“Hacktober”十月网络安全事件汇总：从加密资产失窃到软件供应链攻击

Cybersecurity News将十月多起网络安全事件称为“Hacktober”。这些事件涉及加密货币平台、软件供应链、云端凭证、政府数据和零售系统，攻击方式和影响范围各不相同，并非同一组织发起的统一行动。以下按原文逐项整理：

加密货币平台与金融服务

  • 币安：平台调查一起安全事件，报道将相关异常交易规模估计为约63亿美元，并称约30亿美元已由区块链合作方冻结。初步调查指向一名DevOps工程师的笔记本电脑可能遭入侵，攻击者或借此访问服务容器并提交未经授权的提现交易。币安称未发现钱包私钥泄露，并承诺承担损失。报道提醒，异常转出、被冻结资产和最终无法追回的损失是不同口径。
  • Polymarket：恶意JavaScript被植入其国际平台页面，试图从浏览器存储中获取交易凭证并操作活跃交易会话。外部分析将至少270万美元提现与710个钱包联系起来，但平台当时未确认这一金额。
  • Coinbase：其数据分析供应商Amplitude发生安全事件，部分客户联系信息可能暴露。Coinbase表示自身系统和客户资金未受影响；这起事件涉及第三方持有的信息，不是已确认的交易所钱包被盗。

软件漏洞与恶意供应链

  • PHP（PHP2Shell）：两个严重漏洞CVE-2026-109618和CVE-2026-109619被评为9.2分，在特定配置下可能允许未认证攻击者在服务器执行代码。报道列出的修复版本包括PHP 8.2.35、8.3.36、8.4.27和8.5.12。AWS报告称，公开披露前已观察到利用尝试；但尝试攻击不等于成功入侵。
  • Node.js：一次安全更新修复10个漏洞，其中4个为高危，涉及Brotli解压内存损坏、TLS主机名验证和DNS处理等问题。报道列出的修复版本为26.12.1、24.22.1和22.23.4。
  • LiteLLM：PyPI上的1.107.0版本被植入凭证窃取程序和远程访问木马，恶意代码也进入了相关容器镜像。它可能搜索云凭证、SSH密钥、浏览器数据和AI服务令牌；Python启动钩子还可能使恶意代码在用户未主动导入LiteLLM时运行。报道指出，单纯降级无法消除已泄露凭证的风险。
  • GitHub Actions（GhostAction）：恶意工作流被加入数百个公开代码库，用于窃取CI/CD环境中的云密钥、SSH凭证、容器仓库登录信息、数据库密码和GitHub令牌。报道描述的是攻击者滥用代码库自动化流程，并非GitHub中央平台遭入侵。
  • npm可信发布机制：研究披露一项可能导致超过1500个软件包被接管的机制弱点。原文将其描述为潜在攻击机会，并未称所有相关包都已经发布恶意代码。
  • Cursor扩展市场：恶意Claude Code扩展包曾出现在其VS Code扩展市场中。原文称这是恶意扩展包的分发事件，不代表Cursor编辑器代码库或所有用户安装都已被攻破。

云服务、开发工具与凭证暴露

  • Railway：公司披露客户环境变量可能被未授权访问，其中包括部分已解密的变量。环境变量可能含数据库密码、云令牌和AI服务密钥；公司暂停部署调查，并建议客户轮换密钥。报道强调的是“可能暴露”，并非每个客户变量都已确认被盗。
  • OpenCode：公司称约1.4%的Console用户受事件影响，部分工作区连接的第三方服务API密钥可能暴露。这个比例指其Console用户范围，并不代表所有使用开源编码工具的人都受影响。
  • Fireworks AI、TiDB Cloud和Warp：原文提及这些服务名称，但作者表示其资料不足以确认三者各自发生了对应的事件。因此，不能据此断言这些平台的模型、数据库或开发会话已被攻击者访问。

证书与政府数据

  • eMudhra证书机构：八个中级证书颁发机构私钥被发现可恢复，引发浏览器和操作系统厂商采取紧急封锁措施。报道说，公司否认其基础设施遭入侵，并称受影响的中级机构没有签发终端实体证书；eMudhra随后宣布退出全球SSL/TLS证书业务。原文提醒，密码密钥存在问题与网络遭入侵是两类不同情况。
  • 美国国防部人员数据：报道称，超过300万人的记录可能受影响，包括约276万名在世人员和29.4万名已故人员。未经授权的访问据称发生在2025年10月至2026年7月，源于文件共享漏洞；这是十月披露的事件，但入侵并非始于2026年10月。
  • 丹麦人口记录：约880万条登记记录涉及一次对人口数据的未授权访问。报道指出，记录中包括已故人士和居住海外者，因此数字高于丹麦现有人口；攻击者利用的是一家私营公司的获准连接。

企业系统和零售运营

  • Capcom：Capcom ID事件涉及约1177万条客户记录暴露。
  • SoftBank：原文提到约13.7万用户的数据暴露，但这起第三方数据事件发生于2025年6月，不能算作2026年10月新发生的网络入侵。
  • Ahold Delhaize：这家食品零售集团发现网络安全问题后，将部分系统下线进行调查。
  • 法国超市冷藏系统：原文提到法国超市冷藏系统遭远程干扰的报道，但作者未能找到该站点对应的可核实报道，因此没有进一步确认范围和细节。

原文特别提醒，汇总中的事件并非都属于已确认的数据盗窃或成功入侵：有些是恶意软件包，有些是漏洞或潜在暴露，还有些是较早发生、到十月才披露的事件。币安的异常交易金额也不能直接等同于最终损失；第三方服务或密钥暴露，也不能自动推导为相关平台的全部客户数据已遭窃取。

来源：Cybersecurity News：Hacktober – Cyberattack Wave Hits PHP, Node.js, Binance, LiteLLM, Pentagon, and a Few More