Gafgyt新变种C0XMO�？榛疍DoS攻击物联网装备
宣布时间 2026-06-086月7日，网络清静公司Fortinet的研究职员近期发明，Gafgyt僵尸网络的一个新变种“C0XMO”正以DD-WRT路由器固件为目的，并具备向多种CPU架构装备横向迁徙的能力。现在已检测到针对ARM、MIPS、PowerPC、SuperH、x86、x86_64等架构的样本，攻击规模笼罩DVR、路由器、视频管理平台及部分Android装备。C0XMO的焦点功效仍是提倡漫衍式拒绝服务（DDoS）攻击，支持多达19种攻击要领，包括UDP/TCP/SYN/ICMP洪水攻击、“殒命之ping”、NTP/Memcached放大攻击、Discord语音UDP洪水及Valve特定洪水攻击等。其撒播主要使用CVE-2021-27137误差，一个由用户输入缺乏引发的缓冲区溢出误差，攻击者无需身份验证即可执行恣意代码。为实现普遍扩散，C0XMO会下载Python剧本，并装置requests、paramiko、beautifulsoup4等软件包，用于网络扫描及SSH/Telnet通讯。扫描器接纳多线程方法随机扫描互联网上开放常用端口的系统，发明目的后即实验暴力破解弱Telnet和SSH凭证，检测CPU架构并安排兼容的二进制文件。剧本包括近二十个函数，认真扫描、误差使用、架构检测及登录，焦点目的是横向移动。
https://www.bleepingcomputer.com/news/security/c0xmo-botnet-spreads-via-dd-wrt-router-flaw-kills-rival-malware/
2. Everest Forms Pro误差CVE-2026-3300正被起劲使用
6月6日，黑客正在起劲使用WordPress插件Everest Forms Pro中的一个高危误差（CVE-2026-3300），该误差影响插件的1.9.12及更早版本，允许未经身份验证的攻击者在服务器上执行恣意代码，从而完全控制目的网站。Everest Forms Pro是盛行表单构建器Everest Forms的商业附加组件，常用于建设联系表单、支付表单及注册表单等。误差泉源在于插件内置的“重大盘算”功效：该功效吸收表单字段提交的值，并将其插入PHP代码字符串中，随后使用PHP的函数执行天生的代码。只管开发者对用户输入挪用了“sanitize_text_field()”函数举行清静处置惩罚，但该函数未能转义单引号等要害字符。攻击者可使用这一缺陷，通过提交以单引号开头的值来提前竣事原有的字符串字面量，注入恣意PHP代码，并用注释符（//）忽略掉剩余的代码片断，从而阻止语法过失。当表单被处置惩罚并执行盘算时，注入的代码便会运行。该误差由研究职员h0xilo于2月通过Wordfence提交，插件开发者在3月18日宣布了修复补丁。自4月13日起，针对该误差的攻击运动最先活跃，Wordfence防火墙已阻挡凌驾29300次攻击实验。
https://www.bleepingcomputer.com/news/security/critical-everest-forms-pro-flaw-exploited-to-take-over-wordpress-sites/
3. SolarWinds Serv-U误差CVE-2026-28318正被起劲使用
6月5日，美国网络清静和基础设施清静局（CISA）克日发出忠言，黑客正在起劲使用SolarWinds Serv-U软件中一个近期修复的高危拒绝服务误差（CVE-2026-28318）。Serv-U是SolarWinds公司为Windows和Linux平台提供的文件传输软件，具备托管文件传输（MFT）和FTP服务器功效，支持用户通过HTTP/HTTPS、FTP、FTPS及SFTP等协议清静交流文件。该误差源于软件对资源消耗控制不当，远程攻击者无需身份验证，也无需用户交互，即可通过发送全心结构的、包括“Content-Encoding: deflate”的POST请求，以较低重漂后导致Serv-U服务瓦解。SolarWinds已于周四宣布Serv-U 15.5.4 Hotfix 1版本修复此问题，并建议无法连忙安排补丁的管理员限制对已知地址的会见，同时阻止所有包括“content-encoding”字段的POST请求，由于易受攻击的Serv-U服务本不需要该功效。在SolarWinds宣布补丁仅数天后，CISA便将CVE-2026-28318纳入其“已知已使用误差目录”，并凭证约束性操作指令（BOD）22-01，要求所有联邦民事行政部分机构必需在6月19日前完成补丁安排，以抵御正在举行的攻击。
https://www.bleepingcomputer.com/news/security/cisa-hackers-now-exploit-solarwinds-serv-u-flaw-to-crash-servers/
4. 牛津大学CareerConnect平台数月内再次遭入侵
6月6日，牛津大学的学生再次陷入数据清静风波，该校使用的校外平台CareerConnect在短短几个月内第二次遭到网络入侵。该平台由Group GTI公司提供，旨在资助学生和校友寻找事情机会，此次攻击导致用户的姓名和电子邮件地址泄露，未使用单点登录（SSO）的用户的加密密码也遭到袒露。CareerConnect是牛津大学职业服务部分的主要组成部分，服务于学生、校友、研究职员及招聘职员。据GTI官网先容，该平台接纳的手艺与英国及外洋多所大学相同，GTI将其作为TargetConnect举行推广。牛津大学体现，此次攻击爆发在5月28日，由“清静误差”引起，现在该误差已被修复。然而，GTI并未果真披露此次清静事务，也未回应媒体关于受影响人数及是否有数据被盗的询问。牛津大学在通告中明确体现，“校友、研究职员和雇主用户”的密码已被强制重置，但未详细说明其他用户类型的受影响情形。通告同时指出，“没有证据批注课程信息、上传的文件、预约信息或财务信息与此事务有关”。GTI方面称，此次数据泄露似乎旨在网络凭证，可能进一步用于网络垂纶攻击。牛津大学未将在校学生列入受影响名单，但向学生报纸《Cherwell》确认，姓名和电子邮件地址可能已被泄露。
https://www.theregister.com/security/2026/06/06/oxford-university-data-pwned-again-by-career-platform-breach/5251754
5. 东芝、无印良品等网站弹出虚伪登录窗窃取凭证
6月5日，科技巨头东芝与零售巨头无印良品克日划分向其网站访客发出忠言，称网站上泛起了可疑的登录弹出窗口，可能被用于窃取用户账户凭证。两家公司均建议已在相关界面输入过登录信息的用户连忙更改密码。该异常登录提醒由外部服务 polyfill[.]io 天生，Polyfill 本是一个为旧版浏览器提供JavaScript兼容层的CDN服务，但原域名并非由项目建设者Andrew Betts控制，域名逾期后被他人注册。Betts曾建议网站迁徙至新域名 polyfill.com，后改为polyfill.top。只管polyfill[.]io的服务已停用，但部分网站在已往两年中未能彻底整理所有页面，残留的Polyfill代码依然保存。清静研究员Pasquale Pillitteri报告称，自2026年5月下旬起，该域名再次活跃，最先响应HTTP 401身份验证请求。当用户会见仍嵌有旧代码的网站时，浏览器会误以为需要身份验证，从而弹出登录提醒。日本媒体报道称，象印、FiNC Technologies、石药出书社及Hobonichi等品牌也遭遇了同样问题。Pillitteri还指出，三星智能电视及部分网站在6月1日也显示了类似登录提醒。
https://www.bleepingcomputer.com/news/security/suspicious-polyfill-login-prompts-pop-up-on-toshiba-muji-websites/
6. RCI Hospitality数据泄露影响约4万人
6月5日，美国最大的成人夜总会运营商之一RCI Hospitality Holdings克日向有关部分转达，其于今年4月披露的一起数据泄露事务现实上影响了约4万人。该公司旗下还谋划体育酒吧和舞蹈俱乐部。RCI Hospitality在4月中旬向美国证券生意委员会（SEC）报告称，其子公司RCI Internet Services于3月23日在其IIS Web服务器中发明了一个不清静的直接工具引用（IDOR）误差，该误差导致了未经授权的小我私家信息会见。IDOR误差是一种常见的清静缺陷，攻击者可通过修改URL或请求中的参数值来会见其他用户的数据。例如，登录账户为“101”的用户若将URL中的参数改为“102”，便可能审查到另一用户的私人信息。RCI其时披露，众多自力承包商的信息遭到泄露，涉及姓名、联系方法、出生日期、社会包管号码及驾驶执照号码等敏感内容。凭证发给受影响小我私家的通知信，对被盗文件的审查事情已于5月13日完成。现在，联邦视察局已被见告此事，RCI体现将配合后续的任何视察。
https://www.securityweek.com/nightclub-giant-rci-says-data-breach-affects-40000-individuals/
京公网安备11010802024551号