每日 IT 安全摘要 · 2026-11-10（火）

覆盖时段：2026-11-09 09:15 JST → 2026-11-10 ~09:10 JST

1. 🔴 Chrome 157.0.8103.50/.51 修复已被在野利用的 0day（CVE-2026-125350，XML 释放后重用） — 本次共修 9 个漏洞，其中 7 个 High。请重启 Chrome 完成更新，Edge 等 Chromium 系浏览器也要跟进。
2. 🔴 OpenSSH SSHole（CVE-2026-123158）已被 CISA 列入 KEV，并确认被真实利用 — 僵尸网络和挖矿团伙已在借此执行命令、窃取凭据并持久驻留（SecurityWeek）。影响 musl 且无 PAM 的 sshd（Alpine、Yocto 等），请确认已升到 10.6p2+。
3. 同批 KEV 还有：GPUStack 认证绕过（CVE-2026-102895，CVSS 9.8）、SignalWire FreeSwitch 代码注入（CVE-2026-116779）、IBM Aspera Faspex 授权不当（CVE-2026-123218） — 均已被在野利用；GPUStack 经反向代理或伪造 X-GPUStack-Real-IP 头即可未认证拿到管理员。
4. Plex2Shell 攻击扩散：QNAP NAS 上的 Plex Media Server 被批量入侵 — 11/7 已报的四漏洞利用链，现已未认证远程代码执行在野扩散。请立即更新 Plex Media Server，不需要时别暴露到公网。
5. Airbyte Connector Builder 任意代码执行，已确认被利用（GHSA-g35w-6r6v-h4r7） — 2.x 需工作区查看权限；旧版 Helm Chart 部署的 1.x 若可从网络访问则无需认证。请按 GitHub 公告升级。
6. N-able 公开 30+ 个 N-central「0day」后下线托管云，并要求本地版客户关停服务器 — RMM 平台失守可波及所有被管终端，在用 N-central 请按厂商指引先停机。
7. 🔴 以太坊 Swarm 项目 bee-js npm 包与 Swarm Desktop 被投毒，植入 SleepyDuck 钱包窃取后门 — 攻击者借项目自己的 GitHub 发布自动化推送恶意版本，是 npm/Actions 供应链的又一例。用到 bee-js 的请锁版本并排查。
8. 🔴 Qubole 被滥用其对客户 AWS 账号的受信访问，10/14–10/26 窃取多家客户的 secrets 与数据 — 第三方 SaaS 的跨账号 IAM 角色就是后门。值得盘点一下自己 AWS 里给外部服务的信任角色。
9. Rails 8.0.5.2 / 8.1.4.1 修复 Active Storage 重大漏洞（CVSS 9.8）等 21 项 — 用 ImageMagick 处理上传图片时，未认证攻击者可写任意文件，Disk 存储下还能读文件；watchTowr 已复现。升级后还要轮换密钥。Rails 8.0 已于 11/7 停止安全支持。
10. 其他 CVSS 9+ 新公告：Redpanda Connect 4.39–4.110 缺失认证（CVE-2026-123270，9.8）、Kubeflow Pipelines 共享流水线上传无授权（CVE-2026-77596，9.6）、Pocket ID 改邮箱后验证令牌仍有效（CVE-2026-115770，9.6）、rConfig 反序列化（CVE-2026-124079，9.8） — 在用者请尽快升级。
11. 🔴 MIT krb5 1.22.3 一次修复 21 个 CVE — 含 PAC 服务器校验和逻辑错误（CVE-2026-111423）与 KDC 授权数据过滤漏洞，可伪造 PAC。大部分是借助 LLM 发现的。Linux 主机跟发行版更新即可，自建 KDC 要优先。
12. 🔴 CPython ssl.get_server_certificate(ca_certs=...) 只验证证书链不验证主机名（CVE-2026-19552） — 同时修了 http.cookiejar 可删除其他域 cookie（CVE-2026-124249）。如果代码拿它做证书校验，要自己补主机名检查。
13. 🔴 被盗 Microsoft Entra ID 应用凭据结合自动化工具，入侵多家 MSP 及其下游 27 个组织 — 攻击者冒用应用身份登录 Microsoft 365 / Azure 读取数千封邮件。建议检查租户里的应用凭据和权限授予。
14. 德国主机商 Mittwald 的 MCP 服务器被利用，56 个客户项目遭入侵、潜伏 8 天 — 攻击者疑似用 AI 辅助。给 AI 助手开的 MCP 接口也是攻击面。
15. 🔴 日本泄露潮续报：邮件配信商アララ遭入侵，可能外泄 8,100 万个邮箱，三井住友银行等在受影响客户之列 — 同窗还有：SEGA 220 万邮箱（经アララ）；ドコモオンラインショップ / My docomo 最多约 30 万件；无印良品新增约 27 万件疑似泄露、网店推迟重开；SMBCコンシューマーファイナンス保证系统被入侵并有外传数据；技研製作所勒索攻击约 3,200 人；厚労省 JANIS 系统最多 1 万 1,652 人。留意冒充 SMBC 的钓鱼邮件。