Citrix NetScaler零日误差遭使用

宣布时间 2026-09-28

1. Citrix NetScaler零日误差遭使用


9月27日，Citrix确认NetScaler ADC和NetScaler Gateway保存两个严重零日误差CVE-2026-88771和CVE-2026-88772，且在官方补丁宣布前已遭攻击者现实使用 。两误差CVSS评分均为9.5，其中CVE-2026-88771属于输入验证缺陷，可被未经身份验证的攻击者使用执行恣意下令；CVE-2026-88772属于内存溢出误差，在启用DTLS的装备上可能导致远程代码执行或拒绝服务，尤其涉及默认启用DTLS的NetScaler Gateway VPN虚拟服务器 。攻击运动最初由IT供应商和清静团队向管理员发出私下预警，随后获watchTowr及荷兰国家网络清静中心等机构确认 。Citrix于9月27日宣布修复程序，并建议受影响用户尽快升级至14.1-73.37、13.1-64.23及更高版本，同时提供入侵指标（IoC）用于排查潜在入侵 。由于NetScaler普遍肩负VPN、远程会见、负载平衡和身份验证等要害功效，相关装备一旦遭入侵，可能成为攻击者进入企业网络界线的主要入口 。


https://securityaffairs.com/199873/security/citrix-confirmed-two-new-netscaler-flaws-exploited-as-zero-day.html


2. 微软SharePoint高危误差遭在野攻击


9月27日，微软SharePoint远程代码执行误差CVE-2026-65660已被发明遭现实攻击，距离微软于2026年8月“周二补丁日”宣布修复程序约六周，距离研究职员披露手艺细节仅数日 。该误差允许已认证且具有初级别权限的攻击者绕过类型检查，在无需用户交互的情形下执行恣意代码；若与其他身份验证绕过误差团结，还可能实现未经身份验证的远程代码执行 。微软于9月25日确认掌握针对该误差攻击的可靠证据，CISA同日将其纳入已知被使用误差（KEV）目录，并要求联邦机构限期完成修补 。威胁情报机构Previdian称，9月24日已发明相关使用实验，越日进一步发明攻击者建设WebShell后门的行为 。现阶段尚不清晰攻击者身份，相关攻击疑似在Viettel Security披露手艺细节后不久泛起 。值得注重的是，微软最初将该误差评估为中等严重度诱骗问题，后调解为高危远程代码执行误差 。


https://www.securityweek.com/microsoft-sharepoint-flaw-cve-2026-65660-now-exploited-in-attacks/


3. Clop数据泄露网站遭入侵并迁徙


9月25日，勒索软件团伙Clop的数据泄露网站克日遭ShinyHunters入侵并改动，攻击者随后将网站替换为全页面，并宣称窃取了Clop Tor洋葱服务的源代码、Grav CMS插件、服务器日志及私钥 。Clop确认其服务器运行的Grav CMS 1.7.43未完成更新，并已将数据泄露网站迁徙至新的Tor地址，同时否定与ShinyHunters保存合作或谈判关系 。经Grav CMS开发方确认，攻击所使用的误差为CVE-2026-42608，是Grav焦点中的未经身份验证路径遍历误差，攻击者可通过结构恶意参数，使文件上传路径被建设至预期目录之外，从而向Grav装置目录其他位置写入文件 。该误差此前已在Grav 2.0中修复，但恒久未向1.7分支移植，导致旧版本仍保存危害 。Grav在确认误差细节后，于近期宣布1.7.53.4版本并完成修复，鞭策仍使用1.7分支的用户尽快升级 。


https://www.bleepingcomputer.com/news/security/shinyhunters-hacked-clop-leak-site-using-grav-cms-path-traversal-flaw/


4. Bitget遭疑似朝鲜黑客攻击损失3.5亿美元


9月25日，加密钱币生意所Bitget体现，9月24日发明少数热钱包和温钱包爆发未经授权转账，疑似与朝鲜有关联的威胁行为者窃取约3.516亿美元数字资产，随后平台一度暂停提现 。Bitget称，用户余额、冷钱包及大部分平台资产仍坚持清静，存款和生意功效正常，用户�；せ鸾绺捍舜纹教ㄊ挛裨斐傻挠跋� 。公司已团结Mandiant和SlowMist开展视察，首席执行官体现，受影响资产包括多个区块链上的ETH、XRP、BNB、AVAX、USDT和USDC，攻击者疑似通过攻破后端钱包系统、伪造生意数据并绕过授权流程转移资金 。Bitget已联系相关区块链基金会，部分基金会据称已冻结攻击者钱包地址 。凭证IP行为模式及链上剖析，Bitget方面以为此次攻击手法与已知朝鲜黑客组织的攻击模式高度一致 。Bitget称其服务笼罩150多个国家和地区、用户凌驾1.2亿，此次事务如进一步扩散，可能对平台资产清静及用户信任造成影响 。


https://securityaffairs.com/199754/cyber-crime/cryptocurrency-exchange-bitget-says-north-korea-linked-hackers-stole-351-6-million.html


5. Kiteworks遭潜在零日攻击威胁


9月25日，科技巨头Kiteworks克日收到执法部分提供的可信威胁情报，称威胁行为者可能试图攻击部分客户系统，公司随即向客户发出警报，并建议在周末前尽快关闭相关系统，以提防潜在零日攻击 。Kiteworks首席信息清静官体现，现在尚未发明公司自身系统遭到入侵，此次通知属于预防性步伐，公司已在最新软件版本9.5.1中修复所有已知误差，并建议客户升级 。Kiteworks担心其产品可能保存尚未知晓的误差，攻击者可能使用这些误差在厂商完成修复前实验攻击 。现在尚不清晰详细受影响客户数目及潜在攻击者身份，Kiteworks客户笼罩医疗、科技、教育、汽车和政府等多个行业 。一名医疗行业客户在收到警报后连忙关闭服务器，导致医生与患者联系泛起延迟和中止 。Kiteworks前身为Accellion，2021年曾因文件传输产品误差遭大规模攻击，数百家机构的数据被窃取并遭勒索 。


https://techcrunch.com/2026/09/25/kiteworks-urges-customers-to-shut-down-their-servers-amid-imminent-threat-of-cyberattack/


6. Carbonato僵尸网络攻击袒露Docker主机


9月24日，新型僵尸网络恶意软件Carbonato正在针对Docker守护历程袒露且缺乏身份验证的主机实验攻击，通过2375端口会见Docker API，启动特权容器并获取主机控制权 。ThreatDown研究职员发明，该恶意软件具有蠕虫式撒播能力，可一连扫描网络中的其他袒露Docker守护历程，并从未经身份验证的Docker注册表获取恶意植入程序 。入侵后，Carbonato通过反向SSH隧道建设远程控制通道，并使用cron、systemd、rc.local及OpenRC等机制实现长期化，同时通过Telegram回传安排信息 。此次攻击的突出特点是将Hermes Agent AI框架装置到受害主机，并使用名为“GH0ST”的代理执行攻击者下发的使命，包括网络AI API密钥、SSH凭证、会见令牌等敏感信息、执行下令并返回效果，从而增强攻击者对受熏染主机的交互式控制能力 。ThreatDown掌握的相关运动证据笼罩2024年10月至2026年8月，但现在无法将Carbonato与已知威胁组织关联 。


https://www.bleepingcomputer.com/news/security/new-carbonato-malware-uses-ai-agents-to-hijack-exposed-docker-hosts/