黑客借私有APN瘫痪波兰热电厂
颁布功夫 2026-08-118月10日，波兰能源行业2025年底遭逢沉大网络攻击。黑客利用配置缝隙，通过专用移动网关入侵了一座为约5万居民供热的幼型热电联产厂，关关了蒸汽轮机和水处置系统，所幸工作人员迅速复原，未影响民众。波兰CERT调查显示，这次攻击与此前针对该国30个景致电站及一座大型热电厂的大规模粉碎行动系统一组织所为，据信与俄罗斯Electrum团伙有关。攻击突破口始于某风电场VPN防火墙被攻破，黑客利用其蜂窝路由器通过隧路衔接至配电系统运营商的私有APN。由于APN不足客户端隔离，攻击者扫描并发现了热电联产厂内一台使用默认密码的WAGO节造器，进而渗入至内部OT网络。12月29日凌晨，攻击者将三台西门子PLC切换至终场模式并激活密码�；�，关关了蒸汽轮机和工艺水系统。同时，他们粉碎多台设备、销毁日志以故障取证分析。波兰CERT建议将私有APN视为不成信网络，启用客户端隔离，对OT流量执行白名单，并禁用露出的治理服务。
https://www.bleepingcomputer.com/news/security/hackers-breached-a-small-polish-energy-plant-via-private-apn-last-year/
2. WordPress插件供给链遭袭，超35万站点面对风险
8月10日，高级WordPress网页设计工具开发商BdThemes遭赶上游基础设施入侵。攻击者篡改了发送至治理员浏览器的远程JSON数据源，利用解析代码中的跨站剧本（XSS）缝隙注入恶意代码，在受影响的网站上创建暗藏的治理怨厮户，并通过装置伪造插件和WebShell成立悠久后门。由于攻击齐全由API驱动，无需文件批改或插件更新，因而极为荫蔽，每次治理员登录后盾时有效载荷城市自动执行。WordPress安全公司Defiant于8月7日率先发现攻击活动，经调查确认，缝隙源于2026年3月在JSON解析代码中引入的编码缺点，涉及Biggopti组件所使用的Biggop库。该库因输出转义不及，在API响应处置中存在XSS缝隙，攻击者在获得供给商存储桶写入权限后，将合法推广JSON代替为恶意代码，传染了数据流。注入的JavaScript利用治理员已验证的会话创建恶意治理怨厮户，并通过另一个有效载荷（w2.js）装置伪造插件，植入WebShell以实现悠久接见。
https://www.bleepingcomputer.com/news/security/bdthemes-plugins-supply-chain-hack-creates-rogue-wordpress-admins/
3. AI黑客乱入健身房：为抢课入侵预约系统
8月10日，一则关于澳大利亚男子利用人为智能代理入侵健身房预约系统的新闻引发宽泛关注。软件开发人员Andrew Bird训练其OpenClaw代理法式，试图为自己预约一节热点的早晨健身课程。由于厌倦了持久处于候补名单并反复刷新抢位，Bird向AI下达了提前预约的工作。AI发现健身房预约软件存在授权缝隙，未经授权便取缔了候补名单上排名第一的用户的预约，将Bird从第四位提升至第三位。Bird随即发急失措，试图让AI撤销操作，却被奉告无法撤回，只能草拟一封缝隙披露邮件通知健身房支持团队。澳大利亚ABC新闻将此报路为该国首例有纪录的人为智能代理黑客攻击事务，现实攻击发生在数月前，Bird自己曾于4月10日在公司网站颁布过有关博客，但现已删除。Bird使用的仅是2月颁布的Claude Opus 4.6版本搭配OpenClaw节造器，并非最新前沿模型。然而，Bird的案例揭示了一个更为严格的现实：即就是较旧版本的模型，配相宜当的节造器，已足以成为“优良”的黑客工具。
https://techcrunch.com/2026/08/10/tech-industry-is-buzzing-after-a-claude-agent-hacked-into-a-gym/
4. 俄城遭勒索攻击：拒付赎金力保居民数据
8月7日，美国俄克拉荷马州科维塔市遭逢勒索软件攻击，黑客使用名为Anubis的恶意法式加密了市政厅的本地文件、Word文档、Excel表格及市政财政系统，以至城市推算机系统持续处于锁定状态。袭击者发送了赎金要求，但市当局官员明确回绝开启任何沟通渠路，市经理朱莉·卡斯汀暗示，赎金金额不明，因该市回绝与攻击者接触。针对居民对敏感幼我数据的忧郁，市当局强调信誉卡和支付信息未遭泄露，支付处置由独立云服务器治理，该服务器在攻击期间未被接见。垂危服务系统蕴含911调度中心、警员局和消防局运行在独立的异地网络上，始终维持全面运作。受聘的IT专业人员、网络保险专家、本地警方及联国调查局在审查服务器日志，以查明入侵蹊径。目前，该市打算利用异地备份复原推算机网络，指标在周一前实现系统全面复原运行。该市在将内部网络安整系统从尺度多成分身份验证升级为密码验证，以防未来安全缝隙。
https://ktul.com/news/local/city-of-coweta-refuses-to-pay-ransom-after-system-wide-cyberattack-08-08-2026
5. 物流巨头遭袭，百万客户数据面对泄露风险
8月10日，全球最大的航运和物流巨头之一Ceva Logistics于7月底遭逢网络攻击，这次事务至少影响其位于欧洲的八个仓库，导致大量货物运输延误，并引发大规模数据泄露。这次黑客攻击始于7月29日，行业新闻网站FreightWaves首先报路了运输延误情况。随后，荷兰在线零售巨头Bol、奢侈品零售商De Bijenkorf、足球俱乐部阿贾克斯、银行业巨头ING及眼镜造作商Ace & Tate等多家企业相继证实客户收货信息受到影响。电子游戏巨头Valve于8月7日发现Ceva系统数据遭窃取，并通知近期采办Steam硬件的用户，其幼我信息在本次事务中被盗，Ceva会在用户下单后90天内保留其收货和配送信息。Ceva在8月1日向受影响的客户确认了网络入侵事务，称网络安全团队立即启动安全和谈并发展调查。公司讲话人Ryan Fisher回绝泄漏被盗数据的具体数量或是否收到赎金要求。Ceva暗示，部门受影响的利用法式和服务已复原在线，并正与有关部门合作，但截至周一公司网站仍无法正常加载。
https://techcrunch.com/2026/08/10/a-data-breach-at-shipping-giant-ceva-logistics-is-rippling-across-banks-retailers-steam-gamers-and-beyond/
6. LoadMaster爆严沉缝隙，CISA垂危限时建复
8月10日，美国网络安全和基础设施安全局（CISA）近日发出忠告，黑客在积极利用Progress Kemp LoadMaster中的一个严沉级别号令注入缝隙（编号CVE-2026-8037）。Kemp LoadMaster是一款宽泛使用的利用交付节造器（ADC）和服务器负载平衡器，被全球众多科技公司和当局机构用于分配Web流量、优化利用机能及保险服务高可用性。该缝隙允许未经身份验证的攻击者利用多个号令端点中未算帐的API输入，在未打补丁的LoadMaster设备上执行肆意号令。Progress Software于6月颁布了安全更新，建复了GA v7.2.63.1及更早版本、LTSF v7.2.54.17及更早版本中的缝隙，并确认该缝隙同样影响GA v7.2.63.2之前的所有MOVEit WAF版本。据Shadowserver监测，近300个Kemp LoadMaster事俘露出于网络，但尚不明显其中几多为蜜罐或已针对缝隙进行防护。8月9日，CISA将该缝隙纳入在被利用的缝隙目录，要求美国联国民事行政部门（FCEB）机构必须在三天内实现服务器建补。
https://www.bleepingcomputer.com/news/security/cisa-warns-of-critical-progress-loadmaster-flaw-exploited-in-attacks/
京公网安备11010802024551号