CVE-2025-43529A／B 类 WebKit 初始入口
已知且早已修补的漏洞，用于取得的移动利用链，不是新披露的零日。
Poisoned Source 利用受侵网站、仿冒站及 Plerdy 脚本投递移动端利用链
Sekoia 披露 Poisoned Source 通过网站、仿冒站及 Plerdy 8–9 月脚本事件投递已有补丁的 iOS／Android 利用链，以中高置信度关联 APT29。Plerdy 确认服务器及客户联系资料遭访问，但未发现访客失陷证据；感染人数未知。
- 披露时间
- 2026年11月4日
- 更新于 2026年11月6日
- 严重程度
- 化粪池炸了
- 本页收录 8 个 CVE
- 波及范围
- 访问攻击页面或 8 月 27 日至 9 月 3 日载入被篡改 Plerdy 代码的未更新移动设备；暴露不等于感染。
- Plerdy · Mobile · Supply chain
- 在野利用
- 已发现
- Sekoia 记录实际部署的利用投递，未提供确认的访客感染总数。
发生了什么
11 月 4 日披露的是更广活动；Plerdy 此前组件公告不代表 11 月发生新入侵。其脚本只是投递路径之一，另有直接注入及仿冒反向代理。由于该主机已离线，Sekoia 按相同文件名及重定向推断 Plerdy 指纹脚本关联；Plerdy 称无已知访客失陷。数百／数千个载入跟踪脚本的网站是暴露估计，不是感染设备数；归因仍是 Sekoia 评估。未确立最终受害者总数或确认盗卡。L4 依据是实际部署的利用投递；完整更新的设备不受取得的这些已知漏洞链影响，不代表免疫全部攻击。
马桶里有什么
A 类指针认证绕过
已知且早已修补的漏洞，用于取得的移动利用链，不是新披露的零日。
CVE-2026-20700B 类指针认证绕过
已知且早已修补的漏洞，用于取得的移动利用链，不是新披露的零日。
CVE-2025-14174B 类沙箱逃逸第一步
已知且早已修补的漏洞，用于取得的移动利用链，不是新披露的零日。
CVE-2025-43510B 类沙箱逃逸第二步
已知且早已修补的漏洞，用于取得的移动利用链，不是新披露的零日。
CVE-2025-43520B 类内核提权
已知且早已修补的漏洞，用于取得的移动利用链，不是新披露的零日。
CVE-2026-3910C 类 Chrome 初始入口
已知且早已修补的漏洞，用于取得的移动利用链，不是新披露的零日。
CVE-2025-27038C 类 Android 提权
已知且早已修补的漏洞，用于取得的移动利用链，不是新披露的零日。
案发时间线
2026年8月27日
Plerdy 脚本被篡改窗口开始
2026年9月3日
Plerdy 移除未授权跟踪代码
厂商称已更换服务器凭据，9 月 4 日重置全部密码并结束全部会话。
2026年11月4日
Sekoia 披露更广的 Poisoned Source 活动
报告关联三类投递路径及取得的 iOS／Android 利用链；归因是中高置信度评估，不证明每名访客均已感染。
2026年11月6日
Plerdy 更新公开回应
确认管理员凭据被盗、客户联系资料遭访问及此前重置，称未发现访客失陷，并可向客户提供技术指标。
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。
- Sekoia 的 Poisoned Source 原始调查一手来源11 月 4 日更广活动报告：三类路径、八个实际使用的 CVE、观察到的配置、全部公开网络／13 个哈希指标及归因置信度；部分基础设施未公开。
- Plerdy 原始回应，11 月 6 日更新一手来源确认 8–9 月服务器及脚本事件、客户联系资料、9 月 4 日密码／会话重置，称无已知访客失陷、当前构建已验证并可提供技术报告。