每日 IT 安全摘要 · 2026-11-08（日）

覆盖时段：2026-11-07 09:07 JST → 2026-11-08 ~09:00 JST

1. IBM API Connect 一次披露大量 Critical：含未认证认证绕过、硬编码凭据与未认证 RCE — 影响 12.1.0.0–12.1.1.2（公告要求升到 12.1.1.3，无缓解措施）；CVE 亦列出 10.0.8.0–10.0.8.12。重点包括 CVE-2026-17301（签名校验不当导致未认证绕过，CVSS 9.8）、CVE-2026-17360（硬编码凭据可获完全管理权限，CVSS 9.8）、CVE-2026-17408（未认证 OS 命令注入 RCE，CVSS 9.8）、CVE-2026-17340（未认证路径穿越 RCE，CVSS 9.8）、CVE-2026-17362（未认证即可增删改租户，CVSS 9.8）等。本窗 NVD/GHSA 集中入库。若在用 API Connect，按 IBM 公告立即升级。
2. 🔴 Claude Code「Don't Ask Again」会把口令/密钥原样写入 .claude/settings.local.json，GitHub 上已有 1,122 份公开副本含机密 — Apiiro 统计约 1,379 个不同机密（含 379 个数据库密码、GitHub/GitLab/npm token、23 个 AWS 密钥等）。Claude Code 只写入本机全局 git exclude，不会写入项目 .gitignore。请先轮换该文件（含 git 历史与 fork）里出现过的全部密钥，再 git rm --cached 并加入项目 .gitignore。
3. IBM Aspera Faspex 授权绕过 CVE-2026-123218（CVSS 9.8） — 5.0.0–5.0.19 的授权用户可构造特定消息绕过授权并获得完全管理权限。请升到 5.0.19 PL1，并确认 faspex-core 镜像为 5.0.19（1ce4b13，Fix Pack 1）。
4. Keycloak 客户端管理缺陷 CVE-2026-120984（CVSS 9.1）可在服务端执行代码 — 攻击者需已有 client-management 权限；创建/导入启用授权服务的 client 时会话属性未清理，可上传恶意 JavaScript policy，并在授权请求时于服务端执行。Red Hat 已发布 Keycloak 26.6.9：RHSA-2026:96040
5. 🔴 Linux 内核 IPv4 TCP 漏洞 CVE-2026-98432（CVSS 9.8）厂商补丁进展更新 — 此前已报；今日 iThome 汇总各厂商进度：RHEL/Alma/Rocky/Amazon Linux 等已有修复内核，Ubuntu 24.04/22.04 LTS 仍在处理，Check Point 预计 11 月 11 日纳入巨型热修复，群晖 DSM 计划 12 月发布。请继续核对本环境内核与网络设备补丁。
6. 黑客经服务商攻入法国银行 Crédit Mutuel Arkéa，涉嫌盗走约 1.33 亿美元 — 银行称客户资产未受影响，攻击者利用银行自有账户对外转账并兑换稳定币；已提醒客户提防后续钓鱼。
7. 微软：Storm-3358 用智能体攻击框架 ARTEX 扩大对金融业的攻击 — 该集群主要针对东南亚及部分全球大型金融机构，扫描公网、利用匿名上传/SSRF 等漏洞，并投放 WISP、vshell、AdaptixC2 等 RAT。文中提供 IOC 与狩猎查询。
8. 日本连环泄露续报：アソビュー／アララ供应链继续波及自治体与企业 — 埼玉县营泳池与动物园、冲绳美ら海/首里城、京都市京セラ美术馆/二条城的门票用户；姫路市线上申请与マイナンバーカード预约亦受アララ影响（姫路市）；不动产威尔约 10.2 万封邮件、SBC 信越放送 App 最多约 1.4 万会员、太平洋联盟 5 球团 13,711 件邮箱；另日本学术振兴会科研费电子申请系统 10 月 29 日遭入侵后停用，称未确认个人信息外泄。
9. Apache Allura OAuth1 重绑定 CVE-2026-118196（Critical） — 影响至 1.22.0，官方建议升到 1.22.1。
10. Tenda AC19 堆溢出 CVE-2026-123966（CVSS 10.0） — /goform/saveParentControlInfo 的 deviceId 参数可引发堆溢出（固件 16.03.10.07）。属家用路由，未见在野利用报道。
11. 多个 WordPress 插件被标 Critical（权限提升 / 认证绕过 / 任意文件上传） — 包括 LatePoint 认证绕过 CVE-2026-118066（CVSS 9.1，≤5.7.6）、WooCommerce Registration Form 权限提升 CVE-2026-119075（CVSS 9.8）、Naimur Email OTP CVE-2026-104014（CVSS 9.8）、Checkout Field Editor Pro CVE-2026-122041（CVSS 9.1）、payever 任意文件上传 RCE CVE-2026-93754（CVSS 9.8）、Printcart CVE-2026-19803（CVSS 9.8）、Fiber Admin CVE-2026-121491（CVSS 9.0）、Tournamatch CVE-2026-121379（CVSS 9.6）。使用这些插件的站点应立即更新或停用。
12. TOTOLINK CA300-PoE 固件 6.2c.884 多个缓冲区溢出（CVSS 最高 9.9） — /cgi-bin/cstecgi.cgi 多处接口（setIpQosRules、setLanConfig、setWanConfig、setWiFiBasicConfig 等）存在溢出，本窗至少 9 个 CVE。管理面勿对公网暴露，并关注厂商固件。