LiteLLM服务器袒露，AI网关成清静重灾区
宣布时间 2026-09-149月10日，数千台LiteLLM服务器已在网上袒露，其中数百台接受默认密码或无需身份验证，黑客可容易窃取敏感令牌甚至挟制基础设施。LiteLLM是开源AI网关，可同时会见OpenAI、Anthropic、Gemini等多个LLM提供商，其Docker容器被拉取超2.4亿次，今年早些时间还曾遭大规模供应链攻击。谷歌旗下Wiz扫描发明超85,000个LiteLLM实例，检查的3074台服务器中有294台完全无需验证或接受默认主密钥“sk-1234”，且三分之一的云情形运行着LiteLLM安排。一旦袒露，不但API密钥泄露，流经实例的提醒、响应及MCP毗连的外部工具都会袒露。攻击者可使用其举行API挪用增添本钱，还可将其作为跳板获取进一步会见权限，因其涉及代码执行，可运行服务器端Python并将请求路由到恣意内部URL。Wiz指出，未设置身份验证时所有用户都会被授予管理员权限；未修补版本保存授权后可执行根级代码的误差（CVE-2026-59821），MCP端点身份验证缺陷允许无凭证登录并会见毗连工具（CVE-2026-59822），进而盘问数据库、读取GitHub代码库或读写文件系统。
https://cybernews.com/security/litellm-servers-exposed-require-no-password/
2. Revolut因伪造政府请求泄露客户数据
9月12日，Revolut证实因收到来自政府机构域名基础设施内电子邮件地址发送的诓骗性信息请求，该公司将敏感客户数据泄露给了未经授权的第三方。通知指出，该邮件包括有用的域名身份验证凭证，通过了旨在确认邮件来自政府机构的验证。Revolut体现，基于合理理由相信这是真实请求并予以知足。泄露数据包括客户身份和联系方法（出生日期、邮寄地址、电子邮件、电话号码）、护照和驾照复印件、验证自照相、账户对账单及生意纪录，其中生意纪录涵盖比特币。这并非手艺误差：没有系统被入侵，没有恶意软件，服务器未被外部会见。攻击者要么在政府机构域名下建设恶意账户，要么入侵现有账户，然后提交看似正当的数据请求，Revolut事情职员处置惩罚了该请求，事后核实才发明是诓骗。Revolut称事务仅影响部分客户，已连忙联系，但未透露详细规模和涉事政府机构名称，也未说明是否影响特定国家或市场。
https://securityaffairs.com/198922/data-breach/revolut-exposed-kyc-data-after-fraudulent-government-email-passed-security-checks.html
3. 佛州车管局确认驾驶员数据库遭泄露
9月11日，佛罗里达州公路清静和无邪车辆管理局（FLHSMV）已证实，其DAVID驾驶员数据库在ShinyHunters勒索团伙声称入侵后遭遇数据泄露。此前，ShinyHunters声称窃取凌驾20万条驾驶员纪录。FLHSMV声明称，9月4日获悉一个国际网络犯法组织实验了数据泄露，事务已迅速获得控制，现在无进一步泄露。视察确定，攻击者使用了属于普兰特城警员局一名用户的被盗凭证，这些凭证被不当存储在该员工的小我私家电子装备上。该机构已通知佛州总审查长办公室，并正与州数字服务局和执法部分合作应对，称因属正在举行的刑事视察，更多信息将在适其时机宣布。然而，FLHSMV的视察效果与ShinyHunters的说法差别。黑客声称使用密码重置误差获取了多个DAVID账户会见权限，包括DMV员工和FBI特工账户，随后从9月3日起遍历纪录ID并下载相关HTML页面和图像。为证实入侵，攻击者分享了属于杰弗里·爱泼斯坦的DAVID纪录截图，含敏感小我私家信息和车辆信息。
https://www.bleepingcomputer.com/news/security/florida-confirms-dmv-database-breached-via-stolen-police-account/
4. JFrog Artifactory曝严重误差遭使用
9月11日，威胁行为者正使用JFrog Artifactory中的严重和高危误差绕过身份验证、获取管理权限，并在自托管服务器上安排Rust后门。云清静公司Wiz报告证实，该误差已在多个情形中被使用，包括团结CVE-2026-42018和CVE-2026-42016的使用链。第三个误差CVE-2026-82329是严重身份验证绕过误差，watchTowr本月初视察到有人使用其铸造管理员令牌。攻击者先使用CVE-2026-42018获取内部匿名用户的JWT，纵然匿名会见被禁用且权限较低；随后使用CVE-2026-42016将权限提升至管理员级别。8月15日至9月8日时代，多个威胁行为者使用这两个误差，某些情形下建设管理员账户仅用不到五分钟。攻击者建设管理员账户并天生恒久会见令牌后，装置恶意Groovy插件执行恣意下令，并通过安排基于Rust的后门建设长期性。Wiz体现，在多个案例中发明具有C2功效的定制Rust后门程序。下一阶段，攻击者下载特殊载荷，上传webshell，窃取Artifactory设置数据和集群加入密钥，枚举存储库、令牌和用户，并将SSH密钥添加到新建设账户中。
https://www.bleepingcomputer.com/news/security/artifactory-flaws-chained-in-attacks-deploying-backdoor-malware/
5. GitLab曝最高危误差，用户被鞭策连忙修补
9月11日，GitLab周四鞭策用户连忙修补其服务器，以应对编号为CVE-2026-85706的最高严重性路径遍历误差。该误差由清静研究员“s3ntago”通过GitLab的HackerOne误差赏金妄想报告，源于存储库提交API中路径限制不当和身份验证强制执行缺失。未经身份验证的攻击者可在“某些条件下”使用该误差从易受攻击的服务器读取恣意数据，例如凭证、密钥和敏感信息。虽然GitLab尚未将此误差标记为已被使用，但一天后，网络清静公司watchTowr报告称，攻击者已最先搜索未针对CVE-2026-85706打补丁的袒露在互联网上的GitLab服务器。watchTowr忠言称，已视察到针对该误差的野外探测，该误差允许攻击者通过单个HTTP请求读取恣意文件，并指出凭证近期GitLab误差情形，大规模使用可能不远，防御者应检查日志文件，查找包括“file.path”参数的HTTP POST请求以识别潜在攻击实验。
https://www.bleepingcomputer.com/news/security/gitlab-urges-users-to-patch-max-severity-path-traversal-flaw/
6. Cl0p声称入侵哈雷戴维森窃取270GB数据
9月12日，Cl0p团伙声称入侵哈雷戴维森内部网络，数据量达270GB，并在暗网泄露网站标注“通过种子文件、磁力链接宣布”，称该公司是四家“没有联系酷游官网”的企业之一。哈雷戴维森讲话人周五体现已注重到相关说法，但拒绝进一步置评。审查磁力目录后，此次泄露可能与Cl0p近期针对使用Windchill PLM软件的制造公司的勒索运动有关。Windchill由PTC开发，是全球主要制造商普遍使用的产品生命周期管理平台。果真目录显示了PTC Windchill 13服务包、WC12应用程序组件、Windchill管理员主目录、Solr服务器、Vaultlist文件及PublishModeLog等情形指标，涉及服务器日志、系统设置、备份信息及数据包管库引用，但尚不清晰各文件详细内容。PLM平台处置惩罚产品数据及工程师、制造商、供应商之间的实时势情流程，敏感数据泄露效果可能极为严重。Cl0p至少自2019年起运动，曾使用MOVEit、Fortra GoAnywhere和Cleo误差。6月，该团伙转向使用影响PTC Windchill PLM的零日误差CVE-2026-12569。
https://cybernews.com/news/harley-davidson-clop-data-breach-windchill-270gb/
京公网安备11010802024551号