级建议P0/P1/P2P024小时内Arista VeloCloud Orchestrator升级至5.2.3.16/6.4.2.8审查证书认证日志禁用不必要的Edge-to-VCO证书认证CISA截止9月25日F5 BIG-IP APM应用工程hotfix审查所有配置了APMOAuth的虚拟服务器检查/var/log/apm异常CISA截止9月25日Check Point Security Management Server安装R82.20 Security Hotfix或对应版本Jumbo Hotfix标准LivePatch不修复TCP/19009限制为可信IPCISA截止9月25日Check Point VPN网关/Spark Firewall升级至修复版本监控异常证书协商流量CISA截止9月25日Zyxel GS1900系列交换机升级固件限制管理接口暴露CISA截止9月24日Linux内核CVE-2025-39964/53266/39682随发行版紧急更新重点排查容器/云环境CISA已入KEVClaude Code / OpenAI Codex升级至2.1.179/0.146.0审计已安装插件清单P1一周内Check Point Security Gateway CVE-2026-85103ASN.1堆溢出9.8虽未确认被利用但同产品批次处理WordPress升级至7.1.2CVE-2026-87902路径遍历已野外利用GitHub Copilot禁用插件自动更新审计已安装插件等待微软补丁上周遗留Cisco ISE/GitLab/ScreenConnect/Artifactory未完成整改的单位继续推进Microsoft 9月Patch Tuesday按优先级分批推送974个补丁优先两个zero-dayCVE-2026-85880/81963和20个wormable漏洞P2两周内AI代理资产盘点Claude Code、Codex、Copilot、Gemini CLI及所有插件纳入资产清单第三方JavaScript完整性监控审计所有嵌入的Brevo/sibforms脚本建立CDN边缘变更检测API安全基线审查对所有面向互联网的API强制认证、速率限制、WAF和审计日志合规响应流程加固建立数据访问请求带外核实机制Revolut/CenterPoint事件教训高价值账户令牌治理缩短会话有效期、启用异常会话检测、考虑令牌绑定九、趋势观察与建议零日漏洞3天修复窗口成为新常态CISA连续两周对高危漏洞仅给3天修复窗口上周Cisco ISE、本周网络边界四漏洞。KEV响应必须以小时为单位组织建议固化KEV监控→预授权变更→批量推送高速通道。AI代理攻击从理论进入实战西班牙AEPD首起确认案例Plugin4ShellAI记忆插件投毒三线并进表明AI代理已成为真实攻击面。建议本周内完成AI代理资产盘点按数据库等级实施网络隔离与最小权限。网络边界四大支柱同时失守的系统性风险VeloCloudSD-WAN编排、BIG-IP应用交付、Check Point SMS防火墙管理、Check Point GatewayVPN接入在同一周全部出现已利用零日。建议立即收敛所有网络设备管理接口至专用管理网段管理凭据独立于业务域并强制短期轮换。传统钓鱼识别经验失效Kimsuky本地离线大模型生成的诱饵无语法错误、逻辑通顺、格式专业。防御重心必须从内容识别转向行为管控附件宏/脚本执行限制、异常登录检测、批量数据访问告警。供应链攻击进入边缘计算阶段Brevo攻击利用Cloudflare Worker在CDN边缘篡改响应源文件未被修改。传统完整性检查SRI哈希、源文件校验无法检测边缘层篡改需要增加CDN/边缘计算配置变更监控。API安全成为独立关键领域CenterPoint Energy的API无任何认证和防护即暴露749万记录。建议对所有面向互联网的API实施默认拒绝策略将API纳入与Web应用同等级的漏洞管理和渗透测试范围。十、信息来源类别来源CISA KEV 9月22日更新CISA Known Exploited Vulnerabilities Catalog、CSIRTS.com、Security ResilienceF5 BIG-IP/CVE-2026-94127F5 K000162605、SecurityWeek、Rapid7、ScottHarvanek.comArista VeloCloud/CVE-2026-93952Arista Security Advisory 0183、SecurityWeek、AviatrixCheck Point/CVE-2026-93616/85102/85103Check Point sk1000171、Help Net Security、CY.FAR、The Next Gen Tech InsiderZyxel/CVE-2026-7273CISA KEV、East Bay Cyber KEV DashboardLinux内核三漏洞CVE Brief 9月18日/23日、CISA KEVPlugin4ShellAIR Security、CSA Labs、Help Net Security、The Register、IT Security News西班牙AI代理泄露AEPD官方博客、El País Cinco Días、Reuters、The Register、PCRiskBrevo供应链攻击SecurityWeek、BleepingComputer、Sansec、F5 Labs Weekly Threat Bulletin、Invaders CybersecurityKimsuky AI升级ZONE.CI、AI紫队安全研究APT28活动Trellix SecondSight Threat Hunting Report勒索与泄露Ransomware.live、CTIWatch、Security Affairs、The CyberSignal、Threat Beat执法行动The CyberSignal、瑞士/美国/乌克兰/中国官方通报HiddenLayer AI报告HiddenLayer 2026 AI Threat Landscape Report、Infosec.ge免责声明本周报基于公开威胁情报源整理仅供内部安全运维参考。文中所述CVE编号、IOC、修复版本等信息请以各厂商官方公告为准。涉及CVE细节与利用代码请遵循负责任披露原则禁止用于未授权测试。