三亿浏览器扩大缝隙，访客网页被窃谈天
颁布功夫 2026-07-247月22日，Guardio Labs钻研员Shaked Biner近日披露了Adobe Acrobat Chrome扩大法式中的高危缝隙链CVE-2026-48294，该扩大装置量约3.29亿。攻击者仅需诱导用户接见一个恶意节造的静态网页，无需植入恶意软件、窃取密码或劫持会话Cookie，也无需利用WhatsApp自身缝隙，即可静默获取受害者的WhatsApp Web谈天纪录、联系人列表、幼我资料名称及明文新闻预览。整个过程对用户齐全通明，一次通常浏览即可触发。攻击链由扩大新闻系统中三个缝隙串联：内部页面可被肆意网站以暗藏iframe嵌入，从URL解析JSON并作为可信新闻传递给服务工作线程，因源自chrome-extension://和谈而被默认信赖 ；Service Worker不校验发送者身份且本地存储写入无限度，肆意页面可写入肆意键值 ；攻击者写入特定标志激活Hermes引擎，进而节造WhatsApp标签页号令分发器，能注入HTML、提交表单或代替登录二维码诱骗用户绑定攻击者设备。三个本不严沉的缺点组合，最终形成覆盖数亿浏览器的齐全攻击链。
https://securityaffairs.com/195805/hacking/adobe-acrobat-chrome-extension-bug-enabled-silent-whatsapp-data-theft.html
2. 韩表交部遭入侵，六千雇员信息泄露十个月
7月22日，韩国表交部近日披露，其下属国立表交学院的在线教育系统遭黑客入侵长达十个月之久，导致大量现任及前任雇员（蕴含派驻海表的表交官）幼我信息被犯法窃取。该事务始于2025年4月，一名身份不明的攻击者利用美国国度科学院服务器中的安全缝隙成功侵入系统，直至2026年2月才被韩国国度谍报局发现并传递表交部。据官方估算，这次数据泄露至少影响6000人，其中约350报答目前被派往海表确当局专员，而韩国媒体援引其他新闻源称现实受影响人数可能高达1万人。被入侵的在线教育平台建于2022年，最初为支持新冠疫情期间的远程培训而设立，尔后一向用于当局人员培训和视频会议等内部职能。泄露的信息蕴含注册人员的身份证号、姓名、电子邮件地址以及加密密码。不理论交部强调，事务中并未泄露唯一身份鉴别号码、手机号码、照片、家庭住址等更为敏感的幼我信息，也未涉及国度机密或表交事务的主题资料。只管如此，这次泄露仍对表交人员的安全组成潜在威胁，尤其是海表使领馆工作人员面对的身份冒用和定向诳骗风险不容忽视。
https://www.bleepingcomputer.com/news/security/south-korea-discloses-data-breach-impacting-diplomats-worldwide/
3. 瑞士火车巨头遭勒索，拒付千万赎金
7月22日，瑞士跨国轨路车辆造作商Stadler Rail近日披露，其与供给商共享的数据互换平台遭Everest勒索软件团伙入侵，攻击者随后索要约1230万美元（1000万瑞士法郎）的赎金。该公司明确暗示回绝支付任何款子，并已向图尔高州警方提起刑事诉讼。Stadler强调，其IT系统和全球出产运营均未受影响，轨路车辆产品自身也未遭逢任何滋扰，目前公司全球业务所有照常运行。据公司申明，这次事务产生在7月中旬，黑客窃取的信息仅限于与供给商互换的部门技法术据，且与安全无关，并未涉及任何客户或员工的幼我敏感信息。公司以为，攻击者所获数据价值有限，不及以组成沉大威胁，因而坚定回绝妥协。截至目前，Stadler Rail尚未呈此刻Everest新的勒索网站上，攻击者也未公开认可对这次事务掌管，但公司的确收到了明确署名为Everest的勒索信。
https://www.bleepingcomputer.com/news/security/swiss-rail-giant-stadler-rejects-123m-ransom-demand-after-cyberattack/
4. Chick-fil-A遭撞库攻击，数千账户信息泄露
7月22日，美国驰名快餐连锁品牌Chick-fil-A近日向部门客户发出数据泄露通知，称其在线账户在2026年6月遭逢系列撞库攻击，导致客户幼我信息被未经授权接见。据公司申明，安全团队在发现Chick-fil-A One账户出现异常登录活动后检测到攻击行为。调查确认，在6月17日至19日期间，攻击者利用自动化工具，将从其他渠路获取的电子邮件地址和密码组合，对Chick-fil-A的网站和移动利用法式提议大规模撞库尝试。7月13日，公司最终确认部门账户可能已被成功入侵，攻击者可能获取了蕴含客户姓名、电子邮件地址、会员编号、移动支付号码及二维码、积分余额，以及信誉卡或借记卡卡号后四位等信息。此表，若账户中曾保留诞生日期、电话号码和住址等字段，这些数据同样面对泄露风险。事务产生后，Chick-fil-A迅速采取应急措施，蕴含强造注销所有被入侵账户、移除已保留的支付方式、复原被盗用的积分余额，并向受影响客户发放嘉奖以示歉意。同时，公司强烈建议所有效户尽快更改账户密码，尤其是与其他平台使用一样痛处的用户。
https://www.bleepingcomputer.com/news/security/chick-fil-a-discloses-data-breach-after-credential-stuffing-attacks/
5. 医疗软件商遭入侵，大量文件名被窃
7月21日，美国医疗保健财政软件提供商Craneware近日披露一路网络安全事务，攻击者未经授权接见了其部门数据环境，查看并窃取了大量文件名。该公司在7月20日颁布的通知中确认了这一入侵行为，称被盗文件中很大一部门属于非敏感数据或已公开的监管信息，但同时也认可部门员工数据以及少量客户和合作同伴的纪录被接见和窃取。目前，Craneware的客户服务未受影响，公司已向英国信息专员办公室和美国联国调查局传递此事，并正积极确定受影响方的具体身份以便逐一通知。攻击者的身份和入侵技术伎俩尚未公开。事务未影响服务，但专家忧郁数据泄露规模。BlackFog CEO指出，大量文件名被窃显示攻击者易执行渗入，低级别事务若涉客户纪录仍存风险，尤其Craneware处于医疗供给链关键节点，已成攻击指标。OPSWAT副总裁强调，其数据对犯罪分子具吸引力，即便内容不敏感，数据被盗即组成侵害。
https://www.infosecurity-magazine.com/news/craneware-reports-data-theft/
6. 假Git仓库肆虐，千万下载传布病毒
7月21日，一项代号为“FakeGit”的大规模恶意软件分刊行动在GitHub平台上肆虐，攻击者通过超过7600个虚伪代码库推送SmartLoader和StealC恶意软件，累计下载量突破1400万次。其中逾800个仓库假装成AI技术或MCP服务器，并在公共AI注册中心和目录中出现超600次，钻研人员将这种针对AI代理和开发者的新型攻击手法称为“代理钓饵”。该活动被以为是此前利用Lumma Stealer的系列攻击的一连，趋向科技将其归罪于名为“Water Kurita”的威胁行为者。据企业浏览器平台Island的钻研人员观察，AI有关钓饵于今年3月引入，4月达到顶峰，单月新建300个假装成AI工具的恶意仓库，目前已累计超过1400个与AI工具、代理和工作流有关的恶意仓库，全数指向SmartLoader或StealC下载链接。这些恶意仓库不仅数量重大，且假装手法极为真切。很多代码库仿照Gmail、WhatsApp、Databricks、Jenkins和Docker等驰名消费者及企业工具，建设具体文档、伪造的星标与分叉数、复造的项目描述，甚至盗用真实开发者账户名称以增长可信度。
https://www.bleepingcomputer.com/news/security/fakegit-campaign-uses-7-600-github-repos-to-push-smartloader-malware/
京公网安备11010802024551号