每日 IT 安全摘要 · 2026-11-12（木）

覆盖时段：2026-11-11 09:20 JST → 2026-11-12 ~09:15 JST

1. ScreenConnect 遭活跃利用，攻击者借被攻陷的 ScreenConnect 环境入侵 MSP，已波及数十家组织 — ConnectWise 正在调查，攻击者会往客户终端装恶意远控客户端。用 MSP 托管或自建 ScreenConnect 的，请检查有没有陌生的远控客户端和会话。
2. FortiOS 有 3 个 Critical 漏洞，Fortinet 这次共修了近 100 个 — 最危险的是 CVE-2026-126259：在 FGSP 加配置同步或自动扩展的配置下，攻击者发一个特制 HA 包，不用认证就能以最高管理员权限执行命令。另外两个是 BGP 守护进程问题（CVE-2026-126254）和未认证发送 OSPF LSA（CVE-2026-126253）。总数见 SecurityWeek。
3. Apache HTTP Server 2.4.71 修复 mod_http2 堆破坏 RCE（CVE-2026-119618，官方定级 Critical） — 影响 2.4.55 到 2.4.70（独立版 mod_h2 是 2.0.8 到 2.0.42），同时修了 mod_md 空指针导致子进程崩溃的问题（Important）。开了 HTTP/2 的服务器请尽快升级。
4. 🔴 Node.js 22 / 24 / 26 发布安全更新，修复多个 High 漏洞 — 最值得注意的是 CVE-2026-123864：HTTPS 服务在特定写法下会把其他连接的堆内存回显给攻击者，可能包含 TLS 私钥，三条版本线都受影响。另外 HTTP/2 服务可被未认证客户端直接打崩（CVE-2026-123863），或者被拖着泄漏内存和文件描述符（CVE-2026-123865），还有一个释放后重用会泄漏响应内容（CVE-2026-123866）。请升级到 22.23.5、24.22.3 或 26.13.1。
5. Red Hat Quay 镜像仓库有两个严重漏洞：CVE-2026-123710（9.8）和 CVE-2026-110697（9.9） — 前者让未认证客户端拿到自己控制受众的匿名 token，再拿去滥用 service key 轮换接口；后者是 robot 账户列表里的 SQL LIKE 注入（GHSA）。自建 Quay 的请升级。
6. Citrix XenServer 8.4 / 9 有严重漏洞（CVE-2026-102705 等），未认证就可能推测出 Pool Secret 并控制虚拟化主机 — 修复在 11 月 3 日和 10 日分两批发布。加上昨天报过的 Xen Orchestra 在野利用，跑 Xen 系虚拟化的请一起排查。
7. 🔴 攻击者用 AntiFox 自主渗透平台窃取 AWS 凭据 — 攻击者在阿里云上自建 AntiFox 实例扫描 Web 服务和 AWS 环境，已经拿到生产环境的 secrets（The Hacker News）。加上前天的 Qubole 事件，值得排查一下暴露在外的 IAM 密钥和可疑的 API 调用。
8. 🔴 微软：攻击者在被攻陷的 Linux 服务器上部署 GSocket 做隐蔽 C2 — 原漏洞修好之后，攻击者仍能靠它保持加密远控。文章附了检测和清除方法，有公网 Linux 主机的可以照着查一遍。
9. 🔴 Notion 确认，AI 推理供应商 Fireworks 被入侵导致少量工作区的 Notion AI 对话记录外泄 — Notion 已暂停相关的 Insights 功能（BleepingComputer）。
10. Movable Type 动态发布功能存在代码注入漏洞 — 用 Movable Type 并开了动态发布的，请按シックス・アパート的公告更新。
11. eMudhra 因私钥处理不当，又吊销了 8 个中级 CA 证书 — 用了这些 CA 签发证书的站点需要换证，否则证书会失效。
12. 超过 3.5 万个用 Grok 等 AI 工具搭建的应用不用登录就能访问，部分泄露了机密数据和密码 — 研究方 Claroc 建议盘点员工在用哪些 AI 建站工具，并给公开应用加上登录。
13. Maersk 确认数据泄露，WhiteArmor 勒索 500 万美元 — 入口是收购来的一套旧系统。同一天波兰政务平台 ePUAP 也因网络攻击下线（The Record）。
14. 日本泄露潮续报：日本邮政「ぽすくま」LINE 服务停用，起因是委托方电通数字的「TONARIWA」被入侵 — 同一窗口还有：ヤクルト官网约 4 万条个人信息；ラクスル的个人信息和入稿数据可能外泄；MUJI App 事件后网店推迟重开；エムオーテックス遭不正访问（称 LANSCOPE 主要功能不受影响）；明治学院大学官网被篡改，挂上了诱导执行命令的假人机验证页，还针对旧版 iOS（ScanNetSecurity）。