信息技术周报 · 2026 年第 45 周 · 11.02 — 11.08
ITHOT
本周 20 件大事，最受关注的是：OpenSSH 紧急修复可绕过 Alpine Linux SSH 认证的长密码漏洞，发布 10.6p2；FBI 呼吁加密企业封堵与 Binance 约 60 亿美元被盗案相关的 628 个钱包地址；Google 拆除 XCPE 安卓电视盒僵尸网络并封禁厂商 Videostrong。
OpenSSH 紧急修复可绕过 Alpine Linux SSH 认证的长密码漏洞，发布 10.6p2
OpenSSH 发布 10.6p2 紧急修复一个评级为 critical 的漏洞：在部分 Alpine Linux 服务器上，攻击者用 257 到 1024 字节的长密码可登录无密码账户（如 SSH key-only 账户）。
The Hacker News原文 更新与维护
The Hacker News11.06Barracuda Email Security Gateway 两个漏洞可链式组合实现无登录 root 访问
Barracuda Email Security Gateway 的两个漏洞可组合利用，让未认证攻击者以 root 权限执行命令，无需登录。其中 CVE-2026-116606 为授权绕过，可恢复特制配置备份更改全局设置；CVE-2026-111560 为命令注入，评分分别达 9.3 和 8.6。
The Hacker News11.05Debian 与 Ubuntu 的 APT 曝出中间人漏洞，攻击者可替换已校验包并以 root 运行代码
Debian、Ubuntu 和 APT 开发者于 11 月 4 日发布通告，修复编号 CVE-2026-109518 的 APT 漏洞：能修改包下载流量的中间人可把已校验的包换成自己的，安装时以 root 运行代码。
The Hacker News11.03cPGuard 更新系统被入侵推送后门脚本，Linux 服务器密码哈希疑遭窃取
cPGuard 厂商 OPSSHIELD 通报：11 月 2 日攻击者利用被盗凭据进入其更新系统，向安装 5.88.12 至 5.88.19 版本的服务器推送恶意脚本，植入后门并收集 /etc/shadow、my.cnf、root shell 历史和 SSH 文件。
BleepingComputer11.07QNAP 通报 Plex2Shell 攻击正在入侵 NAS 设备，敦促用户更新 Plex Media Server
QNAP 通报收到多起 NAS 设备疑似因 Plex2Shell 漏洞链被入侵的报告，敦促用户通过 QNAP App Center 将 Plex Media Server 更新至 1.43.3.10861 或更高版本。
小众软件11.04《胜利女神：妮姬》PC 客户端供应链投毒自查与处置指南
NIKKE 国际服 PC 启动器遭供应链投毒，官方 CDN 上的 JavaScript 文件被篡改，玩家启动游戏即可能运行 RAT 木马，可窃取浏览器密码、SSH 私钥、API 密钥和加密货币钱包。
The Hacker News11.05Zyxel GS1900 补丁未能封堵零日利用，Binarly 发现绕过并推动发布 Patch 3 固件
Binarly 研究人员发现，Zyxel GS1900 交换机针对 CVE-2026-7273 的 Patch 2 固件仍可被原在野利用绕过，攻击者只需能访问 Web 管理接口即可无验证执行 root 命令。
The Hacker News11.04Rails 修复 Active Storage 严重漏洞：攻击者可经 ImageMagick 精心构造上传写任意服务器文件
Rails 披露并修复 Active Storage 中的严重漏洞（GHSA-f3w6-w445-fwh9，CVSS 9.8），未认证攻击者可在使用 ImageMagick 处理上传的应用服务器上写任意文件，使用 Disk 服务时还可读取 secret_key_base 等凭据，可能导致远程代码执行。
The Hacker News11.02Langflow 两个严重漏洞可让未认证攻击者在服务器上执行代码，1.13.0 为唯一修复版本
IBM 通报开源 AI 代理构建工具 Langflow 的四个漏洞，其中 CVE-2026-93680 与 CVE-2026-110186 评分 9.8，均无需账户即可绕过安全限制或运行任意代码。
Fedora Linux 45 中 Atomic 桌面版的新变化一览
Fedora 45 发布，官方介绍 Silverblue、Kinoite、Sway Atomic、Budgie Atomic 和 COSMIC Atomic 等原子桌面版的更新内容。
The Hacker News11.03BTCPay Server 旧版本遭攻击，热钱包中 Bitcoin 与 Litecoin 被盗
自托管开源加密货币支付处理器 BTCPay Server 提醒用户升级，因有报告称运行 2.4.1（2026 年 7 月 23 日发布）及更早版本的实例热钱包中的 Bitcoin 和 Litecoin 被盗，攻击者以不同手法利用了 2.4.2（2026 年 8 月 7 日发布）已修复的漏洞。
实践与教程
CISA Cybersecurity Advisories一手11.05CISA 等多机构呼吁加固工业制冷与冷链监控系统
CISA、FBI、HHS、USDA 和 DoT 联合发布指南，提醒全球针对工业制冷和冷链监控系统的恶意攻击，攻击者可利用未修补或暴露在互联网上的控制器更改温度设置、强制加热除霜，造成库存损失和设备危害。指南建议消除公网暴露、隔离 OT 网络、更改默认密码并启用防钓鱼多因素认证、及时修补固件、配置 IP 白名单、保持离线备份并审查日志。
组织与行业
FBI 呼吁加密企业封堵与 Binance 约 60 亿美元被盗案相关的 628 个钱包地址
FBI 在 10 月 31 日发布警报，将 Binance 约 60 亿美元虚拟资产被盗事件归因于朝鲜 TraderTraitor 黑客组织，并公布 628 个钱包地址（608 个以太坊、19 个比特币、1 个 Solana），呼吁各类虚拟资产服务商封堵相关转账。
BleepingComputer11.03Google 拆除 XCPE 安卓电视盒僵尸网络并封禁厂商 Videostrong
Google 联合日本警察厅及多家安全公司拆除了 XCPE 安卓电视盒僵尸网络，并以高度置信认定中国厂商 Videostrong 在制造阶段故意植入后门牟利。该网络涉及超过130万台安卓电视盒，C2 关闭还切断了至少1000万台通过其他途径感染设备（含机顶盒、卡拉OK机、远程医疗硬件）的访问。
TechPowerUp11.05AMD Q4 指引显示其季度营收将首次超过 Intel
AMD 对 2026 Q4 的营收指引约为 170 亿美元（上下 3%），Intel 同期预期为 150 亿至 160 亿美元，AMD 区间下限已高于 Intel 上限，季度营收有望首次反超 Intel。
TechCrunch11.03Marvell 以 1150 亿美元企业价值全股票收购 Lumentum
Marvell 已签署协议，以全股票方式收购光学芯片与网络设备厂商 Lumentum，企业价值 1150 亿美元（含债务），股权价值约 800 亿美元，每 1 股 Lumentum 股票兑换 4.5 股 Marvell 股票，为科技史上规模最大的收购之一。Nvidia 此前分别向两家公司各投资 20 亿美元，是双方共同的重要股东。交易预计于 2028 年上半年完成，尚需两家公司股东及监管机构批准。
IT之家11.01中国载人登月方案公开：两枚长征十号分别发射梦舟飞船与揽月着陆器，首次登月将携带月球车
我国载人登月方案在第七届载人航天学术大会上正式公开，计划2030年前实现中国人登月，采用两次发射、一次登月模式：两枚长征十号火箭先后发射揽月着陆器和梦舟飞船，在环月轨道交会对接。梦舟负责地面与环月轨道间往返运输并搭载3名航天员，2名乘揽月着陆器登月；飞船与着陆器功能切分以提升可靠性，首次载人登月即携带月球车。今年年初已完成长征十号低空演示验证与梦舟最大动压逃逸试验。
Tom’s Hardware11.01法国国民议会通过按流量征税修正案：每GB约0.06美元，尚待参议院表决
法国国民议会于10月30日以11比10通过一项数字税修正案，拟对内容提供商向法国用户分发的每GB数据征收0.055欧元（约0.06美元），预计年收入约100亿欧元（112亿美元），法案已并入下一年度预算但仍需参议院最终批准。
技术研究与历史
Microsoft 报告威胁行为者用 agentic AI 工具扫描 GitHub 暴露密钥并入侵云环境
Microsoft 观察到威胁行为者使用 agentic AI 攻击框架（如 ARTEX）在公开 GitHub 仓库中扫描暴露的凭据、应用凭证和 AI API 密钥，并利用其入侵云环境。
The Hacker News11.07Apiiro 报告：Claude Code 的 settings.local.json 在 GitHub 公开仓库中泄露大量密钥
安全公司 Apiiro 报告，Claude Code 用户选择 "Yes, and don't ask again" 后，完整批准命令（含密码和 API key）会被存入 .claude/settings.local.json。