Supabase配置谬误致超1.6万数据库露出

颁布功夫 2026-09-30

1. Supabase配置谬误致超1.6万数据库露出


9月28日，钻研人员发现，超过1.6万个配置谬误的Supabase数据库存在数据露出风险，部门数据库可直接读取蕴含幼我身份信息（PII）、密码或身份验证令牌的表。网络风险治理公司UpGuard对约30万个显示使用Supabase迹象的域名进行分析后发现，超过一半的露出数据库蕴含PII，少部门涉及密码和身份验证令牌，信誉卡数据仅占极幼部门。典型案例蕴含美国代客停车服务公司泄露超过10万条客户纪录，加拿大移民局近5000条用户纪录中蕴含884条明文密码，印度某成人内容创作平台露出敏感身份及支付信息，菲律宾某OTP服务泄露2000多名用户和10万条短信，非洲某当局领事馆则露出约2.5万人的地址及垂危住房地址。UpGuard以为，有关风险重要与利用法式安全配置不当有关，蕴含短缺或无效的行级安全战术以及公钥使用不当。Supabase作为基于PostgreSQL的开发平台，近年来受到人为智能辅助开发者欢迎，AI辅助开发占新创建数据库的60%以上，但钻研人员强调，扫描了局无法证明所有受影响网站均由AI编码代理创建。


https://www.bleepingcomputer.com/news/security/misconfigured-supabase-apps-expose-data-in-over-16-000-databases/


2. Lockster利用Magento缝隙攻击超3800家网店


9月28日，威胁行为者Lockster利用Magento和Adobe Commerce严沉零日缝隙，对至少3834家在线商店执行入侵，攻击领域涵盖法国、德国及北欧等地的零售、汽车及电脑硬件等行业。攻击者通过未授权远程代码执行缝隙获取服务器root权限，植入信誉卡盗刷器及多种后门，窃取支付网关私钥、治理员痛处及客户信息。多态窃取器可从结账页面网络银行卡号、CVV/CVC、有效期、姓名、地址、电话、邮箱等支付及幼我信息，攻击者还可能利用商户支付网关密钥执行诓骗或获取支付纪录。露出的攻击服务器存有3834个网站的被盗数据、恶意工具及组件，有关商店2026年至少处置约200万份订单，但现实被盗信誉卡数量尚不明确。Lockster还通过假装系统过程、SSH账户和Magento治理怨厮户成立多沉悠久化机造，并采取措施阻止其他攻击者获取已入侵服务器。其基础设施及工具与此前披露的StyleSmuggler缝隙利用指标存在沉叠。Adobe已颁布垂危热建复法式，但钻研人员建议有关商户将系统按已遭入侵措置，查抄入侵指标，断根后门和盗刷器，并全面沉置密钥、审核系统及治理怨厮户，以降低持续数据泄露和支付诓骗风险。


https://cybernews.com/security/magento-stylesmuggler-mass-hacking-campaign-by-lockster/


3. 法国税务系统遭入侵致超60万数据受影响


9月29日，攻击者6月至7月利用窃取的法国税务治理机构DGFIP工作人怨厮户密码，通过PIGP、ADER等门户进入有关税务利用，获取超过35万名幼我和25万家企业的税务数据，还有近43.5万户家庭地皮登记数据可能受到影响。涉事幼我数据蕴含税务鉴别号、联系方式、家庭情况、参考应税收入、预扣税率及与DGFIP通讯纪录，企业数据涉及公司名称、SIREN注册号和地址等。调查显示，攻击者可能通过信息窃取恶意软件获取员工密码，并利用当局网络隔离不完善，从被攻破的教育部系统进入RIE后接见DGFIP利用；另一条蹊径则通过受影响的地皮丈量员设备绕过一次性验证码进入APEX系统。法国国度网络安全局ANSSI指出，这次事务露出出登录�；び奈ⅰ⑼绺衾氩患昂图嗫馗哺遣蝗任侍�。固然安全运营中心屡次发现异常账户活动并沉置密码，但未实时终止攻击者在其他门户的有效会话，且不足对ADER的监控，夜间接见、异常起源及大规模数据传输等信号也未被有效关联，导致数据持续被自动化抓取。


https://thehackernews.com/2026/09/french-tax-data-theft-using-stolen.html


4. 美国国防人力数据中心超300万人信息泄露


9月29日，美国国防部人力数据中心（DMDC）7月发现文件共享系统存在安全缝隙，调查显示，2025年10月至2026年7月期间，未经授权用户持续接见有关服务器约9个月，导致存储的未加密幼我信息遭到泄露。这次事务据称影响276万名在世人员和29.4万名已故人员。DMDC掌管守护美国国防部人事档案，有关数据涉及武士、文职人员、承包商、眷属、退休人员和退役武士等群体。受影响信息因幼我情况分歧而有所差距，蕴含社会安全号码（SSN）、姓名、诞生日期、联系方式、性别、种族及兵役信息等敏感身份信息。DMDC暗示，发现缝隙后立即建复文件共享系统并启动隐衷和网络安全事务响应流程，目前在评估受影响系统并采取安全加固措施�；股形捶⑾钟型绶缸镒橹狭煺獯喂セ�。为降低幼我信息遭滥用风险，DMDC通过第三方机构为受影响人员提供12个月免费信誉监控服务。


https://securityaffairs.com/200017/uncategorized/three-million-affected-in-pentagon-personnel-agency-data-breach.html


5. 苹果建复遭定向攻击利用的iOS零日缝隙


9月29日，苹果颁布安全更新，建复CoreGraphics中的高危越界写入缝隙CVE-2026-86950。该缝隙可被恶意机关文件触发，导致法式崩溃、数据粉碎，严沉情况下可能实现肆意代码执行。苹果暗示，已有汇报显示该缝隙被用于针对iOS 27之前版本用户的高度复杂、定向攻击。缝隙影响领域较广，涉及iPhone 11及更新机型，以及多款iPad和运行macOS Sequoia 15.8.1、macOS Tahoe 26.7.1的Mac设备。苹果已通过改进天堑查抄建复缝隙，并建议有关用户实时装置安全更新，以降低遭逢持续攻击的风险。这次缝隙是苹果2026年以来建复的第二个被现实利用的零日缝隙，此前CVE-2026-20700动态链接编纂器缝隙也曾被用于定向攻击。此表，苹果此前还建复过涉及蓝牙窃听、网络间谍活动和加密钱币偷窃等攻击的多个缝隙。


https://www.bleepingcomputer.com/news/security/apple-patches-coregraphics-zero-day-flaw-exploited-in-attacks/


6. 新型Spectre变种影响英特尔等主流CPU


9月29日，荷兰阿姆斯特丹自由大学VUSec幼组与意大利圣安娜高档学院钻研人员披露新型Spectre v2攻击变种“分支指标沉用”（BTR），在Intel、AMD和Arm处置器上均验证了有关行为。该攻击利用CPU分支预测器与现实内存代码分歧步的问题，针对操作系统内核、浏览器及JIT编译器等组件，在攻击者可能运行代码的情况下，可从内存中窃取敏感数据。钻研人员已针对Linux内核开发端到端缝隙利用法式，在现代Intel CPU上即便系统已更新并启用默认安全措施，仍可从内存中提取数据，并演示获取root密码哈希值。在Firefox中，钻研人员验证了恶意网站利用SpiderMonkey中遗留分支预测条款进行数据泄露的可行性，但尚未形成齐全浏览器缝隙利用；GraalVM也存在潜在风险。钻研人员以为，现有硬件节造流�；せ焖淇稍龀だ媚讯�，但无法齐全解除风险。有关芯片厂商和软件开发者已获传递，Linux内核已引入基于IBPB的缓解措施，Oracle推出部门缓解规划，Mozilla则优先推动网站隔离。AMD暗示有关技术可通过现有Spectre v2防护措施缓解，Intel和Arm尚未回应。


https://www.securityweek.com/new-spectre-v2-variant-exposes-intel-amd-arm-cpus-to-data-leaks/