每日安全简讯(20260701)

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 攻击者劫持npm和Go包传播跨平台窃密程序

安全研究人员披露，两个被劫持npm包和一组Go包被用于向Windows、Linux和macOS主机部署基于Python的信息窃取程序。已披露信息显示，相关npm包包括html-to-gutenberg和fetch-page-assets，二者曾于2026年5月25日上传至npm。攻击者将执行过程隐藏在VS Code任务中，配置为在VS Code或Cursor等IDE打开项目文件夹时自动运行。恶意载荷伪装成字体文件，并通过区块链交易数据获取加密JavaScript，再连接攻击者控制基础设施，启动socket.io后门并部署Python窃密程序。该恶意软件可收集浏览器凭据、加密货币钱包、开发者工具凭据、云存储元数据、操作系统凭据存储和文件系统数据。

https://research.jfrog.com/post/hijacked-npm-vscode-tasks-blockchain/

---

2 俄罗斯背景攻击者利用虚假短信窃取凭证

乌克兰官方机构披露，其与美国执法部门联合破获一项长期网络行动，攻击者被指与俄罗斯情报机构有关，目标包括乌克兰、欧洲和美国的政府官员、军方人员、政界人士和活动人士的即时通讯账户。已披露信息显示，该行动旨在获取受害者在即时通讯应用中交换的敏感军事、政治和经济信息，并窃取个人数据。攻击者会发送伪装成即时通讯平台客服机器人的短信，诱导用户泄露账户凭证。乌克兰方面表示，攻击目标不仅包括组织、官员和公众人物，也包括乌克兰公民个人账户。公开信息未将该活动归因于具体黑客组织，但类似Signal和WhatsApp攻击曾与多个俄罗斯相关攻击活动集群有关。

https://thehackernews.com/2026/06/ukraine-says-russian-intelligence-used.html

---

3 Nissan遭Oracle零日漏洞攻击后数据泄露

Nissan披露，其在任和前任员工数据可能在Oracle PeopleSoft相关攻击中遭泄露，事件与ShinyHunters勒索组织有关。已披露信息显示，Nissan Americas使用Oracle PeopleSoft管理员工信息，包括工资、税务管理和其他人事记录。Oracle告知该公司，一起网络安全事件可能导致数百家公司员工档案被攻击者获取，Nissan随后确认自己是此次攻击的特定目标。Nissan表示，调查仍处于早期阶段，尚未确定完整影响范围，但攻击者可能获取员工联系信息、银行信息、社会保障号码、社会保险号码、国民身份证号码、财务和税务信息，以及受抚养人和受益人信息。受影响人员可能包括美国、加拿大、墨西哥和巴西的现任及前任员工。相关攻击被认为源于Oracle PeopleSoft PeopleTools漏洞CVE-2026-35273遭零日利用。

https://oag.ca.gov/ecrime/databreach/reports/sb24-625558

---

4 TP-Link多款路由器存在未认证命令注入漏洞

TP-Link发布CVE-2026-11834安全公告，披露多款路由器存在高危命令注入漏洞。已披露信息显示，该漏洞CVSS评分为8.7，影响Archer MR200 V7/V8、Archer MR402 V1、Archer VR2100 V1、Archer C20 V5/V6和TL-MR6400 V7等型号。问题源于DHCP选项处理过程中验证不当，路由器未能对外部提供的DHCP选项数据进行清理。相邻攻击者可向未配置的目标设备发送特制DHCP响应，在设备初始化过程中触发未经授权的命令执行。成功利用后，攻击者可在本地网络中以提升权限执行任意命令，并可能获得对受影响设备的管理控制。

https://securityonline.info/tp-link-router-command-injection/

---

5 Webmin修复可冒充任意用户的认证绕过漏洞

Webmin发布2.641版本，修复三个安全漏洞，其中最严重的CVE-2026-56020允许未经身份验证攻击者冒充任意已配置用户。Webmin是运行在类Unix服务器上的网页管理面板，可管理用户、服务、DNS服务器和数据库等。已披露信息显示，CVE-2026-56020的CVSS评分为9.2，源于Webmin HTTP服务器miniserv.pl信任伪造HTTP标头，远程攻击者可伪造证书DN并绕过凭据完成身份验证。CVE-2026-56022涉及特制User-Agent标头使Webmin接受基本身份验证而无需会话Cookie，从而绕过额外多因素身份验证检查。CVE-2026-56021允许未经身份验证用户读取模块目录中以.conf结尾的配置文件。

https://webmin.com/security/#webmin-prior-to-2641

---

6 Squidbleed漏洞可泄露其他用户HTTP请求内容

安全研究人员披露，Squid代理服务器中的Squidbleed漏洞CVE-2026-47729可泄露其他用户HTTP请求内容，包括密码、会话令牌、授权标头、Cookie和API密钥等敏感信息。已披露信息显示，该漏洞位于Squid的FTP目录列表解析器中，相关代码可追溯至1997年。攻击者可让代理访问其控制的FTP服务器，随后返回在时间戳后立即结束的列表行，使解析逻辑读取字符串空字节之后的数据并越过缓冲区末尾。Squid随后会将陈旧堆数据复制到列表行中，被回收缓冲区中可能仍包含其他用户HTTP请求。该问题主要影响共享代理环境中的明文HTTP和TLS终止代理流量。公开技术细节和概念验证代码已发布。

https://blog.calif.io/p/squidbleed-cve-2026-47729

---