Gafgyt新变种C0XMO�？榛疍DoS攻击物联网设备
颁布功夫 2026-06-086月7日，网络安全公司Fortinet的钻研人员近期发现，Gafgyt僵尸网络的一个新变种“C0XMO」佚以DD-WRT路由器固件为指标，并具备向多种CPU架构设备横向迁徙的能力。目前已检测到针对ARM、MIPS、PowerPC、SuperH、x86、x86_64等架构的样本，攻击领域覆盖DVR、路由器、视频治理平台及部门Android设备。C0XMO的主题职能仍是提议散布式回绝服务（DDoS）攻击，支持多达19种攻击步骤，蕴含UDP/TCP/SYN/ICMP洪水攻击、“殒命之ping”、NTP/Memcached放大攻击、Discord语音UDP洪水及Valve特定洪水攻击等。其传布重要利用CVE-2021-27137缝隙，一个由用户输入不及引发的缓冲区溢露马脚，攻击者无需身份验证即可执行肆意代码。为实现宽泛扩散，C0XMO会下载Python剧本，并装置requests、paramiko、beautifulsoup4等软件包，用于网络扫描及SSH/Telnet通讯。扫描器选取多线程方式随机扫描互联网上盛开常用端口的系统，发现指标后即尝试暴力破解弱Telnet和SSH痛处，检测CPU架构并部署兼容的二进造文件。剧本蕴含近二十个函数，掌管扫描、缝隙利用、架构检测及登录，主题指标是横向移动。
https://www.bleepingcomputer.com/news/security/c0xmo-botnet-spreads-via-dd-wrt-router-flaw-kills-rival-malware/
2. Everest Forms Pro缝隙CVE-2026-3300正被积极利用
6月6日，黑客在积极利用WordPress插件Everest Forms Pro中的一个高危缝隙（CVE-2026-3300），该缝隙影响插件的1.9.12及更早版本，允许未经身份验证的攻击者在服务器上执行肆意代码，从而齐全节造指标网站。Everest Forms Pro是盛行表单构建器Everest Forms的贸易附加组件，常用于创建联系表单、支付表单及注册表单等。缝隙本原在于插件内置的“复杂推算”职能：该职能接管表单字段提交的值，并将其插入PHP代码字符串中，随后使用PHP的函数执行天生的代码。只管开发者对用户输入挪用了“sanitize_text_field()”函数进行安全处置，但该函数未能转义单引号等关键字符。攻击者可利用这一缺点，通过提交以单引号开头的致反提前实现原有的字符串字面量，注入肆意PHP代码，并用注解符（//）忽略掉渣滓的代码片段，从而预防语法谬误。当表单被处置并执行推算时，注入的代码便会运行。该缝隙由钻研人员h0xilo于2月通过Wordfence提交，插件开发者在3月18日颁布了建复补丁。自4月13日起，针对该缝隙的攻击活动起头活跃，Wordfence防火墙已拦截超过29300次攻击尝试。
https://www.bleepingcomputer.com/news/security/critical-everest-forms-pro-flaw-exploited-to-take-over-wordpress-sites/
3. SolarWinds Serv-U缝隙CVE-2026-28318正被积极利用
6月5日，美国网络安全和基础设施安全局（CISA）近日发出忠告，黑客在积极利用SolarWinds Serv-U软件中一个近期建复的高危回绝服务缝隙（CVE-2026-28318）。Serv-U是SolarWinds公司为Windows和Linux平台提供的文件传输软件，具备托管文件传输（MFT）和FTP服务器职能，支持用户通过HTTP/HTTPS、FTP、FTPS及SFTP等和谈安全互换文件。该缝隙源于软件对资源亏损节造不当，远程攻击者无需身份验证，也无需用户交互，即可通过发送精心机关的、蕴含“Content-Encoding: deflate”的POST要求，以较低复杂度导致Serv-U服务崩溃。SolarWinds已于周四颁布Serv-U 15.5.4 Hotfix 1版本建复此问题，并建议无法立即部署补丁的治理员限度对已知地址的接见，同时阻止所有蕴含“content-encoding”字段的POST要求，由于易受攻击的Serv-U服务本不必要该职能。在SolarWinds颁布补丁仅数天后，CISA便将CVE-2026-28318纳入其“已知已利用缝隙目录”，并凭据约束性操作指令（BOD）22-01，要求所有联国民事行政部门机构必须在6月19日前实现补丁部署，以招架在进行的攻击。
https://www.bleepingcomputer.com/news/security/cisa-hackers-now-exploit-solarwinds-serv-u-flaw-to-crash-servers/
4. 牛津大学CareerConnect平台数月内再次遭入侵
6月6日，牛津大学的学生再次陷入数据安全风浪，该校使用的校表平台CareerConnect在短短几个月内第二次遭到网络入侵。该平台由Group GTI公司提供，旨在援手学生和校友寻找工作机遇，这次攻击导致用户的姓名和电子邮件地址泄露，未使用单点登录（SSO）的用户的加密密码也遭到露出。CareerConnect是牛津大学职业服务部门的沉要组成部门，服务于学生、校友、钻研人员及招聘人员。据GTI官网介绍，该平台选取的技术与英国及海表多所大学一样，GTI将其作为TargetConnect进行推广。牛津大学暗示，这次攻击发生在5月28日，由“安全缝隙”引起，目前该缝隙已被建复。然而，GTI并未公开披露这次安全事务，也未回应媒体关于受影响人数及是否罕见据被盗的询问。牛津大学在布告中明确暗示，“校友、钻研人员和雇主用户”的密码已被强造沉置，但未具体注明其他用户类型的受影响情况。布告同时指出，“没有证据批注课程信息、上传的文件、预约信息或财政信息与此事务有关”。GTI方面称，这次数据泄露似乎旨在网络凭证，可能进一步用于网络垂钓攻击。牛津大学未将在校学生列入受影响名单，但向学生报纸《Cherwell》确认，姓名和电子邮件地址可能已被泄露。
https://www.theregister.com/security/2026/06/06/oxford-university-data-pwned-again-by-career-platform-breach/5251754
5. 东芝、无印良品等网站弹出虚伪登录窗窃取凭证
6月5日，科技巨头东芝与零售巨头无印良品近日别离向其网站访客发出忠告，称网站上出现了可疑的登录弹出窗口，可能被用于窃取用户账户凭证。两家公司均建议已在有关界面输入过登录信息的用户立即更改密码。该异常登录提醒由表部服务 polyfill[.]io 天生，Polyfill 本是一个为旧版浏览器提供JavaScript兼容层的CDN服务，但原域名并非由项目创建者Andrew Betts节造，域名过期后被他人注册。Betts曾建议网站迁徙至新域名 polyfill.com，后改为polyfill.top。只管polyfill[.]io的服务已停用，但部门网站在从前两年中未能彻底算帐所有页面，残留的Polyfill代码依然存在。安全钻研员Pasquale Pillitteri汇报称，自2026年5月下旬起，该域名再次活跃，起头响应HTTP 401身份验证要求。当用户接见仍嵌有旧代码的网站时，浏览器会误以为必要身份验证，从而弹出登录提醒。日本媒体报路称，象印、FiNC Technologies、石药出版社及Hobonichi等品牌也遭逢了同样问题。Pillitteri还指出，三星智能电视及部门网站在6月1日也显示了类似登录提醒。
https://www.bleepingcomputer.com/news/security/suspicious-polyfill-login-prompts-pop-up-on-toshiba-muji-websites/
6. RCI Hospitality数据泄露影响约4万人
6月5日，美国最大的成人夜总会运营商之一RCI Hospitality Holdings近日向有关部门传递，其于今年4月披露的一路数据泄露事务现实上影响了约4万人。该公司旗下还经营体育酒吧和跳舞俱乐部。RCI Hospitality在4月中旬向美国证券买卖委员会（SEC）汇报称，其子公司RCI Internet Services于3月23日在其IIS Web服务器中发现了一个不安全的直接对象引用（IDOR）缝隙，该缝隙导致了未经授权的幼我信息接见。IDOR缝隙是一种常见的安全缺点，攻击者可通过批改URL或要求中的参数致反接见其他用户的数据。例如，登录账户为“101”的用户若将URL中的参数改为“102”，便可能查看到另一用户的个人信息。RCI其时披露，众多独立承包商的信息遭到泄露，涉及姓名、联系方式、诞生日期、社会保险号码及驾驶牌照号码等敏感内容。凭据发给受影响幼我的通知信，对被盗文件的审查工作已于5月13日实现。目前，联国调查局已被奉告此事，RCI暗示将共同后续的任何调查。
https://www.securityweek.com/nightclub-giant-rci-says-data-breach-affects-40000-individuals/
京公网安备11010802024551号