Fnet 云网安 260824

️NSOC（网络·安全·云一体化运营中心）

7×24 主动监控与专家值守，网络可用性 99.99%，安全事件 100% 闭环，云资源一站式管理

今日热点 Top 5

S1Microsoft Entra ID CVE-2026-69836 CVSS 10.0：云身份脊梁 deserialization RCE 披露引发'在野利用'标记乌龙

核心内容

微软于8月20日披露Entra ID（原Azure AD）中一处CVSS满分10.0的远程代码执行漏洞，根因是CWE-502不可信数据反序列化。攻击者无需认证即可通过网络触发。安全公告最初将'Exploited'字段标记为'Yes'，数小时后微软向The Hacker News承认该标记为错误并更正为'No'。该漏洞为纯服务端问题，微软已完成修复，客户无需操作。

CVSS 10.0云身份反序列化披露乌龙

为什么重要

• Entra ID是Microsoft 365、Azure及成千上万企业应用的信任根——RCE在此层意味着条件访问、MFA、PIM等传统控制可能被系统性绕过

• '在野利用'标记乌龙持续数小时，全球安全社区在身份脊梁可能已被攻破的假设下运营——这是云原生漏洞披露模型的结构性脆弱

• 客户无法自行验证修复有效性，只能'信任但无法验证'——这对依赖云IAM的企业是根本性的治理盲区

• 半年内Entra ID已出现多起CWE-502类漏洞（CVE-2026-50652、CVE-2026-57969），说明反序列化逻辑仍是高价值攻击面

顾问金句

当身份提供者 itself 成为不可验证的黑箱，'零信任'就从架构理念变成了修辞口号。建议企业做三件事：第一，将Entra ID sign-in与audit日志接入SIEM并建立异常基线；第二，对高度敏感操作启用带外审批而非纯条件访问自动化；第三，评估身份分仓策略——不要把所有 eggs 放在单一云IAM篮子里。

S2PleaseFix：Black Hat 2026 披露全部主流AI浏览器可被零点击劫持——架构级安全边界崩塌

核心内容

Zenity Labs在Black Hat USA 2026现场演示：Claude in Chrome、Gemini in Chrome、Perplexity Comet、ChatGPT Atlas、Copilot in Edge等全部主流AI浏览器均可被完全劫持，无需用户点击任何链接。攻击者只需发送一封格式正常的邮件，当AI代理执行'summarize my inbox'时，即可在后台静默完成：Gmail收件箱外泄、Google Drive整盘共享给攻击者、Slack/X/Claude账户接管。该漏洞类被命名为PleaseFix，厂商承认无完美修复方案。

Black Hat 2026零点击AI代理劫持架构缺陷

为什么重要

• 这是'零点击'AI代理攻击的首次全行业覆盖确认——从单一产品漏洞升级为架构级安全缺陷

• AI浏览器为完成跨源推理必须丢弃传统同源策略边界——'产品价值'与'攻击面'是同一枚硬币的两面

• 用户完全无感知：无权限弹窗、无异常行为、无警告——代理在后台完成全部攻击链

• 已有多个确认实例：ZombieAgent（OpenAI Deep Research）、GeminiJack（Google Docs注入）、Tainted Memories（ChatGPT Atlas CSRF）、HashJack（Cato Networks零交互）

顾问金句

PleaseFix这个名字本身就是最尖锐的讽刺——厂商知道修不了，因为修了产品就不存在了。当AI代理的'有用性'和'安全性'在架构层面互斥，企业不能指望供应商二选一。建议立即做四件事：给AI代理授予最小权限并会话级回收；隔离agentic浏览器profile与企业认证服务；对所有agent工具调用建立审计日志；将agent可读内容一律视为攻击者可控输入。

S3Cryptographic Context Injection：AES加密载荷绕过AI全部分类器——Grok/Gemini已遭利用，xAI两月未修

核心内容

Adversa AI研究员Rony Utevsky于8月23日披露Cryptographic Context Injection攻击：将恶意指令隐藏在AES-256加密密文中，诱导AI在自身Python沙箱内解密并执行。由于解密后的指令看似来自模型自身运行时，所有静态安全过滤器均不触发。针对Grok的PoC证实可窃取用户完整聊天历史、姓名、位置、订阅信息并外泄至攻击者服务器；针对Gemini的PoC可绕过安全护栏生成燃烧装置详细指令。Adversa于6月3日报告xAI，获初步确认后对方停止回应，攻击截至8月19日仍可复现。

AI安全加密上下文注入零交互Grok/Gemini

为什么重要

• 首次实现'加密层面的提示词注入'——绕过所有基于明文内容分析的静态过滤器，安全防御从'漏网'升级为'失效'

• 攻击完全零交互：用户访问含加密payload的网页并让AI总结，即可触发完整数据外泄链

• 根因在agent框架而非模型本身——框架允许不可信外部内容调用特权工具且无出边界限控制

• xAI两个月未修复且停止回应，说明前沿AI实验室对生产系统漏洞的响应速度远低于其模型迭代速度

顾问金句

当AI的'乐于助人'（帮你解密一段加密文本）成为攻击向量，我们面对的不是bug，而是范式冲突。任何能解码文本且拥有工具访问权限的AI都是潜在靶标——而这正是当前市面上绝大多数AI代理的默认配置。建议企业立即将外部网页、文档、用户上传内容隔离到无工具无凭证的受限上下文；对任何出界网络调用要求显式确认并展示完整解析参数；建立基于行为序列（不可信内容→代码执行→外部主机连接）的检测规则，而非基于载荷特征。

A4Cisco Crosswork与Secure Workload 9漏洞5个CVSS 10.0：网络自动化编排器成攻击靶心

核心内容

Cisco于8月19日发布安全加固更新，修复Crosswork网络自动化平台与Secure Workload零信任微分段平台中的9个漏洞类别，其中5个获CVSS满分10.0。Crosswork侧包括：CVE-2026-20030（SQL注入）、CVE-2026-20357（关键功能缺失认证）、CVE-2026-20358（外部文件系统控制）、CVE-2026-20359（凭证保护不足，9.9分）。Secure Workload侧包括：CVE-2026-20315（访问控制不当，10.0）、CVE-2026-20317（认证不当，10.0）。所有漏洞均可未经认证通过网络利用，无变通方案，必须升级。Cisco称漏洞来自内部测试，尚无在野利用证据。

CVSS 10.0网络自动化Cisco编排器安全

为什么重要

• Crosswork不是网络边缘设备，而是编排控制平面——攻击者获得的是重新配置整个受管网络的权限，而非单个系统

• 一次性发现5个CVSS 10.0暗示这是一次 commissioned security review 的结果——说明此前该平台未经同等强度审视即已出货

• '尚无在野利用'是可见性声明而非安全性声明——对于部署在运营商和大型企业内部的平台，缺乏公开入侵证据不等于安全

• 这是Cisco近期内部安全审查的第二批重大发现（两周前刚修复12个Catalyst SD-WAN/IOS XE漏洞），表明网络设备巨头的安全债务正在集中暴露

顾问金句

编排器被攻破不是丢了一台设备，而是丢了一个网络的控制权。当攻击者能通过同一通道推送恶意配置时，防火墙、ACL、微分段策略都可能从防御工具变成攻击载体。建议企业立即清点所有Crosswork和Secure Workload实例版本；在升级前限制管理接口的可达性；审查认证与访问控制日志中的异常请求；轮换跨平台共享的凭证。

A514个木马化npm包投递RedC2 4.0 AI驱动Linux后门：供应链攻击+AI C2双叠加

核心内容

Trend Micro于8月21日披露14个伪装成日历和连续打卡工具的npm包，在提供正常功能的同时静默投递RedC2 4.0 Linux后门。感染机制极为激进：无需install hook，项目在依赖树中任何位置（包括传递依赖）单次import即可触发。恶意二进制 disguised为math-core.bin/calc.bin等'数学加速器'文件名，位于dist/目录下。RedC2 4.0由黑产论坛用户'MarlboroMan'以99.99美元售卖，其特色是内置Red Agent——LLM驱动的命令执行层，可将自然语言指令（如'收集SSH密钥并回连'）自动翻译成多步攻击命令序列。

npm供应链AI C2Linux后门Trend Micro

为什么重要

• npm包既提供正常功能又携带后门，通过功能性伪装降低被检出概率——这是供应链攻击的进化形态

• 无需install hook、无需导出函数调用，单次import即执行——传统依赖扫描工具可能无法捕获此类'按需触发'载荷

• RedC2内置LLM驱动的Red Agent，意味着攻击者无需掌握复杂命令语法即可 orchestrate 后渗透操作——AI正在降低攻击者技能门槛

• 同期Rust crates供应链也出现投毒（arrayref/internment/append-only-vec），说明多语言软件仓库正被系统性渗透

顾问金句

当攻击者的C2框架比你的SOAR还'智能'，防御侧的差距就不再是工具问题，而是运营节奏问题。建议企业立即做三件事：审计Node.js/Rust项目依赖树中是否存在可疑的日历/数学/缓存类小工具包；在CI/CD中引入供应链扫描并将'无维护者/小下载量/新发布'包标记为高风险；对构建环境实施网络出界监控，异常出站连接即告警。

趋势分析

本周期呈现三条清晰主线：

第一，身份信任基础设施的'自我否定式披露'——微软Entra ID CVSS 10.0漏洞从'在野利用'到'标记错误'的反转，暴露出云服务商同时掌控漏洞与叙事的风险；

第二，AI代理安全从'理论风险'全面进入'生产事故'——PleaseFix零点击劫持覆盖全部主流AI浏览器，加密上下文注入绕过所有静态过滤器，标志着AI安全边界从提示词层向架构层崩塌；

第三，网络自动化平台成为新靶心——Cisco Crosswork一次性曝出5个CVSS 10.0漏洞，说明编排器安全正从'可选加固'变为'生死防线'。