每日安全简讯(20260829)

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 澳大利亚逮捕两名TeamPCP黑客成员

澳大利亚联邦警察联合FBI等机构逮捕两名涉嫌参与TeamPCP黑客组织活动的男子。该组织过去一年持续针对开源软件及开发者平台实施供应链攻击，通过向受信任软件组件注入恶意代码，窃取凭证、认证信息及源代码，曾影响Trivy、LiteLLM、SAP、TanStack等项目，并入侵欧洲委员会、Mistral AI、OpenAI及GitHub。执法部门称，相关攻击可能已影响全球逾1000家机构，窃取约50万份凭证及至少300GB数据，造成数亿美元修复成本。两名嫌疑人目前面临共14项指控，后续不排除进一步逮捕。

https://www.afp.gov.au/news-centre/media-release/two-wa-men-charged-following-afp-fbi-wapf-disruption-alleged-global

---

2 GPUThor攻击可绕过英伟达ECC保护

多伦多大学研究人员披露新型GPU Rowhammer攻击“GPUThor”，可绕过英伟达GPU的ECC内存保护机制，对RTX A4000、A4500、A5000和A6000等Ampere架构显卡实施高频位翻转。研究显示，该攻击可触发不可纠正的多比特错误，导致GPU周期性重置、工作负载中断，并可进一步破坏GPU页表，使低权限CUDA程序获得任意内存访问能力，最终实现主机Root权限提升。研究人员认为，A100等服务器级GPU也可能受到影响，英伟达已发布缓解建议，包括启用SYS-ECC、IOMMU/DMA隔离并限制不可信GPU工作负载。

https://gururaj-s.github.io/assets/pdf/CCS26_GPUThor.pdf

---

3 Avada严重漏洞链可实现零点击RCE

Wordfence披露，WordPress热门主题Avada存在严重漏洞链CVE-2026-18431，CVSS评分9.8。攻击者无需身份认证和用户交互，即可串联6项授权、输入校验、信任边界及文件处理缺陷，在服务器上执行任意PHP代码。成功利用后可完全控制网站、植入恶意软件、访问数据库、创建恶意管理员账户或将访客重定向至恶意页面。漏洞影响Avada 7.16及之前版本和Fusion Builder 3.16及之前版本，官方已发布7.16.1和3.16.1版本完成修复。

https://www.wordfence.com/blog/2026/08/wordfence-argus-finds-complex-6-step-critical-rce-in-avada-theme-with-1-million-sales/

---

4 NetScaler高危漏洞遭在野利用

美国CISA警告，Citrix NetScaler ADC和NetScaler Gateway高危漏洞CVE-2026-8452已遭攻击者在野利用，并要求美国联邦机构于8月29日前完成修复。该漏洞源于内存溢出问题，影响配置Gateway VPN或AAA虚拟服务器的设备，成功利用不仅可造成拒绝服务，还可能使攻击者以Root权限远程执行代码。安全研究人员近期已观察到攻击者批量扫描并利用该漏洞，在受感染设备上部署WebShell。目前公网仍暴露超过2.3万台相关NetScaler设备。

https://www.bleepingcomputer.com/news/security/cisa-hackers-now-exploiting-citrix-netscaler-rce-flaw-in-attacks/

---

5 Qilin声称入侵美国ATF系统

美国烟酒枪炮及爆炸物管理局（ATF）确认，其一套独立系统遭网络攻击，并将事件定性为“重大事件”。此前Qilin勒索软件团伙已在暗网泄露站点将ATF列为受害者，但未说明是否窃取数据或提出赎金要求。ATF表示，受影响系统与其企业网络相互隔离，目前没有迹象表明企业网络、eForms系统或其他业务系统受到影响，机构运营也未受干扰。事件发现后，ATF已切断相关环境连接，并联合美国司法部开展取证调查。Qilin自2022年活跃以来已宣称攻击超过2200家机构。

https://www.atf.gov/news/press-releases/atf-responds-to-cybersecurity-incident

---

6 Carhartt数据泄露影响1290万账户

数据泄露通知服务Have I Been Pwned披露，美国服装零售商Carhartt遭ShinyHunters勒索组织入侵，超过1290万个账户信息被泄露。攻击者声称窃取超过50GB数据，涉及客户、员工及企业内部信息，并在Carhartt拒绝支付330万美元赎金后将数据公开。泄露信息包括姓名、邮箱、电话号码、地址等，另有超过1.5万名员工邮箱出现在数据集中。分析显示，事件与Carhartt的Databricks分析平台遭入侵有关，目前Carhartt尚未正式确认该事件。

https://www.bleepingcomputer.com/news/security/carhartt-data-breach-exposes-information-of-129-million-accounts/

---