Kernel 披露日志服务资料被盗，三台承载浏览器会话的服务器遭访问
Kernel 称，被盗凭据导致日志服务资料被下载，四台 GPU 服务器遭访问，其中三台承载客户浏览器会话。日志含少量 Kernel API 密钥及部署中的第三方凭据。厂商称影响 0.28% 的客户，已吊销凭据并隔离服务器，认为涉及借助 ARTEX 的挖矿活动。
- 披露时间
- 2026年11月4日
- 公开披露日期
- 严重程度
- 拉裤子了
- 无 CVE：这是入侵事件，不是漏洞
- 波及范围
- 收到通知的 Kernel 客户，涉及日志资料、部署凭据或三台受影响服务器上的浏览器会话。
- Kernel · 凭据 · 云
- 在野利用
- 已发现
- Kernel 确认资料被下载及服务器遭访问；ARTEX 归因属于厂商判断。
发生了什么
Kernel 的 11 月 4 日通知描述两起相连的入侵。被盗 Kernel API 密钥先被用于访问内部档案资料，随后用于进入日志服务商的员工登录身份。被下载的日志含少量 Kernel API 密钥及应用部署中的第三方凭据。攻击者之后通过被盗托管服务账户凭据访问四台 GPU 服务器，其中三台承载客户浏览器会话，另一台是不含客户资料的开发服务器。通知没有解释最初密钥如何被获取，也未确立每个浏览器会话或存储凭据都遭复制。
Kernel 称已吊销被盗凭据、切断日志服务访问、拦截相关 IP、下线服务器、轮换这些服务器可访问的凭据，并通知受影响组织。厂商给出的影响比例为 0.28% 的客户，没有绝对人数。客户管理的第三方凭据及会话访问仍须逐组织核查；厂商遏制措施不能证明下游凭据从未被滥用。
公司判断这是逐利挖矿活动，并认为攻击者用 ARTEX 统筹操作。这是厂商分析，不是独立攻击者归因，也不能证明与另一起 WorkOS 事件 属于同一次入侵。浏览器服务已确认凭据暴露及基础设施遭访问，因此评为 L3；厂商报告的客户占比有限，具体范围仍有未解问题。没有公开客户软件补丁或统一安全版本。
案发时间线
10月24日 21:18 UTC
被盗 API 密钥用于读取内部档案资料
厂商回溯将首次试探和访问写为 10 月 24 日，并非公开披露日期。
10月27日 18:01 UTC
攻击者进入日志服务商
Kernel 称，攻击者通过员工登录身份访问并下载资料，其中含少量 Kernel API 密钥和应用部署的第三方凭据。
11月2日 19:28 UTC
受影响客户上报问题
11月2日 22:20 UTC
Kernel 宣布首起事件
22:30 UTC 吊销已识别 API 密钥，23:50 UTC 提升严重程度；首轮遏制阶段于 11 月 3 日 02:00 UTC 结束。
11月3日 05:41–07:17:57 UTC
被盗托管凭据被用于访问四台 GPU 服务器
不含客户资料的开发服务器上启动了挖矿程序，其他服务器也遭遇同一挖矿程序的启动尝试。三台受影响服务器承载 Kernel 浏览器会话；访问服务器不代表每个会话的凭据都已被盗。
11月3日 07:37 UTC
轮换托管服务商 API 密钥
浏览器服务器于 07:46 UTC 下线，开发服务器于 09:29 UTC 下线并保留取证克隆。Kernel 于 09:00 UTC 将两起事件关联至同一攻击者。
11月3日 22:50 UTC
第二轮遏制结束，并通知受影响客户
Kernel 称已轮换受影响服务器可访问的全部凭据，审计可能的未授权访问，并发送处置指引。
2026年11月4日
Kernel 公开事件通知
厂商称影响 0.28% 的客户，判断为借助 ARTEX 的逐利挖矿活动；计划加强 API 密钥权限、网络控制、轮换和监控。
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。
- Kernel 11 月 4 日原始事件通知一手来源确认 API／托管凭据被盗、日志被下载、四台 GPU 服务器及 0.28% 客户受影响，列出 UTC 处置时间线。ARTEX 及逐利动机属于厂商判断；未公布绝对人数或指标清单。