思科紧迫修复FMC平台两个高危误差

宣布时间 2026-03-05

1. 思科紧迫修复FMC平台两个高危误差


3月4日，思科公司克日修复了其清静防火墙管理中心（FMC）中两个最高级别（CVSS评分均为10.0）的严重误差，这两个误差若被使用可能导致攻击者完全控制装备。第一个误差编号为CVE-2026-20079，属于身份验证绕过误差。该误差源于FMC启动时建设的系统历程保存缺陷，攻击者可通过发送全心结构的HTTP请求，绕过Web界面的身份验证机制，直接执行剧本文件并获取底层操作系统的root权限。第二个误差编号为CVE-2026-20131，为远程代码执行误差，同时影响FMC及思科清静云控制（SCC）防火墙管理功效。该误差由不清静的Java反序列化操作引发，未经身份验证的远程攻击者可向Web管理界面发送恶意序列化Java工具，触发反序列化历程并以root权限执行恣意代码。思科产品清静事务响应团队（PSIRT）体现，现在尚未发明这两个误差被果真披露或现实使用的迹象。但鉴于误差的高危性子，思科强调必需通过官方补丁举行修复，目今无任何暂时解决计划或变通要领。


https://securityaffairs.com/188921/security/cisco-fixes-maximum-severity-secure-fmc-bugs-threatening-firewall-security.html


2. FreeScout服务台平台现零点击高危RCE误差


3月4日，FreeScout开源资助台平台克日被曝保存最高级别远程代码执行误差（CVE-2026-28289），攻击者无需用户交互或身份验证即可通过发送恶意电子邮件附件实现零点击攻击，直接控制服务器。该误差绕过了此前CVE-2026-27636误差的修复机制，原修复通过限制文件扩展名阻止危险上传，但研究职员发明，在文件名前添加零宽度空格字符可绕过验证。该字符被视为不可见内容，后续处置惩罚会删除该字符，使文件生涯为点文件，从而触发原误差使用。FreeScout作为Zendesk/Help Scout的自托管替换计划，是普遍使用的开源平台，GitHub客栈拥有4100星标、620+分支，Shodan扫描显示超1100个果真袒露实例。误差影响所有1.8.206及更早版本，可通过发送至FreeScout设置邮箱的恶意附件触发，攻击者通过Web界面会见有用载荷即可执行下令，组成零点击误差。FreeScout团队建议连忙升级至1.8.207版本，同时OX Research增补建议禁用Apache设置中的“AllowOverrideAll”以增强防护。


https://www.bleepingcomputer.com/news/security/mail2shell-zero-click-attack-lets-hackers-hijack-freescout-mail-servers/


3. 密码管理软件提供商LastPass遭网络垂纶攻击


3月4日，密码管理软件提供商LastPass克日发出清静忠言，指出其用户正遭受新一轮高仿真网络垂纶攻击。攻击者通过伪造"LastPass支持"显示名称的电子邮件，模拟官方与客户支持团队的内部对话场景，诱导用户点击"报告可疑运动""作废装备"等伪装链接。这些邮件主题全心设计，包括"更改账户主要邮箱请求"等看似官方的转发对话内容，制造紧迫气氛促使用户快速响应。点击链接后，用户会被重定向至"verify-lastpass[.]com"等域名下的虚伪登录页面。该页面与官方界面高度相似，专门用于窃取用户凭证。攻击者还通过多个发件人地址和主题行变体增强可信度，大都发件地址来自被入侵网站或放弃域名，仅通过显示名称伪装成官方。LastPass在威胁情报报告中强调，其基础设施未受任何损害，系统清静未受影响。公司明确提醒用户：官方客服绝不会索要主密码，用户应严酷保密主密码。针对此次攻击，LastPass正团结第三方合作伙伴紧迫关闭垂纶网站，并呼吁用户将可疑通讯举报至"mailto:abuse@lastpass.com"。


https://www.bleepingcomputer.com/news/security/fake-lastpass-support-email-threads-try-to-steal-vault-passwords/


4. HungerRush遭勒索攻击，客户数据面临威胁


3月4日，餐饮手艺提供商HungerRush克日遭遇勒索攻击，威胁行为者通过伪造官方邮箱向餐厅主顾发送多封勒索邮件，声称若不回应将泄露数百万客户数据。这些邮件通过Twilio SendGrid平台发送，该服务此前用于发送HungerRush餐厅收条，且通过了SPF、DKIM和DMARC身份验证，增强了邮件可信度。攻击者使用mailto:support@hungerrush.com和mailto:2019@hungerrush.com等地址，忠言HungerRush阻止忽视勒索要求，不然将危及客户数据。HungerRush服务于凌驾16,000家餐厅，包括Sbarro、Jet's Pizza等着名品牌，其POS、在线订购及支付处置惩罚系统被普遍使用。攻击者宣称可会见客户姓名、邮箱、密码、地址、电话、出生日期及信用卡信息，但HungerRush回应称，此次事务仅涉及电子邮件营销服务账户被入侵，未泄露敏感信息如密码、支付卡数据，且其系统不存储信用卡信息。公司强调，泄露的客户联系信息被用于发送未经授权邮件，但无证据显示其他系统遭入侵。


https://www.bleepingcomputer.com/news/security/hacker-mass-mails-hungerrush-extortion-emails-to-restaurant-patrons/


5. 国际团结行动查封LeakBase网络犯法论坛


3月4日，美国联邦视察局（FBI）团结欧洲刑警组织等14国执法机构，于3月3日至4日开展"泄密行动"，乐成查封网络犯法论坛LeakBase。该论坛作为黑客工具生意、被盗数据生意的焦点平台，自2021年由ARES威胁组织支持运营以来，用户规模已超14.2万，提供数据库会见、误差使用生意、担保支付系统及黑客手艺讨论区，涵盖社会工程学、密码学等专题。行动时代，执法职员在美国、澳大利亚、比利时等8国执行搜查令、实验拘捕并开展"敲门谈话"，全球共提倡约100次执法行动，处分37名最活跃用户。LeakBase的两个域名现已被FBI接受，域名服务器切换为ns1.fbi.seized.gov和ns2.fbi.seized.gov，页面显示查封通知，强调论坛所有内容包括用户账户、帖子、信用卡信息、私信及IP日志已被清静生涯，将用于后续取证视察。任何试图会见或滋扰网站的行为可能组成新罪。


https://www.bleepingcomputer.com/news/security/fbi-seizes-leakbase-cybercrime-forum-data-of-142-000-members/


6. 纽约麦迪逊广场花园遭Cl0p勒索攻击


3月3日，纽约地标麦迪逊广场花园（MSG）克日确认遭遇重大数据泄露事务，涉及2025年针对甲骨文电子商务套件（EBS）的大规模网络犯法运动。作为全球著名多功效室内场馆，MSG位于纽约市，是NBA尼克斯队和NHL游骑兵队主场，承办体育赛事、演唱会及娱乐运动，此次事务使其成为使用甲骨文EBS误差实验黑客攻击的众多受害组织之一。2025年11月，Cl0p勒索软件组织使用甲骨文EBS中的零日误差CVE-2025-61882入侵包括MSG在内的100多家机构。该误差允许未经身份验证的远程攻击者控制甲骨文并发处置惩罚组件，进而窃取数据。MSG拒绝支付赎金后，Cl0p泄露超210GB公司存档文件。据MSG向缅因州总审查长办公室提交的通知，甲骨文EBS由供应商托管管理，用于部分人力和财务运营。供应商视察确定，未经授权者于2025年8月获取部分应用数据，涉及招聘或付款相关的营业纪录文件，其中包括姓名和社会包管号的文件受影响。甲骨文已于2025年10月宣布紧迫补丁修复该误差，但此前已有大宗数据泄露。


https://securityaffairs.com/188814/cyber-crime/oracle-ebs-2025-campaign-impacts-madison-square-garden-sensitive-data-leaked.html