警惕FortiSandbox三个高危缝隙正被积极利用
颁布功夫 2026-06-186月16日，网络安全公司Defused Cyber在短短24幼时内确认，Fortinet旗下沙箱分析产品FortiSandbox及其云和PaaS版本中三个高危缝隙正被积极利用，这三个缝隙别离为CVE-2026-39813、CVE-2026-39808和CVE-2026-25089，均涉及未经身份验证的远程代码执行或蹊径遍历风险，攻击者只需发送精心机关的HTTP要求即可绕过身份验证、执行操作系统号令或读取肆意文件。前两个缝隙CVSS评分别离为9.1和9.8，补丁已颁布两个月，但大量系统仍未更新，导致攻击者有机可乘；而第三个缝隙CVE-2026-25089影响领域更广，覆盖FortiSandbox、FortiSandbox Cloud和FortiSandbox PaaS的Web UI，同样属于OS号令注入（CWE-78），官方上周才颁布建复补丁，却已被用于现实攻击场景。更令人警惕的是，Defused Cyber钻研人员凭据攻击代码的特点揣摩，CVE-2026-25089的利用法式很可能是借助人为智能模型开发的，代码结构存在显著的人为智能天生痕迹，且蕴含若干逻辑缺点，并非精心优化的手工编写样本。
https://securityaffairs.com/193709/ai/fortinet-warned-as-three-critical-fortisandbox-bugs-come-under-attack.html
2. FortiBleed曝光全球超7万台Fortinet设备痛处
6月17日，近期曝光的“FortiBleed”数据泄露事务，揭示了全球73,932个组织机构的Fortinet和FortiGate VPN痛处被大规模窃取。该事务由安全钻研员鲍勃·迪亚琴科（Bob Diachenko）首先发现，他在一台意暴露出于公网的服务器上发现了一个蕴含大量看似有效的Fortinet VPN痛处的数据库，其中蕴含用户名、电子邮件地址和明文密码。据迪亚琴科分享的信息，受影响的企业和组织遍布全球，涵盖雪佛龙、三星、富士康、康卡斯特、AT&T、梅赛德斯-奔腾、丰田等多多驰名公司及当局机构。迪亚琴科进一措施查后泄漏，这次攻击疑似由一个讲俄语的多组织威胁集团执行。该集团对约320,777个FortiGate指标进行了约11.6亿次凭证尝试，并对超过16万个Microsoft SQL Server系统提议了约21亿次攻击。攻击者还拦截了SSL VPN身份验证哈希值，利用重大的GPU集群进行破解，并使用复原的痛处横向移动到内部Active Directory环境中。威胁谍报公司Hudson Rock在分析数据后暗示，这是已知最大的Fortinet有关泄露痛处库之一，涵盖194个国度/地域的73,932个怪异防火墙URL，涉及21,632个独立域名。
https://www.bleepingcomputer.com/news/security/fortibleed-leak-exposes-fortinet-vpn-credentials-for-73-000-devices/
3. CISA将Joomla JCE高危缝隙列入KEV目录
6月17日，美国网络安全和基础设施安全局（CISA）近日将Widget Factory开发的Joomla内容编纂器（JCE）扩大中的一个严沉缝隙（编号CVE-2026-48907，CVSS评分为满分10.0）纳入其已知可利用缝隙（KEV）目录。该缝隙属于接见节造不当问题，允许未经身份验证的远程攻击者为新用户创建编纂器配置文件，进而向服务器上传肆意PHP文件并执行恶意代码，从而实现齐全节造指标网站。CISA在安全布告中明确忠告，该缝隙影响JCE版本1.0.0至2.9.99.4，目前已被野表积极利用，固然具体攻击细节尚未公开，但鉴于CVSS评分达到最高风险等级，其潜在风险极大。该缝隙已于2026年6月3日颁布的2.9.99.5版本中得到建复，Joomla官方强烈建议所有效户立即更新至该版本或更高版本。由于攻击者可能已利用该缝隙在未打补丁的网站上植入后门或Web Shell，单纯更新并不能断根已被入侵的系统，网站治理员还需结合入侵指标（IoC）进行彻底排查，蕴含查抄异常文件、非授权治理怨厮户以及可疑的日志纪录等。凭据CISA拥有约束力的操作指令（BOD）22-01，联国民事行政分支（FCEB）机构必须在6月19日之前实现补丁部署或采取等效缓解措施。
https://securityaffairs.com/193775/hacking/u-s-cisa-adds-widget-factory-joomla-content-editor-jce-flaw-to-its-known-exploited-vulnerabilities-catalog.html
4. 世界杯期间40余个虚伪流媒体网站泛滥
6月16日，安全公司Malwarebytes的钻研员近日发现，网络上出现了超过40个险些齐全一样的世界杯品牌域名，这些网站共享一样的页面模板、代码和告白网络，专门针对急于旁观赛事的球迷。固然官方建议观多使用免费的合法广播公司和流媒体服务，但很多赶功夫或身处异地的球迷容易被这些看似提供高清直播、多服务器和角逐功夫表的网站所吸引。然而，这些页面现实上只是标题党，要么嵌入第三方盗版内容，要么底子无法提供可播放的直播流，用户时时陷入“加载流”和“沉试”的无限循环中，不休点击却始终看不到角逐。更危险的是，暗藏的可点击叠加层使得即便用户点击视频播放器区域，也可能触发恶意告白，而非真正的直播内容。骗子并不指望访客现实旁观角逐，而是通过设计让用户持续点击来获取告白收入。页面上的第一次点击通�；岜唤俪�，在新标签页中打开告白，尔后每一步操作城市触发更多告白，甚至“播放”按钮还会偷偷加载1×1像素的不私见告白，并打开其他仅供产生付费浏览量的标签页。这种战术拥有显著的告白诓骗特点，而用户成了绝不知情的流量受害者。所展示的告白大多与体育无关，蕴含假装的谈天通知、加密钱币打算、空投、圈套游戏以及高回报投资陷阱等。
https://cybernews.com/security/40-world-cup-streaming-sites-serving-scams/
5. 瑞典545万公民数据被曝泄露
6月16日，近期，地下黑客买卖平台上出现了一个据称蕴含大量瑞典公民数据的数据集，攻击者宣称通过对一家企业的黑客攻击获取了这些敏感信息，受影响人数超过545.2万，约占瑞典总人丁的一半。据称泄露数据涵盖幼我身份信息、地理地位数据和房产有关数据，起源为提供贸易联系方式和地址分发服务的网站ilait.se和adressfakta.se。经钻研团队审查数据样本后确认，泄露信息重要蕴含全名、家庭住址和电话号码等根基幼我身份信息。然而，该事务的现实严沉性仍存在较大争议。瑞典持久以来奉行信息公开准则，很多类此外幼我和企业数据均可合法从官方登记处或公共纪录中获取，蕴含全名、登记地址、诞生日期、收入、税务信息和电话号码等。因而，钻研人员指出，攻击者关于“入侵瑞典公司”的说法很可能被夸大，这些数据更可能来自公开合法渠路的聚合而非表部黑客攻击。此表，数据集中仅有18条样本纪录清澈可辨且前后一致，无法据此核实所谓违规行为的全数领域和真实性。只管泄露信息自身的敏感杜仔限，但聚合后的数据规模仍组成潜在风险。
https://cybernews.com/security/sweden-data-breach-5-million-citizens/
6. 240亿笔纪录遭泄露，史上最大规模凭证数据曝光
6月17日，Cybernews钻研团队于6月12日发现了一个露出在公网的Elasticsearch集群，其中存储了超过8.3TB的数据，总计约240亿笔纪录，这可能是迄今为止发现的最大规模数据泄露事务之一。经分析，绝大无数泄露纪录为信息窃取日志，即以明文大局蕴含用户名、密码及对应服务URL的敏感凭证。由于数据已公开泄露，数十亿受影响账户面对被盗用风险，尤其是未启用多成分认证的账户。这次泄露的数据来自36个分歧起源，其中超过30个为与网络犯罪有关的Telegram频路，纪录数量从数千到数亿不等，大无数使用英语，部门使用俄语。据称有超过17亿笔纪录来自这些频路，其中一个以“Darkside”定名的频路贡献了近2.6亿笔纪录。此表，约226亿笔纪录来自所谓“集钟妆，这些可能源于以往各类信息窃取者数据的汇总；还有1.46亿条来自“泄露汇编组合”，1.5亿条为“本地数据库转储”，暗示可能来自直接服务器导出。反观规模最幼的起源“Redline stealer”仅含27笔纪录。值得关注的是，集群中还蕴含约17,000条极度规纪录，涵盖CVE缝霞述及GitHub链接、网络安全新闻文章和社交媒体帖子，功夫指向2026年2月，批注数据所有者持续跟踪安全局势以扩充其数据库。
https://cybernews.com/security/24-billion-credentials-data-leak/
京公网安备11010802024551号