Ubiquiti修复七大误差，严防下令注入攻击
宣布时间 2026-07-091. Ubiquiti修复七大误差，严防下令注入攻击
7月8日，网络装备厂商Ubiquiti克日宣布清静更新，修复了UniFi OS中七个严重清静误差，其中最严重的是CVE-2026-50746，该误差位于UniFi Connect应用程序（3.4.16及更早版本）中，可被攻击者使用于下令注入攻击。UniFi Connect是一套用于统一治理商业修建智能装备（包括LED照明和电动汽车充电器）的软件套件。Ubiquiti诠释称，拥有网络会见权限的恶意攻击者可使用该应用程序的不当会见控制误差，在主机装备上执行恶意下令，公司建议用户升级至3.4.20或更高版本以规避危害。别的，本次修复还涵盖了UniFi Talk、UniFi Access、UniFi Protect及多款路由器、网关和NAS系统中的六个高危误差（编号CVE-2026-50747等）。只管Ubiquiti未透露这些误差是否已被在野使用，但确认其中六个可被低重漂后攻击且无需用户交互。据Censys监测，现在互联网上袒露着凌驾10万个UniFi OS实例，其中近半数位于美国，但尚不清晰已修复的比例及蜜罐数目。
https://www.bleepingcomputer.com/news/security/ubiquiti-warns-of-new-max-severity-unifi-os-vulnerability/
2. 皇家山大学遭黑客窃删数据，近两万师生受影响
7月8日，加拿大卡尔加里的皇家山大学（MRU）克日披露，其网络系统6月17日遭黑客入侵，已约请外部网络清静专家及手艺团队睁开视察并推进恢复事情。此次事务严重扰乱了该校的在线服务、互联网接入及多个内部系统。经视察确认，攻击者不法会见并偷取了存储于学生和员工共用的“H盘”特定文件夹中的数据，涉及现任及前任学生、员工，以及未明确类别的“其他职员”的信息，详细泄露内容因小我私家而异。同时，攻击者还删除了另一个存储部分数据的“J盘”，但暂未发明该盘数据被复制或窃取的证据，校朴直起劲恢复已删文件，但坦言可能无法完全回复。由于原始数据被扫除，校方难以迅速精准评估每位受影响者的危害，需耗时逐一核查，后续将通过个性化通知联系相关小我私家。MRU已向阿尔伯塔省信息和隐私专员办公室及执法部分报案，并为所有现任员工及已往五年内受聘者提供为期两年的信用监控和身份偷窃�；し�。此次攻击由威胁组织CMD Organization认领，该组织宣布了护照扫描件等数据样本作为佐证，并向校方勒索30枚比特币（约合190万美元），限时六天回应，不然将果真所有被盗信息。
https://www.bleepingcomputer.com/news/security/mount-royal-university-confirms-breach-as-hackers-claim-attack/
3. NPM与PyPI现17个支付诈骗包，窃取开发者密钥
7月8日，近期，Node包管理器（npm）和Python包索引（PyPI）上被发明保存17个恶意软件包，专门针对Paysafe、Skrill和Neteller等支付平台的开发者和用户，旨在窃取凭证与会见令牌。这三个支付平台应用普遍，Paysafe常用于电商、游戏、旅游及SaaS领域，而Skrill和Neteller则多服务于在线博彩、加密钱币及外汇生意。攻击者将恶意包伪装成正当支付SDK，果真预期API但返回虚伪乐成响应，实则内嵌窃密� ？�，将偷取的数据回传至亚马逊AWS上的下令与控制服务器。其中，13个npm包宣布了1.0.0至1.0.3共四个恶意版本，4个PyPI包仅宣布1.0.0版。窃取目的包括Paysafe API密钥、AWS密钥、GitHub令牌、npm令牌、主机名、用户名及API使用元数据。npm包的窃密� ？榻鲈诩觳獾絇aysafe API密钥时激活，而PyPI包在初始化时便自动运行。恶意代码还具备基础反剖析能力，若发明CPU焦点少于2个或情形含虚拟化线索则会阻止执行。建议开发者连忙轮换所有受熏染机械上的密钥，搜索依赖树并阻挡相关包名请求，同时在CI系统日志中排查“PAYSAFE_API_KEY”与列名包的组合泛起情形。
https://www.bleepingcomputer.com/news/security/fake-paysafe-skrill-sdks-on-npm-and-pypi-steal-credentials/
4. 墨西哥金融遭ClickFix攻击，植入PowerShell木马
7月8日，近期，Elastic Security Labs发明代号为REF6045的银行恶意软件运动，正针对墨西哥的银行、金融科技公司、支付处置惩罚商及加密钱币生意所客户提倡攻击。该攻击使用ClickFix社交工程技巧，通过伪装成正当清静检查的虚伪验证码页面，诱导受害者复制恶意下令并粘贴至Windows运行对话框，从而启动多阶段熏染。完成验证后，攻击者会显示伪造的Windows更新界面以疏散注重，同时装置基于PowerShell的SCMBANKER工具包，建设长期性、监控网银会话、截屏、纪录键盘、改动剪贴板、重定向浏览器至垂纶网站，并可安排商业远程控制软件以完全接受装备。研究还发明，攻击者借助大型语言模子辅助开发部分代码，但质量狼籍且留有AI天生痕迹。此运动主要影响墨西哥境内的小我私家及组织，只管地区性强，但其ClickFix诱饵、虚伪验证码及PowerShell撒播手法正日益普遍，未来可能被调解用于攻击其他地区。
https://securityboulevard.com/2026/07/scmbanker-malware-targets-mexicos-financial-sector-using-clickfix-lures/
5. 语音垂纶诱骗M365用户注册攻击者控制的通行密钥
7月8日，近期，威胁行为者使用基于语音的虚伪清静请求，针对食物饮料、科技、医疗保健、汽车、修建和航空等多个行业的组织，诱骗Microsoft 365用户注册新的Entra通行密钥。攻击者滥用微软于5月向治理员开放的“密码注册运动”功效，自4月起通过电话联系目的用户，以清静升级为由说服其注册受攻击者控制的通行密钥，并将受害者指导至模拟正当微软密码注册流程的垂纶工具包。该工具包为操作员控制的PHP面板，接纳1秒心跳轮询机制，能凭证受害者的多因素认证（MFA）要求（如TOTP、推送通知、短信验证码）实时调解流程，受害者输入的凭证和MFA响应被转达给攻击者，用于验证并接受账户。受害者以为在注册新密码，实则攻击者注册了其控制的密钥，随后垂纶网站还会展示伪造的密码注书页面，提醒生涯无现实作用的BIP-39恢复短语以疏散注重。此次攻击由Okta追踪的O-UNC-066行为者实验，该组织运营名为Pink的勒索行动，与去中心化威胁网络The Com有关，以语音垂纶和IT身份冒充网络凭证及MFA代码著称，获取会见权限后迅速从SharePoint和OneDrive窃取数据，并于5月31日推出勒索网站宣布样本施压。
https://www.bleepingcomputer.com/news/security/entra-passkey-enrollment-vishing-targets-microsoft-365-users/
6. AssuranceAmerica数据泄露，690万驾照信息被盗
7月8日，美国包管公司AssuranceAmerica近期证实爆发重大数据泄露事务，约690万人的小我私家信息及驾驶执照号码遭窃，成为今年已知规模最大的驾照信息泄露事务之一。该公司建设于1998年，为全美十多个州提供汽车和租赁包管，处置惩罚大宗客户及投保人的敏感资料，包括姓名、联系方法、驾照号码、汽车保单、账户信息、驾驶员及车辆详情和索赔纪录。攻击者于3月17日入侵其系统，通过窃取一名员工的凭证进入网络，公司于6月15日完成视察并禁用被盗凭证，但未说明凭证详细窃取方法。现在尚无证据批注公司与黑客接触或支付赎金。受影响的小我私家将在7月10日收到通知。此事务是近期多起涉及驾照等身份文件泄露的一部分，例如德克萨斯州公园和野生动物部分也曾被窃取数百万驾照信息。随着各国推行年岁验证执法，更多网站要求上传身份证实，此类泄露危害一连上升。
https://techcrunch.com/2026/07/08/another-massive-data-breach-exposed-millions-of-drivers-license-numbers/
京公网安备11010802024551号