中文版 — Security
中文版: Cybersecurity, vulnerabilities, breaches, and defensive research.
-
在替换通过 DNS 暴露的链接后，Meta 恢复了 Muse 工件共享
David Singleton 表示，该漏洞影响的是共享工件，而不是聊天共享。Meta 已替换了旧链接，这些链接现在会提示访问者向发送者请求新的链接。
-
独家：FoxIO 研究员称 Bun 从未回应其五月提交的关于导致服务器崩溃的 HTTP/3 漏洞报告
Sébastien Féry 告诉 RuntimeWire，FoxIO 通过 Bun 的安全政策中的渠道报告了该漏洞，并“从未得到回复”。Bun 在周四发布了包含 HTTP/3 安全修复的版本，但该发布说明未提及 FoxIO 或该报告。
-
Semperis 将 Prince of Persia 的命令服务器追踪到美国共享主机上
Semperis 的研究员 Tomer Bar 表示，Prince of Persia 于八月回到托管于美国的基础设施，先使用共享主机托管，随后转移到 Cloudflare 后面。
-
RemoteThreat 新增产品和营销主管以销售其进攻性网络平台
在 RemoteThreat 完成 700 万美元的 pre-seed 轮融资三周后，Joe Castellanos 和 Taylor Pettis 加入，创始人 Chris Thompson 正在扩充这一以运营者为主导的平台背后的团队。
-
Microsoft 将 ARTEX 攻击与超过 2,250 个 ConnectWise 租户联系起来
Storm-0940 利用被入侵的 ConnectWise 应用身份进行云访问；Microsoft 表示一些目标在不到三小时内就获得了特权访问。
-
在 PHP 发布关键安全补丁后，Laravel 已对所有正在运行的 Laravel Cloud 应用进行了修补。
Taylor Otwell 说 Laravel 的团队连夜工作。PHP 警告称这些漏洞可能允许未经身份验证的远程代码执行，而 Laravel Forge 用户仍必须自己更新服务器。
-
Railway 在客户环境变量可能被泄露后暂停部署
Railway 表示，未经授权的一方可能已访问已加密的变量以及其中部分的解密内容，因而敦促所有客户轮换存储的凭据。
-
OpenAI 模型帮助发现影响 Web 服务器的两个关键 PHP 漏洞
在为期两个月的协调修复工作之后，PHP 于 10 月 21 日发布了针对两个无需认证的远程代码执行漏洞的修复。
-
研究人员称，PHP 8.5.12 补丁可能不完整
X 上的一则帖子称该安全修复可能并不完整，但需要进一步验证。PHP 表示 8.5.12 修复了两个关键漏洞；目前没有公开证据确认所谓剩余路径可被利用。
-
GitHub 报告服务降级，同时 PHP 发布关键安全修复
10月21日，GitHub 标记了与 Actions、pull requests 和 webhooks 有关的问题，同时 PHP 发布了针对两个可能导致远程代码执行的漏洞的修复。
-
PingCAP 确认在被盗凭证访问其内部系统后 TiDB Cloud 数据被暴露
9月至10月的入侵暴露了账户、SQL 编辑器和账单记录；另有攻击者声称窃取了 10.6 TB 数据并包含明文 API 密钥，但该说法尚未得到证实。
-
OVHcloud 警告：被篡改的 CLI 版本可能会窃取本地机密
创始人兼首席执行官 Octave Klaba 表示，攻击者利用一位开发者的 GitHub 账号，将一个窃取凭证的二进制文件添加到了 OVHcloud CLI 版本 0.11.0 至 0.15.0 中。他敦促用户轮换凭证。
-
Rank Math 的付费 WordPress 插件在官方下载中包含恶意软件
受损的 PRO 3.0.123 包在 10 月 15 日和 16 日大约可用 11 小时；激活其中一个可能会暴露凭据并安装持久性后门。
-
检方将 OpenAI 录音设备案件与沙特招募及旅行支持联系起来
一份新的法庭文件称，一名未具名的沙特王室成员敦促Abdulrahman Alfozan加入一个沙特人工智能倡议，并且一名沙特军方官员在他被捕后为他家人的机票支付了费用。
-
FBI在ShinyHunters网站列出近100名受害者后调查勒索软件谈判者
调查人员怀疑一名美国咨询公司高管协助经营Shinywire，而聊天记录据称将谈判人员与入侵细节联系起来，这些细节在受害者知道自己已被攻破之前就已被获悉。
-
PHP 计划于10月21日发布关键安全更新
此次发布修复了两个严重漏洞，均被评为 CVSS v4.0 9.2。PHP 正在敦促用户准备升级。
-
GitHub 预览了一个 npm 防火墙，但无法阻止通过绕开它而路由的软件包
GitHub 标注为 10 月 20 日的变更日志条目（于 10 月 21 日发布）详述了面向 GitHub Enterprise Cloud 客户的免费公开预览。该防火墙对通过其路由的 npm 流量执行策略检查；全面可用时将采用按量计费。
-
被盗的 UpdraftCentral 密钥使攻击者能够在 WordPress 上安装后门
TeamUpdraft 表示攻击者在 10 月 17 日至 18 日期间访问了其网站；Patchstack 和 Nethemba 将这些攻击追溯到有效的远程管理密钥，并未在受害者网站的设置中发现任何缺陷。
-
GMO 将 ARTEX 黑客工具与针对大约 20 家日本公司的攻击联系起来
该安全公司称，有八家遭针对的公司在九月和十月披露了数据泄露，同时警告称，其视角仅限于观察到的基础设施。
-
eMudhra 的八把弱 CA 密钥触发了对软件信任存储的更广泛清理
创始人兼董事长 Venkatraman Srinivasan 领导着 eMudhra，该公司表示一个密钥生成脚本将弱密钥写入了被主要平台信任的证书中。
-
WSJ称Musk授权放慢Starshield，扰乱了乌克兰的无人机
乌克兰表示，时速160公里的速度上限扰乱了军事无人机行动；Musk 表示美国政府控制着 Starshield，而 Trump 否认下达该限制的命令。
-
ThreatLocker 推出基于其默认拒绝模型的 AI 代理控制
ThreatLocker 首席执行官 Danny Jenkins 正在扩展他在一场几乎摧毁客户业务的网络攻击后建立的安全方法；该产品的主张尚未经过独立测试。
-
尽管有沙特提出的保释担保，法官仍继续拘留前 OpenAI 工程师
在10月19日的听证会上，Alfozan的律师说，沙特政府将担保100万美元；法官质疑这能否阻止他逃跑。
-
ProjectDiscovery 构建了一个不到 50 美元的模型后门，使 Codex 运行了一个有效载荷
在10月6日的演示中，ProjectDiscovery 表示，一个隐藏触发器使 Codex CLI 运行了代码，该代码将模拟项目凭证发送到了一个收集器。