LiteLLM服务器露出，AI网关成安全沉灾区
颁布功夫 2026-09-149月10日，数千台LiteLLM服务器已在网上露出，其中数百台接受默认密码或无需身份验证，黑客可等闲窃取敏感令牌甚至劫持基础设施。LiteLLM是开源AI网关，可同时接见OpenAI、Anthropic、Gemini等多个LLM提供商，其Docker容器被拉取超2.4亿次，今年早些时辰还曾遭大规模供给链攻击。谷歌旗下Wiz扫描发现超85,000个LiteLLM事俘，查抄的3074台服务器中有294台齐全无需验证或接受默认主密钥“sk-1234”，且三分之一的云环境运行着LiteLLM部署。一旦露出，不仅API密钥泄露，流经事俘的提醒、响应及MCP衔接的表部工具城市露出。攻击者可利用其进行API挪用增长成本，还可将其作为跳板获取进一步接见权限，因其涉及代码执行，可运行服务器端Python并将要求路由到肆意内部URL。Wiz指出，未配置身份验证时所有效户城市被授予治理员权限；未建补版本存在授权后可执行根级代码的缝隙（CVE-2026-59821），MCP端点身份验证缺点允许无痛处登录并接见衔接工具（CVE-2026-59822），进而查问数据库、读取GitHub代码库或读写文件系统。
https://cybernews.com/security/litellm-servers-exposed-require-no-password/
2. Revolut因伪造当局要求泄露客户数据
9月12日，Revolut证实因收到来自当局机构域名基础设施内电子邮件地址发送的诓骗性信息要求，该公司将敏感客户数据泄露给了未经授权的第三方。通知指出，该邮件蕴含有效的域名身份验证凭证，通过了旨在确认邮件来自当局机构的验证。Revolut暗示，基于合理理由相信这是真实要求并予以满足。泄露数据蕴含客户身份和联系方式（诞生日期、邮寄地址、电子邮件、电话号码）、护照和驾照复印件、验证自拍照、账户对账单及买卖纪录，其中买卖纪录涵盖比特币。这并非技术缝隙：没有系统被入侵，没有恶意软件，服务器未被表部接见。攻击者要么在当局机构域名下创建恶意账户，要么入侵现有账户，而后提交看似合法的数据要求，Revolut工作人员处置了该要求，过后核实才发现是诓骗。Revolut称事务仅影响部门客户，已立即联系，但未泄漏具体领域和涉事当局机构名称，也未注明是否影响特定国度或市场。
https://securityaffairs.com/198922/data-breach/revolut-exposed-kyc-data-after-fraudulent-government-email-passed-security-checks.html
3. 佛州车管局确认驾驶员数据库遭泄露
9月11日，佛罗里达州公路安全和机动车辆治理局（FLHSMV）已证实，其DAVID驾驶员数据库在ShinyHunters勒索团伙宣称入侵后遭逢数据泄露。此前，ShinyHunters宣称窃取超过20万条驾驶员纪录。FLHSMV申明称，9月4日获悉一个国际网络犯罪组织执行了数据泄露，事务已迅速得到节造，目前无进一步泄露。调查确定，攻击者使用了属于普兰特城警员局一名用户的被盗凭证，这些凭证被不当存储在该员工的幼我电子设备上。该机构已通知佛州总检察长办公室，并正与州数字服务局和法律部门合作应对，称因属在进行的刑事调查，更多信息将在适其机遇颁布。然而，FLHSMV的调查了局与ShinyHunters的说法分歧。黑客宣称利用密码沉置缝隙获取了多个DAVID账户接见权限，蕴含DMV员工和FBI奸细账户，随后从9月3日起遍历纪录ID并下载有关HTML页面和图像。为证明入侵，攻击者分享了属于杰弗里·爱泼斯坦的DAVID纪录截图，含敏感幼我信息和车辆信息。
https://www.bleepingcomputer.com/news/security/florida-confirms-dmv-database-breached-via-stolen-police-account/
4. JFrog Artifactory曝严沉缝隙遭利用
9月11日，威胁行为者正利用JFrog Artifactory中的严沉和高危缝隙绕过身份验证、获取治理权限，并在自托管服务器上部署Rust后门。云安全公司Wiz汇报证实，该缝隙已在多个环境中被利用，蕴含结合CVE-2026-42018和CVE-2026-42016的利用链。第三个缝隙CVE-2026-82329是严沉身份验证绕过缝隙，watchTowr本月初观察到有人利用其铸造治理员令牌。攻击者先利用CVE-2026-42018获取内部匿名用户的JWT，即便匿名接见被禁用且权限较低；随后利用CVE-2026-42016将权限提升至治理员级别。8月15日至9月8日期间，多个威胁行为者利用这两个缝隙，某些情况下创建治理怨厮户仅用不到五分钟。攻击者创建治理怨厮户并天生持久接见令牌后，装置恶意Groovy插件执行肆意号令，并通过部署基于Rust的后门成立悠久性。Wiz暗示，在多个案例中发现拥有C2职能的定造Rust后门法式。下一阶段，攻击者下载额表载荷，上传webshell，窃取Artifactory配置数据和集群参与密钥，枚举存储库、令牌和用户，并将SSH密钥增长到新创建账户中。
https://www.bleepingcomputer.com/news/security/artifactory-flaws-chained-in-attacks-deploying-backdoor-malware/
5. GitLab曝最高危缝隙，用户被督促立即建补
9月11日，GitLab周四督促用户立即建补其服务器，以应对编号为CVE-2026-85706的最高严沉性蹊径遍历缝隙。该缝隙由安全钻研员“s3ntago”通过GitLab的HackerOne缝隙赏金打算汇报，源于存储库提交API中蹊径限度不当和身份验证强造执行缺失。未经身份验证的攻击者可在“某些前提下”利用该缝隙从易受攻击的服务器读取肆意数据，例如痛处、密钥和敏感信息。固然GitLab尚未将此缝隙象征为已被利用，但一天后，网络安全公司watchTowr汇报称，攻击者已起头搜索未针对CVE-2026-85706打补丁的露出在互联网上的GitLab服务器。watchTowr忠告称，已观察到针对该缝隙的野表探测，该缝隙允许攻击者通过单个HTTP要求读取肆意文件，并指出凭据近期GitLab缝隙情况，大规模利用可能不远，防御者应查抄日志文件，查找蕴含“file.path”参数的HTTP POST要求以鉴别潜在攻击尝试。
https://www.bleepingcomputer.com/news/security/gitlab-urges-users-to-patch-max-severity-path-traversal-flaw/
6. Cl0p宣称入侵哈雷戴维森窃取270GB数据
9月12日，Cl0p团伙宣称入侵哈雷戴维森内部网络，数据量达270GB，并在暗网泄露网站标注“通过种子文件、磁力链接颁布”，称该公司是四家“没有联系J9集团官网”的企业之一。哈雷戴维森讲话人周五暗示已把稳到有关说法，但回绝进一步置评。审查磁力目录后，这次泄露可能与Cl0p近期针对使用Windchill PLM软件的造作公司的勒索活动有关。Windchill由PTC开发，是全球重要造作商宽泛使用的产品性命周期治理平台。公开目录显示了PTC Windchill 13服务包、WC12利用法式组件、Windchill治理员主目录、Solr服务器、Vaultlist文件及PublishModeLog等环境指标，涉及服务器日志、系统配置、备份信息及数据保险库引用，但尚不明显各文件具体内容。PLM平台处置产品数据及工程师、造作商、供给商之间的实时工作流程，敏感数据泄露后果可能极为严沉。Cl0p至少自2019年起活动，曾利用MOVEit、Fortra GoAnywhere和Cleo缝隙。6月，该团伙转向利用影响PTC Windchill PLM的零日缝隙CVE-2026-12569。
https://cybernews.com/news/harley-davidson-clop-data-breach-windchill-270gb/
京公网安备11010802024551号