全网安全事件，按臭度分级，每一条都附清理指南。开放数据，支持 MCP、JSON API 和 RSS。https://ohshit.app/zh-cnhttps://ohshit.app/zh/incidents/tensorlake-github-workflows/https://ohshit.app/zh/incidents/tensorlake-github-workflows/Tensorlake 称，攻击者利用工程团队沙箱的访问权限向分支推送恶意代码，并触发 GitHub Actions 探查构建和部署密钥。公司已下线内部应用并轮换密钥，要求客户预防性轮换 Tensorlake API 密钥。 怎么擦：轮换 Tensorlake API 密钥，更新依赖服务并吊销旧密钥。核查用量并关注厂商更新。Sun, 08 Nov 2026 00:00:00 GMTTensorlakeGitHub Actions密钥https://ohshit.app/zh/incidents/mirae-asset-securities-data/https://ohshit.app/zh/incidents/mirae-asset-securities-data/未来资产证券确认，约 3,800 名客户的证券账户号码，以及约 35,255 名现职员工、离职员工和外包人员的个人资料泄露。券商已暂停受影响的移动网页登录服务，并隔离协同办公服务器。两处入侵路径仍在调查。 怎么擦：通过官网更改券商登录密码，并在 MAPS 核查账户活动。通过已知联系方式核实工作请求。Sat, 07 Nov 2026 00:00:00 GMT未来资产证券券商数据泄露https://ohshit.app/zh/incidents/storm-3358-finance/https://ohshit.app/zh/incidents/storm-3358-finance/微软观察到 Storm-3358 利用匿名文件上传和服务端请求伪造等缺陷，并部署远控木马。活动主要瞄准东南亚金融机构。微软未公布确认受害者数量或损失。 怎么擦：隔离失陷主机并保留证据，封堵有漏洞的上传和请求路径，更换受影响的凭据。Sat, 07 Nov 2026 00:00:00 GMTARTEX金融行业Web 漏洞利用https://ohshit.app/zh/incidents/ibm-aspera-faspex-authz/https://ohshit.app/zh/incidents/ibm-aspera-faspex-authz/IBM 称，构造的消息可在 Faspex 5.0.0 至 5.0.19 取得完整管理员权限。正文描述的是已认证用户，CVSS 向量却标为无需权限。Linux 修复为 5.0.19 PL1，需核对运行的 faspex-core 镜像为构建 1ce4b13、Fix Pack 1。 怎么擦：限制不可信来源访问并安装 5.0.19 PL1，核查运行的 faspex-core 镜像及管理员权限变更。Sat, 07 Nov 2026 00:00:00 GMTIBMAspera授权https://ohshit.app/zh/incidents/botpress-workspace-config/https://ohshit.app/zh/incidents/botpress-workspace-config/攻击者绕过 Botpress 内部认证代理，使用员工 API 凭据读取 16 个客户工作区的机器人配置，另有两个工作区的集成设置遭修改。受影响客户应轮换通知所列机器人中存储的凭据。 怎么擦：根据通知确认受影响机器人，吊销并替换集成凭据，并审查关联服务。Fri, 06 Nov 2026 00:00:00 GMTBotpressSaaS凭据https://ohshit.app/zh/incidents/degen-spin-exploit/https://ohshit.app/zh/incidents/degen-spin-exploit/Degen Coin Flip 称漏洞利用涉及超过 30,000 个钱包，庄家损失约 10,000 美元。项目暂停 Degen Spin 及附加投注，称其他游戏不受影响、玩家资金安全。项目尚未公布根因或经核实的修复部署。 怎么擦：在官方修复及重开得到核实前避免使用 Spin 及附加投注；保留相关局次与交易记录。Fri, 06 Nov 2026 00:00:00 GMTDegen Coin FlipSolanaExploithttps://ohshit.app/zh/incidents/doctor-anywhere-adept-data/https://ohshit.app/zh/incidents/doctor-anywhere-adept-data/Income Insurance 确认 Adept Health／Doctor Anywhere 系统事件，列出可能涉及的身份、联系、保单及银行账户资料，称无医疗记录遭访问或自身系统失陷的证据。Doctor Anywhere 称修复已验证、服务继续；整体范围仍在调查。 怎么擦：向福利管理方或保险公司核实个人暴露，监测银行活动，拒绝凭据及二维码诱导。Fri, 06 Nov 2026 00:00:00 GMTDoctor AnywhereAdept HealthData breachhttps://ohshit.app/zh/incidents/gnosis-pay-card-data/https://ohshit.app/zh/incidents/gnosis-pay-card-data/Gnosis Pay 确认旧品牌银行卡系统于 11 月 3 日遭访问，客户资料暴露。公司称资金及企业白标平台未受影响，已向受影响客户发邮件，线上银行卡支付现强制使用 3D Secure。公开公告未列完整字段类别、客户人数或入口机制。 怎么擦：通过官方渠道阅读个人通知，执行所列措施，拒绝索取密钥、银行卡资料或要求转账的消息。Fri, 06 Nov 2026 00:00:00 GMTGnosis PayData breachPaymentshttps://ohshit.app/zh/incidents/insight-credit-union-data/https://ohshit.app/zh/incidents/insight-credit-union-data/Insight Credit Union 的德州申报列出 67,487 名受影响人员，资料类别包括姓名、社会安全号码、政府签发的身份证明编号和金融信息。信用合作社报告已邮寄通知，申报未说明入侵方式。 怎么擦：通过信用合作社核实信件，监测金融账户活动，视情况考虑欺诈警示或信用冻结。Fri, 06 Nov 2026 00:00:00 GMTInsight Credit Uniondata breachfinancial serviceshttps://ohshit.app/zh/incidents/m1-customer-data/https://ohshit.app/zh/incidents/m1-customer-data/M1 确认于 10 月 30 日发现泄露，涉及姓名、NRIC／FIN 号码、出生日期、手机号码、电子邮箱和地址。公司称支付卡、金融和银行资料及账户访问未受影响；客户人数和入口机制未公布，通知及调查继续。 怎么擦：通过 M1 核实通知，防范定向冒充，并检查异常账户或银行活动。Fri, 06 Nov 2026 00:00:00 GMTM1Data breachSingaporehttps://ohshit.app/zh/incidents/mytum-password-theft/https://ohshit.app/zh/incidents/mytum-password-theft/慕尼黑工业大学确认，攻击者通过 myTUM 窃取统一登录密码，并利用管理员凭据攻击 TUMonline。校方停用了受影响账户并将 TUMonline 下线。作为预防措施，所有 TUM ID 持有人均须遵循重置指引。 怎么擦：通过校方官方渠道重置密码，更换复用密码，并在 TUMonline 恢复后启用多因素认证。Fri, 06 Nov 2026 00:00:00 GMTTUMcredential theftcampus IThttps://ohshit.app/zh/incidents/sonicos-sslvpn-saml/https://ohshit.app/zh/incidents/sonicos-sslvpn-saml/SonicWall 修复七个 SonicOS 漏洞；CISA 确认 CVE-2026-19868 已遭利用。SSLVPN 启用 SAML 登录时，其他认证方式的有效凭据可绕过 SAML 及其 MFA。Gen7／Gen8 修复版本分别为 7.3.4-7013／8.2.3-8015；其他漏洞的前提和影响各不相同。 怎么擦：Gen7 升至 7.3.4-7013+、Gen8 升至 8.2.3-8015+，再审查 VPN 认证及可疑会话。Fri, 06 Nov 2026 00:00:00 GMTSonicWallSonicOSSSLVPNhttps://ohshit.app/zh/incidents/web3auth-keplr-social-login/https://ohshit.app/zh/incidents/web3auth-keplr-social-login/Keplr 确认，Web3Auth 基础设施漏洞导致部分通过 Google 或 Apple 登录创建的钱包私钥泄露。Web3Auth 与合作方转移了部分资产以保护面临风险的钱包。Bitquery 估计，截至 11 月 7 日 15:38 UTC，八条链上的相关接收地址持有约 601 万美元资产。最终损失仍不明。 怎么擦：停止向受影响的账户入金，避免重新导入。将剩余可转移资产转至另一只由助记词或硬件钱包保护的钱包。Fri, 06 Nov 2026 00:00:00 GMTWeb3AuthKeplr嵌入式钱包社交登录https://ohshit.app/zh/incidents/yunnan-software-updates/https://ohshit.app/zh/incidents/yunnan-software-updates/奇安信红雨滴团队报告六款国内软件的更新渠道遭劫持。分析发现，一个 Windows 植入程序会检查终端是否位于云南，并通过 DNS over HTTPS 的 TXT 记录查找控制服务器。报告公布了排查指标，未公布产品名称或受害者数量。 怎么擦：隔离可疑主机，保留更新与网络证据，使用经验证的签名安装包重建受影响系统。Fri, 06 Nov 2026 00:00:00 GMTsoftware updatessupply chainWindowsYunnanhttps://ohshit.app/zh/incidents/babelfish-tds-memory/https://ohshit.app/zh/incidents/babelfish-tds-memory/AWS 修复自管 Babelfish 和启用 Babelfish 的 Aurora PostgreSQL 中的两个 TDS 内存漏洞。CVE-2026-119923 可能在无需认证的情况下以数据库进程用户身份执行操作系统命令。CVE-2026-119924 需要登录。应限制 TDS 端口并按所用版本线升级。 怎么擦：将 TDS 监听端口限制到可信客户端，升级扩展或 Aurora 集群并应用待处理维护。Fri, 06 Nov 2026 00:00:00 GMTBabelfishPostgreSQLAWSAurorahttps://ohshit.app/zh/incidents/cdxgen-project-config/https://ohshit.app/zh/incidents/cdxgen-project-config/恶意仓库可让 cdxgen 在使用 --no-install-deps 及 secure 模式时执行命令。同批另有解析阻塞、输出符号链接和 Git 重定向问题。@cyclonedx/cdxgen 12.9.1 已修复；@cdxgen/cdxgen 13.x 计划在 13.7.0 修复，公告尚未列出已发布补丁。 怎么擦：使用 @cyclonedx/cdxgen 12.9.1；13.x 在确认补丁发布前执行公告中的临时缓解措施。Fri, 06 Nov 2026 00:00:00 GMTcdxgenCISBOMhttps://ohshit.app/zh/incidents/cherry-miniapp-sdk-malware/https://ohshit.app/zh/incidents/cherry-miniapp-sdk-malware/GitHub 将 @cherrydotfun/miniapp-sdk 0.1.22 和 0.1.23 列为恶意软件。npm 将 0.1.21 标为 latest，且版本列表已不包含两项受影响版本。应根据锁文件和构建日志查找安装记录，隔离暴露环境并轮换其中的密钥。GitHub 未列修复版本。 怎么擦：停止受影响安装，隔离暴露环境，从干净系统轮换可访问的密钥，并使用已核验的依赖重新构建。Fri, 06 Nov 2026 00:00:00 GMTnpm供应链恶意软件https://ohshit.app/zh/incidents/infinitewp-nossl-signing/https://ohshit.app/zh/incidents/infinitewp-nossl-signing/研究人员利用一条捕获的请求及面板公钥，恢复了以 NOSSL 注册的 InfiniteWP Client 1.13.10 测试站点管理签名密钥。伪造请求成功修改数据库选项。核实修复前应限制或停用管理通道。 怎么擦：核实注册模式，限制或停用有风险的管理访问，并排查异常命令。Fri, 06 Nov 2026 00:00:00 GMTWordPressInfiniteWP认证https://ohshit.app/zh/incidents/istio-november-batch/https://ohshit.app/zh/incidents/istio-november-batch/Istio 在 1.31.4／1.30.8 修复八项公告及 JWKS 缓存校验问题。特定配置下可绕过 ambient mTLS、授权或 sidecar 拦截，泄露多集群密钥，或中断 istiod／ztunnel。调试请求导致的控制面崩溃需要网格身份；已核阅厂商通告未报告实际利用。 怎么擦：升级至 Istio 1.31.4+ 或 1.30.8+，更新控制面及数据面并验证相关策略和流量路径。Fri, 06 Nov 2026 00:00:00 GMTIstioService meshAuthorizationhttps://ohshit.app/zh/incidents/jnsa-security-check-data/https://ohshit.app/zh/incidents/jnsa-security-check-data/日本网络安全协会确认，其信息安全知识测评服务遭到未授权访问。最多 15,128 条记录可能泄露，包括管理员联系资料、用户 ID 和经哈希处理的密码。协会已暂停服务并展开调查。 怎么擦：通过官方站点更换复用密码，提醒用户防范冒充通知，并等候经核实的 JNSA 恢复指引。Fri, 06 Nov 2026 00:00:00 GMTJNSAdata breachsecurity traininghttps://ohshit.app/zh/incidents/amplifon-americas-data/https://ohshit.app/zh/incidents/amplifon-americas-data/Amplifon Americas 确认有人未经授权从其网络取得文件。德州申报列出 1,332,826 名受影响人员。公司称可能涉及听力、医疗和保险资料，少部分人员的金融资料或社会安全号码也可能涉及。 怎么擦：核实邮寄通知，查看保险理赔及账单，按个人通知确认资格后登记监测服务。Thu, 05 Nov 2026 00:00:00 GMTAmplifonhealthcaredata breachhttps://ohshit.app/zh/incidents/artex-signing-campaigns/https://ohshit.app/zh/incidents/artex-signing-campaigns/Check Point 报告 ARTEX 攻击十家 iOS 签名商，取得逾 300 张证书及密码，其中三张通过签名可用性验证。另一起行动在 API 泄露 AWS 凭据后改写加密应用分发清单，但未观察到成功盗币。这些是不同攻击活动，不证明 Apple 平台遭入侵。 怎么擦：审核签名密钥和分发清单，吊销暴露凭据、移除公开密钥，并恢复可信应用产物Thu, 05 Nov 2026 00:00:00 GMTARTEXsupply chaincode signinghttps://ohshit.app/zh/incidents/docomo-online-data/https://ohshit.app/zh/incidents/docomo-online-data/DOCOMO 第三报明确泄露字段：最多约 30 万条记录涉及证件号码、合约及资费方案等资料，部分另含银行账户、代理人、工作单位或育儿支持计划信息。在线商店及 My docomo 手续仍暂停；最终范围、入口及重开时间未明。 怎么擦：通过既有 DOCOMO 支持核实通知，拒绝冒名消息，重试业务手续前查看官方维护更新。Thu, 05 Nov 2026 00:00:00 GMTNTT DOCOMOData breachSaaShttps://ohshit.app/zh/incidents/openssh-musl-password/https://ohshit.app/zh/incidents/openssh-musl-password/Previdian 观察到 OpenSSH 绕过尝试，并报告 Alpine 蜜罐被以 root 权限登录。漏洞要求 musl sshd 网络可达、启用密码认证、未用 PAM，目标账户密码字段为 '*'，另有本地 $5$/$6$ 哈希。升级到 OpenSSH 10.6p2 或 Alpine 回补版本后重启 sshd。尚未证实生产环境失陷。 怎么擦：安装对应 Alpine 分支的修复 OpenSSH 包并重启 sshd；否则禁用 PasswordAuthentication 并验证实际配置。Thu, 05 Nov 2026 00:00:00 GMTOpenSSHAlpine LinuxAuthentication bypasshttps://ohshit.app/zh/incidents/signalplus-api-keys/https://ohshit.app/zh/incidents/signalplus-api-keys/SignalPlus 确认，攻击者通过被盗的供应商 Telegram 账号发送假 Teams 邀请，入侵工程师电脑。厂商估计少量未设 IP 白名单账户损失低于 8.2 万美元，称全部交易所关联 API 密钥已停用，并开始逐案全额赔付。服务仍暂停，待审查及修补后恢复。 怎么擦：直接在交易所检查挂单及持仓，撤销其他 SignalPlus 关联密钥，待问题解决后再启用带 IP 白名单的连接。Thu, 05 Nov 2026 00:00:00 GMTSignalPlusBinanceAPI credentialshttps://ohshit.app/zh/incidents/smbc-cf-guarantee-data/https://ohshit.app/zh/incidents/smbc-cf-guarantee-data/SMBC Consumer Finance 确认贷款担保系统中的个人资料已外传，最多涉及 320,118 名客户。泄露字段包括驾照号码、收入和贷款担保信息。公司已切断访问，并暂停该系统以调查事件。 怎么擦：通过贷款机构或担保方核实通知，留意异常贷款申请，及时报告疑似身份冒用。Thu, 05 Nov 2026 00:00:00 GMTSMBC Consumer Financedata breachconsumer lendinghttps://ohshit.app/zh/incidents/superpixel-skimmer/https://ohshit.app/zh/incidents/superpixel-skimmer/Report URI 发现 SuperPixel 通过商店托管的被篡改 JavaScript 窃取银行卡及账单资料，报告超过 100 家 WordPress、PrestaShop 和 OpenCart 商店感染；这是未独立核实的研究计数。收集地址由以太坊合约提供，初始入口仍不明。 怎么擦：暂停受影响结账、保留证据、恢复经验证的资源，并在重开前调查服务端写入权限来源。Thu, 05 Nov 2026 00:00:00 GMTSuperPixelMagecartJavaScripthttps://ohshit.app/zh/incidents/tendril-pool-drain/https://ohshit.app/zh/incidents/tendril-pool-drain/研究人员在 BNB Chain 追踪到 TENDRIL 卖出钩子被利用。受影响的 PancakeSwap V2 交易对在一笔交易中净流出约 555,671 USDT，研究方关联的获利地址收到约 308,959 USDT。两者衡量的是不同资金流。项目方修复或赔付仍未核实。 怎么擦：等待修复获核实前，暂停与受影响池交互。保留交易证据并核对具体合约地址。Thu, 05 Nov 2026 00:00:00 GMTTENDRILBNB ChainDeFiPancakeSwaphttps://ohshit.app/zh/incidents/tron-wallet-theft-network/https://ohshit.app/zh/incidents/tron-wallet-theft-network/Bitquery 估算涉及 365 个 TRON 钱包的集群被转走至少 406 万 USDT。PublicAML 又追踪到 21 个地址流出至少 734,424 USDT，涉及同一手续费钱包。两组是研究者的分期估算，地址不等于人数。仅一笔与公开 iPhone 案例吻合，其他受影响设备、应用及成因仍未知。 怎么擦：用可信设备和新助记词保护暴露钱包的剩余资产，保留证据并报告盗币，及时更新移动系统。Thu, 05 Nov 2026 00:00:00 GMTTRONWallet theftSeed phraseshttps://ohshit.app/zh/incidents/unicolle-member-data/https://ohshit.app/zh/incidents/unicolle-member-data/制服零售商 THS 确认，攻击者利用 Unicolle 网店的程序缺陷取得会员资料。最多涉及 19,468 名注册客户，密码和信用卡资料未泄露。系统修复并经过外部安全评估后，网店恢复接单。 怎么擦：通过 THS 核实通知，留意冒充订单或发票的消息，并报告可疑联系。Thu, 05 Nov 2026 00:00:00 GMTUnicollee-commercedata breachhttps://ohshit.app/zh/incidents/ibm-api-connect-gateway/https://ohshit.app/zh/incidents/ibm-api-connect-gateway/IBM 11 月 5 日的 API Connect 公告涵盖认证绕过与代码执行漏洞，其中部分无需登录。API Connect 10.0.8.0–10.0.8.12 应升至 10.0.8.13，V12 OnPrem 12.1.0.0–12.1.1.2 应升至 12.1.1.3。具体 CVE 随版本线而异。 怎么擦：限制不可信来源访问，安装对应版本线的 IBM 修复，核查网关配置及管理员访问。Thu, 05 Nov 2026 00:00:00 GMTIBMAPI Connect网关认证https://ohshit.app/zh/incidents/keycloak-saml-redirect/https://ohshit.app/zh/incidents/keycloak-saml-redirect/Keycloak 会处理签名检查遗漏的百分号编码 SAML 参数名，导致未签名消息可接管联合登录账户。上游 26.8.2 包含修复。Red Hat Build of Keycloak 受影响，但已核阅记录未给出其修复构建；Red Hat Single Sign-On 7 被列为不受此漏洞影响。 怎么擦：上游升级到 Keycloak 26.8.2；Red Hat 用户须按具体产品勘误处理，不能直接套用上游版本。Thu, 05 Nov 2026 00:00:00 GMTKeycloakSAMLauthenticationhttps://ohshit.app/zh/incidents/kucoin-overlord-phishing/https://ohshit.app/zh/incidents/kucoin-overlord-phishing/GCSA 核阅了冒充 KuCoin 的钓鱼邮件，确认 Windows 下载文件含 Overlord 远控客户端。Windows 及两个 macOS 样本使用相同的回连地址。GCSA 称 KuCoin 收到通报后为 ku.com 启用了 DMARC 隔离策略。感染设备数量及损失仍不明。 怎么擦：若运行了下载文件，先断开设备网络。通过干净设备保护账户、核查活动，并从 KuCoin 官方应用或网站联系支持。Thu, 05 Nov 2026 00:00:00 GMTKuCoin钓鱼恶意软件DMARChttps://ohshit.app/zh/incidents/libreoffice-dbase-index/https://ohshit.app/zh/incidents/libreoffice-dbase-index/恶意 dBASE 索引被数据库文档引用时，可使 LibreOffice 内存溢出。26.2 分支更新至 26.2.6+，26.8 至 26.8.1+。ZDI 描述需用户交互的代码执行；厂商对同一漏洞给出 CVSS 4.0 5.4 分。已读通知未确立实际攻击。 怎么擦：通过官方渠道安装 LibreOffice 26.2.6+ 或 26.8.1+，重新启动后检查“帮助 > 关于”Thu, 05 Nov 2026 00:00:00 GMTLibreOfficedocument parsingmemory corruptionhttps://ohshit.app/zh/incidents/appwrite-runtime-secrets/https://ohshit.app/zh/incidents/appwrite-runtime-secrets/Appwrite 确认运行时遭利用，一名客户的代码被读取并短暂修改。另一个令牌约 11 小时内可读取法兰克福计算节点上的 Function 和 Site 密钥，1,022 个项目获通知。未发现通过该令牌读取的证据，但审计日志不完整。需轮换相关密钥；自托管版升级至 2.7.1。 怎么擦：轮换受影响密钥并重新部署；自托管版升级至 2.7.1，适用时轮换已暴露的 executor 密钥。Wed, 04 Nov 2026 00:00:00 GMTAppwritecloudcredentialsruntimehttps://ohshit.app/zh/incidents/arkea-banking-fraud/https://ohshit.app/zh/incidents/arkea-banking-fraud/Arkéa 称攻击者经供应商平台进入，使用银行自有账户，并非客户账户或 Fortuneo 入口。对报道的 1.18 亿欧元/1.33 亿美元仅确认数量级，部分资金被拦截，最终影响待评估。银行称多数业务经检查后恢复，客户资产不受影响。 怎么擦：通过日常银行渠道核实待处理转账，并向既有客户经理报告可疑消息或账户活动。Wed, 04 Nov 2026 00:00:00 GMTArkéabankingfraudhttps://ohshit.app/zh/incidents/bossai-data-theft/https://ohshit.app/zh/incidents/bossai-data-theft/Acronis 报告 AI 辅助攻击活动中确认的医疗、急救调度及大学资料访问或窃取。约十个目标在三个国家确认遭访问或外传；更广的十一国目标范围不代表全部被攻破。数量仍属研究方估计。 怎么擦：限制记录及管理界面访问，修复授权和注入缺陷，保留日志并核实资料及凭据外泄范围。Wed, 04 Nov 2026 00:00:00 GMTBOSSAIdata breachAI agentshttps://ohshit.app/zh/incidents/poisoned-source-mobile/https://ohshit.app/zh/incidents/poisoned-source-mobile/Sekoia 披露 Poisoned Source 通过网站、仿冒站及 Plerdy 8–9 月脚本事件投递已有补丁的 iOS／Android 利用链，以中高置信度关联 APT29。Plerdy 确认服务器及客户联系资料遭访问，但未发现访客失陷证据；感染人数未知。 怎么擦：更新移动系统及浏览器，保留网站／设备证据，核验脚本，从可信设备吊销暴露会话。Wed, 04 Nov 2026 00:00:00 GMTPlerdyMobileSupply chainhttps://ohshit.app/zh/incidents/revspring-bill-pay-data/https://ohshit.app/zh/incidents/revspring-bill-pay-data/RevSpring 确认有人未经授权使用客服工具，从账单支付平台取得患者资料。德州申报列出 1,974,069 名受影响人员。部分资料包含社会安全号码。公司排除了诊断、治疗、支付卡及银行账户资料。 怎么擦：通过医疗机构核实通知，符合条件时登记监测服务，并留意身份冒用。Wed, 04 Nov 2026 00:00:00 GMTRevSpringdata breachhealthcarehttps://ohshit.app/zh/incidents/shippio-platform-data/https://ohshit.app/zh/incidents/shippio-platform-data/Shippio 确认所有客户的公司及联系记录遭访问，约 1,300 份文档被下载。攻击者利用内部工具存储的凭据进入系统，在约 1,100 个团队中创建非法账户及 API 凭据，并上传恶意文件。服务仍暂停；客户须核对导出资料，并在重开后重新取得 API 访问凭据。 怎么擦：保持集成暂停，对照原件核查导出资料，官方重开后重新登录并取得新的 API 访问凭据。Wed, 04 Nov 2026 00:00:00 GMTShippioSaaScredentialshttps://ohshit.app/zh/incidents/sogou-http-dns-hijack/https://ohshit.app/zh/incidents/sogou-http-dns-hijack/ESET 观察到攻击者重定向搜狗输入法的 HTTP 配置请求，在 Windows 上投放 DarkVigil。攻击需要操纵 DNS 或网络路径，具体劫持位置仍不明。升级至 16.10，并调查既有感染；更新不能证明已植入的主机恢复干净。 怎么擦：安装官方搜狗 16.10 或更高版本；隔离疑似主机、保留证据，调查 DarkVigil 后再恢复访问。Wed, 04 Nov 2026 00:00:00 GMT搜狗WindowsDNS 劫持https://ohshit.app/zh/incidents/apt-download-verification/https://ohshit.app/zh/incidents/apt-download-verification/CVE-2026-109518 可让网络路径上的攻击者利用 HTTP 重定向、下载重试及硬链接复用，在 APT 验证后替换软件包；要求 Acquire::Retries 非零。Debian 和 Ubuntu 现已列出修复包，Canonical 给出禁用重试的升级路径。尚未确立实际利用。 怎么擦：经可信路径安装本发行版已发布的 APT 修复包，核对安全公告及实际安装版本。Wed, 04 Nov 2026 00:00:00 GMTAPTDebianUbuntuhttps://ohshit.app/zh/incidents/cisco-ise-endpoint-certificate/https://ohshit.app/zh/incidents/cisco-ise-endpoint-certificate/Cisco ISE 及 ISE-PIC 存在授权绕过，远程攻击者无需认证即可获取端点身份证书，不受设备配置限制。Cisco 列出五条 ISE 分支的补丁，尚不知有恶意利用；这不等于已确认服务器接管或所有网络访问控制均遭绕过。 怎么擦：安装对应 Cisco 补丁，核验每个部署节点，并按既有安全流程检查异常证书签发。Wed, 04 Nov 2026 00:00:00 GMTCiscoISEauthorization bypasshttps://ohshit.app/zh/incidents/github-luajit-download-lures/https://ohshit.app/zh/incidents/github-luajit-download-lures/火绒披露 GitHub README 下载诱饵投递 Windows 批处理／LuaJIT 加载器，可上传截图及系统资料、执行 C2 响应并继续下发窃密组件。样本涉及 30,738 个仓库、15,584 个账号，含伪造及部分被盗账号，不能视为受害者或感染人数。 怎么擦：停止运行可疑仓库下载，保留证据，检查持久化及 Defender 排除项，从干净设备更换确认暴露的凭据。Wed, 04 Nov 2026 00:00:00 GMTGitHubMalwareSupply chainhttps://ohshit.app/zh/incidents/kernel-browser-credentials/https://ohshit.app/zh/incidents/kernel-browser-credentials/Kernel 称，被盗凭据导致日志服务资料被下载，四台 GPU 服务器遭访问，其中三台承载客户浏览器会话。日志含少量 Kernel API 密钥及部署中的第三方凭据。厂商称影响 0.28% 的客户，已吊销凭据并隔离服务器，认为涉及借助 ARTEX 的挖矿活动。 怎么擦：向 Kernel 核实暴露范围，吊销外泄 API 和第三方凭据，审查会话及下游访问。Wed, 04 Nov 2026 00:00:00 GMTKernel凭据云https://ohshit.app/zh/incidents/queens-public-library-ransomware/https://ohshit.app/zh/incidents/queens-public-library-ransomware/皇后区公共图书馆确认发生勒索软件攻击，所有馆点均受网络中断影响。开放馆点的自助借还机和 Wi-Fi 已恢复；官网、应用、馆内电脑和数字媒体服务仍受影响。 怎么擦：查看图书馆的官方故障公告；需要使用某项服务时，先向所在分馆核实。Wed, 04 Nov 2026 00:00:00 GMTransomwarepublic serviceslibraryhttps://ohshit.app/zh/incidents/rails-november-security/https://ohshit.app/zh/incidents/rails-november-security/Rails 8.0.5.2 及 8.1.4.1 修复 21 项问题，包括 Active Storage 恶意上传导致文件访问及可能代码执行。ImageMagick 策略、Disk 存储及 FFmpeg 构建选项决定暴露范围。更新 Rails、mini_magick，检查 GCS 上传 CORS，并轮换可能暴露的凭据；尚未确立实际攻击。 怎么擦：升级 Rails 8.0.5.2 或 8.1.4.1，检查处理依赖、上传配置及暴露凭据。Wed, 04 Nov 2026 00:00:00 GMTRailsActive StorageRCEhttps://ohshit.app/zh/incidents/screenshot-desktop-malware/https://ohshit.app/zh/incidents/screenshot-desktop-malware/GitHub 恶意软件公告精确标记 screenshot-desktop 1.16.0，未列修复版本。建议将安装或运行过它的主机视为失陷，并从另一台电脑轮换凭据。npm 的 latest 现指向 1.15.8，但这不能清理既有主机，也不能证明其他版本安全。 怎么擦：停用 1.16.0，隔离受影响主机，从干净设备轮换凭据，并用可信来源重建。Wed, 04 Nov 2026 00:00:00 GMTnpmscreenshot-desktopmalwarehttps://ohshit.app/zh/incidents/tata-ira-credentials/https://ohshit.app/zh/incidents/tata-ira-credentials/CERT-In 披露 iRA 2.0 至 26.7.3、iRA.ev 至 26.7.2 的四项漏洞：内嵌凭据、WebView 令牌暴露、日志记录令牌及无效证书锁定。分别更新至 26.8.2、26.9.1。各攻击路径前提不同，未报告确认利用或车辆控制事件。 怎么擦：从官方商店将 iRA 2.0 更新至 26.8.2、iRA.ev 更新至 26.9.1；向 Tata 核实潜在暴露凭据及会话的失效处理。Wed, 04 Nov 2026 00:00:00 GMTTata MotorsiRAmobile securityhttps://ohshit.app/zh/incidents/chainstack-account-data/https://ohshit.app/zh/incidents/chainstack-account-data/Chainstack 确认攻击者访问了客户账户资料库及存放节点凭据的系统，姓名、组织成员邮箱和密码哈希可能暴露。尚无证据证明节点凭据被读取，但厂商要求轮换，并重新生成使用中的平台 API 密钥。 怎么擦：更换密码，完成节点凭据轮换；若使用平台 API 则重新生成其密钥，并警惕钓鱼。Tue, 03 Nov 2026 00:00:00 GMTChainstackData breachCredentialshttps://ohshit.app/zh/incidents/gitbook-infrastructure/https://ohshit.app/zh/incidents/gitbook-infrastructure/GitBook 复盘确认 SSO 会话伪造经 GitHub App、Cloudflare 密钥进入基础设施；所有客户资料均按暴露处理，但未证明全部被读取。API、集成及自定义认证密钥须更换，MCP 须重新认证；GitHub/GitLab 同步密钥已由厂商轮换。平台已恢复，公布三条排查 IP。 怎么擦：更换 API、第三方及集成密钥，重新生成自定义认证签名密钥，重新认证 MCP 并排查仓库活动Tue, 03 Nov 2026 00:00:00 GMTGitBookSaaScredentialshttps://ohshit.app/zh/incidents/loopscale-genesis-pause/https://ohshit.app/zh/incidents/loopscale-genesis-pause/Loopscale 称所有金库（含 USDC Genesis）的存取款及完整贷款管理均已恢复。团队确认针对 Genesis 金库的两条攻击路径，称存款人不会受损。补足情况仍有争议，完整技术复盘待公布。 怎么擦：存取款或操作贷款前，在官方应用中核对持仓和可用流动性。Tue, 03 Nov 2026 00:00:00 GMTLoopscaleSolanaDeFihttps://ohshit.app/zh/incidents/sovryn-rootstock/https://ohshit.app/zh/incidents/sovryn-rootstock/Sovryn 确认借贷及保证金净流出 604,575.19 XUSD 和 4.02792509 WRBTC，另有 AMM 付款 541,455.998472 XUSD。锁定托管及金库资产不等于追回攻击者资金。应停止合约交互，包括替代界面；提款仍暂停，最终损失尚未完成对账。 怎么擦：避免 Sovryn 合约交互，保留头寸记录，等待经核实的安全、对账及恢复指引Tue, 03 Nov 2026 00:00:00 GMTSovrynRootstockDeFihttps://ohshit.app/zh/incidents/zyxel-gs1900-cgi/https://ohshit.app/zh/incidents/zyxel-gs1900-cgi/CVE-2026-107441 可让未认证攻击者在十款 GS1900 交换机执行命令。Binarly 将在用利用关联至旧 CVE-2026-7273 补丁仍未处理的解析漏洞。应安装对应型号 2.90(... .3)C0、限制管理访问并调查暴露。996 台设备是历史攻击活动统计，不是新 CVE 的受害设备普查。 怎么擦：安装对应型号 2.90(... .3)C0 固件，隔离管理访问；调查后从可信状态更换暴露凭据。Tue, 03 Nov 2026 00:00:00 GMTZyxelswitchespatch bypasshttps://ohshit.app/zh/incidents/chrome-157-security/https://ohshit.app/zh/incidents/chrome-157-security/Chrome 157 修复 213 个安全问题，其中 7 个为严重漏洞。特制网页可触发代码执行；三个严重条目仅涉及 Android。更新桌面及 Android Stable 后重启。Extended Stable 156.0.8078.88 是独立的 55 项修复更新，不涵盖全部 213 项。尚未确认实际利用。 怎么擦：Stable 安装 157.0.8103.38+ 并重启（Windows/Mac 为 .38/.39）；受管 Extended Stable 的部分修复为 156.0.8078.88+Tue, 03 Nov 2026 00:00:00 GMTChromebrowsermemory safetyhttps://ohshit.app/zh/incidents/docker-desktop-wsl/https://ohshit.app/zh/incidents/docker-desktop-wsl/Desktop 4.98.0 和 WSL 3.0.3+ 要求继续适用；GKE 有五个 COS 阈值，1.37/Ubuntu 补丁待发布。Citrix 现列出同一 TCP CVE 可从管理网络影响 XenServer 8.4/9 主机，另有来宾及 PXE 漏洞。应用主机渠道更新、WLB 2026.1.1+ 和 Conversion Manager 2026.2.0；未主张已核实攻击。 怎么擦：Desktop 4.98.0 + WSL 3.0.3+；GKE 按 GCP-2026-078；XenServer 渠道更新、WLB 2026.1.1+、Conversion Manager 2026.2.0。Tue, 03 Nov 2026 00:00:00 GMTDockerWSLisolationhttps://ohshit.app/zh/incidents/hpe-fabric-composer/https://ohshit.app/zh/incidents/hpe-fabric-composer/HPE 修复 Fabric Composer 的 46 个漏洞，包括通过 CLI 凭据取得远程管理员访问及邻接网络代码执行。7.4.x 升至 7.4.1+，7.3.x 升至 7.3.5+，并隔离管理接口。已审阅来源未确认实际利用。 怎么擦：7.4.x 升至 7.4.1+，7.3.x 升至 7.3.5+；旧分支迁移至受支持版本，并隔离管理接口Tue, 03 Nov 2026 00:00:00 GMTHPEFabric Composernetworkinghttps://ohshit.app/zh/incidents/msecure-credential-warning/https://ohshit.app/zh/incidents/msecure-credential-warning/mSecure 通知现任及曾用客户，在发现可疑活动后保护已存密码、双因素认证方式及通行密钥。两家媒体分别查阅了通知。客户另转贴支持回复，称云端加密数据库被复制；明文暴露、受影响数量及原因仍未确认。 怎么擦：核对直接通知，在凭据所属服务更换已存凭据，重新注册受影响的 MFA，并安全移除旧通行密钥。Tue, 03 Nov 2026 00:00:00 GMTmSecurepassword managercredentialshttps://ohshit.app/zh/incidents/nikke-launcher-scripts/https://ohshit.app/zh/incidents/nikke-launcher-scripts/Level Infinite 确认 NIKKE Windows 启动器文件遭第三方篡改，要求 9 月 27 日起曾启动的用户排查，并提供官方手动及 ACE 清理方案。厂商称移动端未受影响；恶意程序分发起点与研究人员日志存在分歧，受害范围仍不明，清理前应先保留证据。 怎么擦：排查暴露期间保持启动器关闭；核实官方处置，保留证据，清除旧缓存，并更换暴露的凭据。Tue, 03 Nov 2026 00:00:00 GMTNIKKESupply chainCredentialshttps://ohshit.app/zh/incidents/opnsense-acme-gcloud/https://ohshit.app/zh/incidents/opnsense-acme-gcloud/OPNsense os-acme-client 4.17 及更早版本的 Google Cloud DNS 验证可让拥有证书签发或续期权限的已认证用户执行 root 命令。上游 4.18 变更记录列出修复，但打包发布是否可用须另行核实；并非 OPNsense 核心的未认证失陷。 怎么擦：取得厂商修复插件构建；更新可用前，限制证书管理权限及 WebGUI／API 暴露。Tue, 03 Nov 2026 00:00:00 GMTOPNsenseACMEcommand injectionhttps://ohshit.app/zh/incidents/reth-state-root/https://ohshit.app/zh/incidents/reth-state-root/Reth 的 trie 迭代器可能算出错误的增量状态根。上游 2.10.0、Base 1.5.3、op-reth 2.8.1、Morph 1.4.1 及 BNB reth-bsc 0.1.4-hotfix 包含修复。Celo、Mantle 和 Gravity 已合并限定范围的源码补丁，其他发布覆盖及完整范围仍须核实。尚未确立在野利用或资金损失。 怎么擦：更新到包含 Reth 修复 8572c88 且兼容所运行链的版本，核验下游依赖并在重启后验证节点状态。Tue, 03 Nov 2026 00:00:00 GMTRethEthereumintegrityhttps://ohshit.app/zh/incidents/cosme-member-data/https://ohshit.app/zh/incidents/cosme-member-data/istyle 称 @cosme 遭未授权访问，约 300 万会员资料泄露，涉及住址、出生日期及肤质、发质等。厂商称不含密码和信用卡资料，已退会者也可能受影响；计划于11月6日完成逐一通知，调查仍在进行。 怎么擦：查看官方通知，警惕定向邮件、短信及电话；有疑问时使用公告中的支持邮箱Mon, 02 Nov 2026 00:00:00 GMT数据泄露日本用户账户https://ohshit.app/zh/incidents/cpguard-update-channel/https://ohshit.app/zh/incidents/cpguard-update-channel/OPSSHIELD 确认 cPGuard 更新遭投毒，后续报告称约 2,950 台服务器执行恶意更新、约 7,900 个账单账户记录被复制。须安装最新版、更换主机及云和数据库密钥、重置账单密码，并检查定时任务清理。早期“取走 32 份文件”不是总影响范围，调查继续。 怎么擦：安装最新 cPGuard 并核实清理，轮换主机、云及 SSH 密钥，重置账单密码并开启双因素认证Mon, 02 Nov 2026 00:00:00 GMTcPGuardsupply chaincredentialshttps://ohshit.app/zh/incidents/mercado-bitcoin-wallets/https://ohshit.app/zh/incidents/mercado-bitcoin-wallets/Mercado Bitcoin 计划 11 月 9 日开放网站查看，称已拦截逾 1,600 万美元，承诺自有资金补足，并称客户无损失、无数据泄露。此前现价估值为 3,630 万美元；Bitquery 另估十一链涉及 4,860 万美元、36,042 个以太坊地址、冻结 1,180 万美元，未经独立核实。拦截不等于赔付，入口仍不明。 怎么擦：遵守充提暂停安排；官方恢复指引确认地址前，不要复用已保存的充值地址Mon, 02 Nov 2026 00:00:00 GMTMercado Bitcoinexchangewalletshttps://ohshit.app/zh/incidents/nojima-member-data/https://ohshit.app/zh/incidents/nojima-member-data/Nojima 确认网店及二手手机回收网站约 700 万条会员记录泄露，不含已退会用户。涉及姓名、联系方式、出生日期、性别、登录 ID 及厂商称已加密的密码；两站不保存信用卡资料。11 月 3 日通知称已强制重置疑似受影响账户密码。 怎么擦：从已知 Nojima 官网重设唯一密码，更换其他服务复用的密码，警惕冒充通知Mon, 02 Nov 2026 00:00:00 GMTNojimadata breachcredentialshttps://ohshit.app/zh/incidents/pickgo-data/https://ohshit.app/zh/incidents/pickgo-data/PickGo 入侵涉及 7NOW 记录（姓名 164,180 条、姓名和地址 4,762 条、另含电话及邮编 209 条）和出前馆记录（姓名 799 条、地址 794 条、电话及邮编 33 条）。分类数量不是独立人数。7NOW 运行正常，出前馆已恢复连接；更广客户及司机范围仍在调查。 怎么擦：通过 7NOW 或 CBcloud 核实通知及受影响字段，警惕冒充配送服务的诈骗Mon, 02 Nov 2026 00:00:00 GMTPickGo7NOWdata breachhttps://ohshit.app/zh/incidents/prestige-roadside-data/https://ohshit.app/zh/incidents/prestige-roadside-data/已停用的道路救援系统涉及最多约 550 万条受影响记录，含重复。泄露资料包括联系、车辆、事故和部分银行信息，另有三件卡号泄露。救援业务通过替代流程继续。苏黎世保险日本确认资料涉及，BMW 日本仍在核查范围。 怎么擦：通过救援服务商核实通知；拒绝突如其来的凭据索取，并检查受影响账户Mon, 02 Nov 2026 00:00:00 GMTPrestigedata breachroadside assistancehttps://ohshit.app/zh/incidents/supermarket-refrigeration-wave/https://ohshit.app/zh/incidents/supermarket-refrigeration-wave/11月2日，欧洲多国超市报告制冷系统异常。Sabcobel 称攻击者远程开启除霜；研究人员确认受影响设备的管理界面暴露公网。应隔离控制器，由制冷专业人员核验并恢复安全设置。 怎么擦：取消公网管理访问，核查除霜设置，使用受保护远程访问并按型号恢复Mon, 02 Nov 2026 00:00:00 GMTOTcold chainactive attackhttps://ohshit.app/zh/incidents/workos-internal-gtm/https://ohshit.app/zh/incidents/workos-internal-gtm/WorkOS 将内部 CRM／支持数据访问归因于研究人员进行 ARTEX 基准测试时逃出沙箱的代理。公司及独立取证方验证了归因和范围；研究人员称数据已删除且未分享。公网 API、可预测的开发凭据及缺少限流促成访问，生产服务被排除受影响。 怎么擦：向 WorkOS 核实通知和本组织受影响记录，防范定向钓鱼。Mon, 02 Nov 2026 00:00:00 GMTWorkOSData breachAIhttps://ohshit.app/zh/incidents/xcpe-firmware-backdoor/https://ohshit.app/zh/incidents/xcpe-firmware-backdoor/Google 将固件后门归因于 Videostrong，披露超过 130 万台电视盒感染。Google 已打击控制基础设施并禁用该供应商资质，但网络关停不会移除设备上的持久化恶意软件。 怎么擦：隔离可疑设备并保留证据，寻求经过验证的干净固件或更换受影响硬件。Mon, 02 Nov 2026 00:00:00 GMTAndroidSupply chainBotnethttps://ohshit.app/zh/incidents/barracuda-appliance-admin-chain/https://ohshit.app/zh/incidents/barracuda-appliance-admin-chain/Barracuda 披露 ESG 配置导入认证绕过，以及六类设备共用的时区命令注入漏洞。应限制管理访问、升级固件并核验对应安全补丁；只看固件版本号不够。 怎么擦：限制管理界面访问；升级至当前固件并核验每台设备对应的厂商补丁Mon, 02 Nov 2026 00:00:00 GMTedge deviceauth bypassRCEhttps://ohshit.app/zh/incidents/cwp-user-panel-api/https://ohshit.app/zh/incidents/cwp-user-panel-api/CWP 完整报告补齐十个 CVE，演示了旧版用户面板未认证到 root 的攻击链；1.12 后仍需修复本机 API。研究将最终修复归于 1.29，CNA 边界为 1.30。应安装厂商当前 1.30.1 LTS 或适用更新版本；尚无在野利用证据。 怎么擦：升级 CWP 至厂商推荐的 1.30.1 LTS 或适用更新版本；限制面板和本机 API，排查既往异常Mon, 02 Nov 2026 00:00:00 GMThostingauth bypassRCEhttps://ohshit.app/zh/incidents/fastify-http-proxy-prefix-escape/https://ohshit.app/zh/incidents/fastify-http-proxy-prefix-escape/@fastify/http-proxy 9.0.0 至 11.6.5 在用带参数的 prefix 和 rewritePrefix 限制上游路径时，可被未认证请求绕过。取决于上游服务，可造成 SSRF 或授权绕过。升级至 11.6.6；维护者未列出临时规避方案。 怎么擦：将 @fastify/http-proxy 升级到 11.6.6 或更高并验证上游路径限制；厂商未列出临时规避方案Mon, 02 Nov 2026 00:00:00 GMTNode.jsFastifySSRFhttps://ohshit.app/zh/incidents/btcpay-hot-wallet-reports/https://ohshit.app/zh/incidents/btcpay-hot-wallet-reports/BTCPay 确认 2.4.1 及更早版本遭失窃，攻击采用 8 月 2.4.2 已修复漏洞的另一种利用方法。旧版或失陷部署即使已更新，也须新 VM、新钱包种子并替换凭据。Bitquery 约 163 万美元、682 次转账仍是未经独立核实的交易估算，不是受害人数。 怎么擦：受影响旧版或失陷部署：转到新种子钱包，在干净 VM 重建，并替换暴露凭据Sun, 01 Nov 2026 00:00:00 GMTBTCPay比特币热钱包https://ohshit.app/zh/incidents/premia-arbitrum-vaults/https://ohshit.app/zh/incidents/premia-arbitrum-vaults/Blockaid 报告 Premia 在 Arbitrum 上遭持续攻击，截至预警时约两笔交易已转出约 400,500 美元。其描述的流程包括创建空期权池、闪电贷和购买期权，将金库抵押品锁入池中，再以流动性形式提走。尚无最终损失总额或已核实的修复。 怎么擦：核实遏制措施前避免新增 Arbitrum 上的 Premia 金库敞口，保留交易记录并关注官方更新Sun, 01 Nov 2026 00:00:00 GMTPremiaArbitrumDeFihttps://ohshit.app/zh/incidents/smartnews-points-security-incident/https://ohshit.app/zh/incidents/smartnews-points-security-incident/SmartNews 确认10月31日至11月1日未授权访问及积分、特典违规操作，与10月22日事件不同。11月2日推送及广告主要功能已恢复，个性化逐步恢复，积分兑换及部分特典仍暂停；账户与广告资料影响继续调查。 怎么擦：检查积分及特典记录，通过官方支持报告异常，并跟踪恢复公告Sun, 01 Nov 2026 00:00:00 GMTSmartNewsSaaS账户安全https://ohshit.app/zh/incidents/trigger-dev-environment-secrets/https://ohshit.app/zh/incidents/trigger-dev-environment-secrets/Trigger.dev 报告 0.66% 的客户受 root API key 暴露影响，涉及环境变量及部分运行、部署和计划元数据。受影响 API 密钥已吊销，仍需重新生成并轮换下游凭据。厂商称自托管部署和 webhook 签名密钥未受影响，具体攻击方式仍未披露。 怎么擦：查看所有者通知，在签发方吊销并更换暴露密钥，再更新依赖任务及集成Sun, 01 Nov 2026 00:00:00 GMTTrigger.dev云凭据https://ohshit.app/zh/incidents/b14g-core-staking/https://ohshit.app/zh/incidents/b14g-core-staking/b14g 称，攻击者用一笔交易发起零金额提款，从 91 笔质押订单盗走约 9705 万枚 CORE。Core 分叉追回约 6815 万枚，另有约 1200 万枚据报冻结。计划将各受影响订单约 70.2% 的原余额补回为质押余额。分配及已核实的修复仍待确认。 怎么擦：暂停向受影响合约存入资金。保留订单记录，按官方分配比例核对补回的质押余额，并核实申领指引。Sat, 31 Oct 2026 00:00:00 GMTb14gCore质押https://ohshit.app/zh/incidents/club-tourism-members/https://ohshit.app/zh/incidents/club-tourism-members/Club Tourism 确认服务器遭未授权访问，约 432 万条网络会员记录可能外泄。公司称不涉及密码、护照、银行卡及银行账号信息，已暂停主页，并将通知受影响客户。具体外传情况仍在调查。 怎么擦：通过既有官方渠道核实通知，防范钓鱼，并更换复用密码Sat, 31 Oct 2026 00:00:00 GMTClub Tourismdata breachhttps://ohshit.app/zh/incidents/stepdrainer-frontends/https://ohshit.app/zh/incidents/stepdrainer-frontends/Blockaid 警告 12 个加密站点分发 Step Drainer。Flap 确认 DNS 劫持；Flap 和 Kintsu 称网站已恢复。Bitquery 估计六条链上被盗 202,386 美元，不含 Solana/Aptos。注册商根因及全面恢复仍未确认。 怎么擦：避开受影响前端及签名提示，通过可信钱包工具检查此前交互Sat, 31 Oct 2026 00:00:00 GMTStep DrainerDNS加密货币https://ohshit.app/zh/incidents/talis-injective-nfts/https://ohshit.app/zh/incidents/talis-injective-nfts/Talis 称，攻击者于 10 月 31 日利用其在 Injective 上的市场及拍卖合约，约 5,700 枚托管 NFT 被取走并卖入公开集合出价。这是 NFT 数量，不是受害人数或美元损失；本次读到的原帖尚未确立已核实的修复及最终范围。 怎么擦：避免新增受影响合约敞口，保留 NFT 与交易记录，并通过官方渠道核实恢复指引Sat, 31 Oct 2026 00:00:00 GMTTalisInjectiveNFThttps://ohshit.app/zh/incidents/troves-starknet-vault/https://ohshit.app/zh/incidents/troves-starknet-vault/Troves 报告 Starknet 上 xWBTC/WBTC 金库初步损失约 8.6 枚 BTC，称已撤销旧合约及 LST 再平衡权限并暂停三个金库。目前未发现其他金库受影响；最终复盘和资金追回仍待确认。 怎么擦：避免向暂停的金库新增存款，保存持仓记录并关注经核实的 Troves 更新Sat, 31 Oct 2026 00:00:00 GMTTrovesStarknetDeFihttps://ohshit.app/zh/incidents/vpreca-contractor/https://ohshit.app/zh/incidents/vpreca-contractor/LifeCard 确认 V-Preca 客户资料在 GMO Payment Gateway 被窃取，涉及 69 个账户，其中 3 个泄露完整卡片凭据。LifeCard 称这 3 个账户已于 10 月 31 日注销，未发现被冒用，暂停的服务已恢复。 怎么擦：关注 V-Preca 官方通知，核对服务状态并验证异常支持或付款请求Sat, 31 Oct 2026 00:00:00 GMTLifeCardV-Preca第三方https://ohshit.app/zh/incidents/kddi-lifenet-integration/https://ohshit.app/zh/incidents/kddi-lifenet-integration/KDDI 与 Lifenet 确认其互联系统遭未经授权访问。六类可能外泄的记录合计 22,541 条，并非已核实的独立人数。联合公告排除了密码、支付资料及保险合同资料。 怎么擦：核对个人通知，拒绝索要密码或 PIN 的请求，通过联合公告所列渠道联系Fri, 30 Oct 2026 00:00:00 GMTKDDILifenet数据泄露https://ohshit.app/zh/incidents/northflank-secrets/https://ohshit.app/zh/incidents/northflank-secrets/Northflank 称控制平面密钥首次已知解密发生于 10 月 30 日 02:39–03:08 UTC，未发现工作负载数据被访问的迹象。部分客户报告 AI 密钥滥用；所有集成及项目密钥仍需轮换，并启用服务商 IP 限制及预算上限。厂商称前置部署及专用控制平面未受影响，独立取证仍在进行。 怎么擦：停用或轮换所有暴露的密钥，更新依赖应用，并关闭已启用的附加服务公网访问Fri, 30 Oct 2026 00:00:00 GMTNorthflank云凭据https://ohshit.app/zh/incidents/ao3-security-outage/https://ohshit.app/zh/incidents/ao3-security-outage/AO3 确认安全事件，预计至少停机两周，可能持续四周。目前不认为用户数据库被盗，但无法排除。运营方称作品及其他 AO3 数据未被删除；捐赠者资料存于独立系统，未受暴露。 怎么擦：更换其他网站复用的密码，关注官方恢复通知，拒绝陌生账户找回请求Fri, 30 Oct 2026 00:00:00 GMTAO3安全事件停机https://ohshit.app/zh/incidents/chainalysis-customer-data/https://ohshit.app/zh/incidents/chainalysis-customer-data/Chainalysis 已暂停 Reactor、Data Solutions、Chain（Beta）及 Rapid，Academy 及部分 Hexagate 功能可能受影响，管理门户功能已恢复，KYT 存在功能例外。KYT 和 Address Screening 的其他功能继续运行。客户用户 ID、姓名、邮箱及组织角色已遭访问；尚无调查内容、明文密码、MFA 密钥或会话令牌遭访问的证据。 怎么擦：启用双因素认证，审查异常登录或重置提示，获取本组织受影响记录明细Fri, 30 Oct 2026 00:00:00 GMTChainalysisSaaS数据泄露https://ohshit.app/zh/incidents/clickhouse-server-rce/https://ohshit.app/zh/incidents/clickhouse-server-rce/ClickHouse 披露 CVE-2026-116366：未认证网络用户可在特定条件下远程执行代码。四条开源版本线已有修复，厂商称 Cloud 和 BYOC 已完成修补。触发条件及受影响接口尚未披露，在野利用未获确认。 怎么擦：升级至受支持版本线的修复构建，逐台检查服务器，包括应用内置的部署Fri, 30 Oct 2026 00:00:00 GMTClickHouse数据库RCEhttps://ohshit.app/zh/incidents/tenable-identity-ioa-listener/https://ohshit.app/zh/incidents/tenable-identity-ioa-listener/Tenable Identity Exposure 修复三个漏洞，其中已认证命令注入可在 PDC 模拟器上以 SYSTEM 执行命令。升级到 3.93.6 或 3.77.18 后，必须在域控制器卸载并重装 IoA 脚本；单纯升级会保留有漏洞的监听器。 怎么擦：升级到 3.93.6 或 3.77.18，再重装域控制器上的 IoA 脚本；升级前核查自定义 RSA 证书Fri, 30 Oct 2026 00:00:00 GMTActive DirectoryTenableRCEhttps://ohshit.app/zh/incidents/trezor-cryptobilis-implant/https://ohshit.app/zh/incidents/trezor-cryptobilis-implant/Trezor 认为一份 Safe 5 硬件植入报告可信，但尚未检查实物。2026 年 3 月起购买由 CryptoBilis 供货的任何 Trezor 型号的用户，应将资金转到使用全新助记词的钱包。Trezor 尚未收到相关客户损失报告。 怎么擦：将资金转到使用全新助记词的新建钱包；在另一设备恢复旧备份无法消除风险Fri, 30 Oct 2026 00:00:00 GMTTrezor硬件钱包供应链https://ohshit.app/zh/incidents/binance-wallet-investigation/https://ohshit.app/zh/incidents/binance-wallet-investigation/币安初步报告称，设备入侵和被盗部署令牌导致内部签名服务被访问，EIP-7702 恶意授权使暂停提现后仍可转账。FBI 归因于 TraderTraitor。币安将涉及资产修订为约 63.4 亿美元、冻结或拦截约 28.5 亿美元，并回溯称 10 月 31 日（UTC+8）已补足 98%；这不等于追回。部分提现及旧的十种代币证明已可用，新的 44 种代币快照仍待生成证明；最终调查和全面恢复待确认。 怎么擦：关注官方更新，检查账户活动；若发现未授权操作，按币安指引停用账户并联系官方支持Thu, 29 Oct 2026 00:00:00 GMTBinance加密货币调查中https://ohshit.app/zh/incidents/cursor-claude-extension/https://ohshit.app/zh/incidents/cursor-claude-extension/Cursor 现确认其市场分发了遭修改的 Anthropic.claude-code 2.1.312 和 2.1.313。该包收集主机信息并安装 SSH 持久化。管理员权限限制通常阻止远程登录，但受影响设备仍需清理。Cursor 称攻击服务器已下线。 怎么擦：隔离受影响主机，移除扩展及持久化，评估重建，再从可信设备轮换暴露凭据Thu, 29 Oct 2026 00:00:00 GMTCursorClaude Code供应链https://ohshit.app/zh/incidents/florida-student-aid/https://ohshit.app/zh/incidents/florida-student-aid/佛罗里达州教育部门确认助学金网站遭未授权访问，可能涉及约 490 万人，潜在泄露资料包括社会安全号码。该部门称当前助学金及发放不受影响。 怎么擦：监控信用及金融账户，通过信用机构考虑设置欺诈警报或冻结信用Thu, 29 Oct 2026 00:00:00 GMT佛罗里达州数据泄露身份盗用https://ohshit.app/zh/incidents/github-event-shell-injection/https://ohshit.app/zh/incidents/github-event-shell-injection/Radware 发现针对 61 个仓库的 83 条恶意内容，并在两个 Actions 工作流中找到命令执行证据。9 月的攻击利用了将 Issue 或 PR 文本直接插入 Shell 脚本的不安全写法；尚未证实下游软件被篡改。 怎么擦：停用不安全工作流，将不可信文本作为数据传递，收紧任务权限，并轮换已执行载荷可接触的凭据Thu, 29 Oct 2026 00:00:00 GMTGitHub Actions供应链命令注入https://ohshit.app/zh/incidents/loadmine-model-malware/https://ohshit.app/zh/incidents/loadmine-model-malware/Pluto Security 报告恶意模型仓库：允许自定义代码时，会在权重加载前执行 Python。活动在下架后再度出现，留下挖矿程序和后门。记录的 3.2 万余次下载不代表已确认感染或独立受害者。 怎么擦：隔离暴露主机，排查持久化，更换可触及的凭据，并仅运行审查后锁定版本的模型代码Thu, 29 Oct 2026 00:00:00 GMTHugging FaceAI modelsmalwarehttps://ohshit.app/zh/incidents/polymarket-debugbear/https://ohshit.app/zh/incidents/polymarket-debugbear/Polymarket 复盘确认攻击者通过失陷的监控脚本滥用会话。平台称被盗资金为 270 万美元，另补偿暂停交易损失 120 万美元，截至 10 月 30 日已向 95% 的受影响钱包退款。交易已恢复，活跃会话已重置；受影响用户总数仍未披露。 怎么擦：关闭受影响标签页，通过干净会话核查账户活动，并从自有网站移除 DebugBear RUM 嵌入代码Thu, 29 Oct 2026 00:00:00 GMTPolymarketDebugBear供应链加密货币https://ohshit.app/zh/incidents/zklink-nova-arbitrator/https://ohshit.app/zh/incidents/zklink-nova-arbitrator/zkLink 称已暂停 Nova 出块并紧急修补合约。Parapet Labs 追踪到无需权限的中继利用路径，以及 Optimism、Base、Blast 和 Mantle 上的第二波攻击。其历史分析不能验证厂商后续补丁或安全重启，最终损失仍未确认。 怎么擦：遏制状态未明时避免继续增加相关跨链敞口；保存交易记录并关注官方更新Thu, 29 Oct 2026 00:00:00 GMTzkLink NovabridgeEthereumOptimismhttps://ohshit.app/zh/incidents/nomad-isolation-batch/https://ohshit.app/zh/incidents/nomad-isolation-batch/HashiCorp 修复跨命名空间泄露及两条工作负载影响宿主机的符号链接路径。宿主机影响取决于作业权限、驱动或迁移配置及客户端代理权限。社区版升级至 2.1.0；企业版升级至 2.1.0、1.11.12 或 1.10.18。 怎么擦：社区版升至 2.1.0；企业版升至 2.1.0、1.11.12 或 1.10.18，并核对客户端代理Thu, 29 Oct 2026 00:00:00 GMTNomadisolationprivilege-escalationhttps://ohshit.app/zh/incidents/osf-admin-access/https://ohshit.app/zh/incidents/osf-admin-access/OSF 确认攻击者通过 16 个内部管理端点未授权访问数据。泄露内容包括姓名、邮箱、用户 ID 和项目元数据，含私有项目标题及描述。运营方称文件和密码未被访问，受影响用户数量未知。 怎么擦：阅读 OSF 通知，通过已知渠道核实意外请求；运营方不要求用户采取操作Thu, 29 Oct 2026 00:00:00 GMTOSFSaaS访问控制https://ohshit.app/zh/incidents/rancher-fleet-october/https://ohshit.app/zh/incidents/rancher-fleet-october/四份公告涉及 Fleet 集群管理员提权，以及 Rancher shell 越权、SSRF 和凭据转发。默认部署中的部分路径仅需普通已认证用户。需同时升级 Rancher 和 Fleet；暴露不等于已遭利用。 怎么擦：升级两个组件，核对 Fleet 实际版本，并使可能被转发的 Rancher 凭据失效Thu, 29 Oct 2026 00:00:00 GMTRancherFleetKuberneteshttps://ohshit.app/zh/incidents/searchjacked-extensions/https://ohshit.app/zh/incidents/searchjacked-extensions/Socket 记录了通过运营者控制的代理转发搜索查询的扩展。319 款扩展、约 1340 万用户的统计横跨十年，不代表新感染或独立受害者数量。本次报告新增识别 264 款扩展。 怎么擦：移除相关扩展，恢复可信搜索设置，并核查企业浏览器策略Thu, 29 Oct 2026 00:00:00 GMTChromeextensionsSearchjackedhttps://ohshit.app/zh/incidents/solanacry-starter-kit/https://ohshit.app/zh/incidents/solanacry-starter-kit/Air Security 分析了一个假 GitHub 入门仓库：README 指令会下载 PowerShell 载荷，在 Windows 安装远程访问工具。仓库创建于 2025 年；10 月 29 日的披露强调编程代理搜索带来的风险。尚无已确认受害者数量。 怎么擦：隔离暴露主机并保存持久化证据；完整性存疑时重建，从干净设备更换可触及的凭据Thu, 29 Oct 2026 00:00:00 GMTSolanaGitHubAI agentsNetSupporthttps://ohshit.app/zh/incidents/telegram-android-call/https://ohshit.app/zh/incidents/telegram-android-call/NebuSec 报告，用户接听 Telegram Android 来电后可能触发代码执行。Android 12.10.4 已包含解析器修正。所报测试覆盖 ARM64 手机的私聊通话；真实攻击及完整利用链尚未确认。 怎么擦：将 Telegram Android 更新至 12.10.4 或更高版本，并核对安装版本Thu, 29 Oct 2026 00:00:00 GMTTelegramAndroidRCEhttps://ohshit.app/zh/incidents/wsftp-october-batch/https://ohshit.app/zh/incidents/wsftp-october-batch/Progress 发布 Windows WS_FTP Server 的 15 个 CVE，包括 CVSS 10.0 凭据暴露及依赖配置的命令执行。安装 2024.0.7 或 2025.0.4 可覆盖整批修复；不同命令执行路径要求不同账户权限。 怎么擦：安装 2024.0.7（9.0.7）或 2025.0.4（10.0.4）；已退役版本迁移至受支持版本线Thu, 29 Oct 2026 00:00:00 GMTWS_FTPRCEauthenticationhttps://ohshit.app/zh/incidents/cisco-keydrift/https://ohshit.app/zh/incidents/cisco-keydrift/Talos 报告 UAT-11473 利用 CVE-2026-20127 植入持久化后门并收集控制组件中的密钥材料。这是新披露的攻击活动，使用的是已有补丁的漏洞，并非新的零日漏洞。 怎么擦：按 Cisco 公告升级、限制控制组件访问，并与 TAC 排查持久化后再确认恢复Wed, 28 Oct 2026 00:00:00 GMTCiscoSD-WANKeyDrifthttps://ohshit.app/zh/incidents/cisco-ssl-vpn-reload/https://ohshit.app/zh/incidents/cisco-ssl-vpn-reload/CVE-2026-76418 可让未认证攻击者通过 SSL VPN 触发 ASA/FTD 重启，前提是相关 tunnel group 配置了二次认证。Cisco 确认在野利用并列出修复版本。 怎么擦：安装对应 ASA/FTD 修复版本；暂时无法修补时，评估 Cisco 有前提条件的缓解措施Wed, 28 Oct 2026 00:00:00 GMTCiscoVPNDoShttps://ohshit.app/zh/incidents/drupal-commerce-october/https://ohshit.app/zh/incidents/drupal-commerce-october/Drupal 确认 Commerce Core 路由及字段访问绕过漏洞 CVE-2026-118539 已遭利用。10 月 28 日批次修复六项漏洞，应升级至 3.3.13 或 8.x-2.41，并审计订单异常。 怎么擦：将 Commerce Core 升级至 3.3.13 或 8.x-2.41，审计订单并检查已启用的 API 集成Wed, 28 Oct 2026 00:00:00 GMTDrupalCommerce访问绕过https://ohshit.app/zh/incidents/freeswitch-sip-message/https://ohshit.app/zh/incidents/freeswitch-sip-message/FreeSWITCH 确认 SIP MESSAGE 选择 API 命令接口的路径遭利用。受影响版本为 1.11.2 及更早，1.11.3 默认关闭该路径。即使启用认证，普通注册用户仍可能利用。 怎么擦：升级至 1.11.3，关闭不用的入站聊天，保持 enable-chat-api-proto 禁用Wed, 28 Oct 2026 00:00:00 GMTFreeSWITCHSIPRCEhttps://ohshit.app/zh/incidents/hana-cupid-members/https://ohshit.app/zh/incidents/hana-cupid-members/Hana-cupid 确认会员数据泄露，可能涉及最多 4,238,242 条记录，包括登录 ID、邮箱及受保护的密码，不含支付资料。 怎么擦：通过官网重置密码，更换其他网站复用的密码，警惕钓鱼邮件Wed, 28 Oct 2026 00:00:00 GMTHana-cupid数据泄露凭据https://ohshit.app/zh/incidents/humanode-precompiles/https://ohshit.app/zh/incidents/humanode-precompiles/Humanode 报告 436 个账户共被盗 12,773,243.03 eHMND，包括 ChainPort 金库。既有 WeHMND 授权使攻击无需用户再次签名；本漏洞无法触及原生侧余额。 怎么擦：核实 runtime spec 134，遵守已公布的服务冻结安排，关注官方赔付更新Wed, 28 Oct 2026 00:00:00 GMTHumanodeEVM加密资产https://ohshit.app/zh/incidents/jal-amadeus-reservations/https://ohshit.app/zh/incidents/jal-amadeus-reservations/Amadeus 预订数据访问涉及约 92,000 名 JAL/JTA 客户及 37,800 名 ANA 客户，其中约 1,700 名 ANA 客户还可能涉及额外字段。国泰报告约 53,000 笔预订，统计单位不同。不能将这些数字相加为去重后的总人数。 怎么擦：警惕冒充航空公司的联系，通过官方渠道及个别通知核实影响Wed, 28 Oct 2026 00:00:00 GMT航空第三方数据暴露https://ohshit.app/zh/incidents/wordpress-upgrade-window/https://ohshit.app/zh/incidents/wordpress-upgrade-window/CISA 确认 WordPress 更新窗口 RCE 已遭实际利用，标记需要取证分诊，美国联邦处置期限为 11 月 6 日。安装 7.1.4 或对应分支安全回移版本。该竞争条件需要完整包更新及可从公网执行的暂存文件，受害者数量仍未知。 怎么擦：安装 7.1.4 或对应分支安全回移版本，更新时保护暂存目录访问，并核对实际运行版本Wed, 28 Oct 2026 00:00:00 GMTWordPressRCE竞争条件https://ohshit.app/zh/incidents/allium-system-access/https://ohshit.app/zh/incidents/allium-system-access/Allium 于 10 月 25 日发现未授权访问，10 月 28 日吊销既有 API 密钥并要求设置新密码。数据共享和 Assistant 于 11 月 2 日恢复，MCP 于 11 月 5 日恢复。已上传数据访问需另行核实。11 月 6 日公司称独立机构已验证遏制措施，客户数据影响仍待调查。 怎么擦：按通知更换已吊销 API 密钥，设置新密码并开启 MFA；重启前验证受影响工作流Wed, 28 Oct 2026 00:00:00 GMTAlliumAPI keysSaaShttps://ohshit.app/zh/incidents/amplitude-event-data/https://ohshit.app/zh/incidents/amplitude-event-data/Amplitude 确认内部系统遭未授权访问，不足 0.3% 的客户账户的事件数据受影响。公司称已遏制 9 月 28 日的事件，并联系受影响客户；具体暴露字段及涉及人数尚未公布。 怎么擦：遵循厂商直接通知，确认受影响事件字段，并评估下游披露义务Wed, 28 Oct 2026 00:00:00 GMTAmplitude分析服务数据泄露https://ohshit.app/zh/incidents/jenkins-core-october/https://ohshit.app/zh/incidents/jenkins-core-october/Jenkins 在每周版 2.588 和 LTS 2.580.2 中修复 15 个核心漏洞。多条路径可在控制器上执行代码，其他漏洞影响账户、会话和页面渲染。多数需要特定权限或控制 Agent；其中一个针对首次初始化窗口。在野利用尚未确认。 怎么擦：将控制器升级到每周版 2.588 或 LTS 2.580.2；修复前限制不可信用户和 AgentWed, 28 Oct 2026 00:00:00 GMTJenkinsCI/CDRCEhttps://ohshit.app/zh/incidents/langflow-october-bulletin/https://ohshit.app/zh/incidents/langflow-october-bulletin/IBM 披露影响 Langflow OSS 1.0.0–1.12.8 的严重未授权代码执行和身份验证绕过，另含需登录的问题及 Hono 依赖漏洞。先备份数据并准备密码登录，再升级至 1.13.0。 怎么擦：备份数据库、secret key 及上传文件，准备登录并安装 IBM 建议的 1.13.0 修复版本；评估 1.13.1 的额外保护Wed, 28 Oct 2026 00:00:00 GMTLangflowRCEauthenticationhttps://ohshit.app/zh/incidents/lxd-microcloud-client-auth/https://ohshit.app/zh/incidents/lxd-microcloud-client-auth/攻击者若能访问 HTTPS API 并取得受信任客户端的公钥证书，无需对应私钥即可冒充该客户端。能否取得宿主机 root 权限取决于被冒充身份的权限。 怎么擦：在现有通道刷新两个 snap，并核对已安装版本Wed, 28 Oct 2026 00:00:00 GMTLXDMicroCloud身份认证https://ohshit.app/zh/incidents/n8n-october-security-batch/https://ohshit.app/zh/incidents/n8n-october-security-batch/n8n 10 月 28 日批次包含三项高危代码执行及九项中危问题。工作流编辑权限、不可信节点输入及启用的功能决定不同攻击路径。升级后仍须迁移已弃用代码节点，已有工作流可能继续运行。 怎么擦：使用稳定版 2.45.5；2.46.1/3.0.1 为预发布版。替换已弃用代码节点，检查工作流与凭据Wed, 28 Oct 2026 00:00:00 GMTn8n自动化凭据https://ohshit.app/zh/incidents/predict-fun-wallet-drains/https://ohshit.app/zh/incidents/predict-fun-wallet-drains/Predict.fun 确认约 40 万 USDT 的未授权转账。Bitquery 追踪 10 月 22 日和 27 日两波共 29 个钱包，发现所有者密钥签名，而非利用市场合约的调用。第三方 API 文档网站入侵仍是初步解释。 怎么擦：停止使用可能暴露的所有者密钥，从干净设备将剩余资产转入新钱包，并联系官方支持Tue, 27 Oct 2026 00:00:00 GMTPredict.funwalletscredentialshttps://ohshit.app/zh/incidents/litellm-enterprise-file-read/https://ohshit.app/zh/incidents/litellm-enterprise-file-read/启用 Enterprise 许可证的 LiteLLM 代理可通过未认证 LLM 请求泄露本地文件，进而被取得管理权限；部分配置还可导致 root 代码执行。应升级至修复版本，未启用许可证的 OSS 部署不受影响。 怎么擦：升级至 1.103.10 / 1.104.8 / 1.105.6 / 1.106.5；修复前过滤触发键并限制入站、出站访问Tue, 27 Oct 2026 00:00:00 GMTLiteLLM凭据Enterprisehttps://ohshit.app/zh/incidents/watchguard-fireware-batch/https://ohshit.app/zh/incidents/watchguard-fireware-batch/WatchGuard 10 月 27 日的 Fireware 批次涉及集群 root 操作注入、SIP 代理 RCE、AD 响应溢出及配置泄露。各漏洞前提不同；厂商称未发现已知利用。应按设备型号升级至对应修复版本。 怎么擦：按平台升级 Fireware 2026.4 或 12.12.4，T15/T35 使用 12.5.22；隔离管理及集群网络Tue, 27 Oct 2026 00:00:00 GMTWatchGuard防火墙RCEhttps://ohshit.app/zh/incidents/convertr-skimmer/https://ohshit.app/zh/incidents/convertr-skimmer/Sansec 发现 Convertr 共享追踪脚本窃取支付数据，并于 10 月 27 日确认清理；浏览器缓存可能继续保留恶意脚本 24 小时。Plausible 漏洞作为入侵入口的说法仍未证实。 怎么擦：联系银行更换暴露的支付卡；商户核实清理、处理缓存并通知支付服务商Mon, 26 Oct 2026 00:00:00 GMT电商供应链支付卡窃取https://ohshit.app/zh/incidents/seoul-data-theft-campaign/https://ohshit.app/zh/incidents/seoul-data-theft-campaign/首尔警方指控一起攻击活动从约 90 家机构窃取 820 万条个人数据记录。联社称约 60 家遭到 AI 工具辅助攻击，该数字尚未获独立核实。记录数不等于独立受害者人数。 怎么擦：保留证据、报告勒索并调查入侵路径；尚无适用于整起攻击活动的通用补丁或公开指标清单Mon, 26 Oct 2026 00:00:00 GMT韩国数据窃取AIhttps://ohshit.app/zh/incidents/unm-health/https://ohshit.app/zh/incidents/unm-health/10 月 26 日的网络攻击打断了 UNM Health 医疗服务。UNM 称临床服务于 10 月 27 日恢复，课程和研究于 28 日恢复；评估认为影响限于终端设备，核心服务器未被攻破。数据窃取指控仍未核实。 怎么擦：联系诊所确认补约安排，关注 UNM 通知，警惕以泄露事件为主题的消息Mon, 26 Oct 2026 00:00:00 GMT医疗服务中断https://ohshit.app/zh/incidents/bitcoinjs-security-batch/https://ohshit.app/zh/incidents/bitcoinjs-security-batch/六份公告涉及矿工费被低估、无效区块检查及解析拒绝服务。完整修复应升级至 5.2.3 / 6.1.10 / 7.0.5。资金损失取决于下游如何信任结果，超额费用还需有效交易广播并被网络接受；未确认真实攻击。 怎么擦：升级至 5.2.3 / 6.1.10 / 7.0.5，核实实际解析器依赖，并独立验证输入Mon, 26 Oct 2026 00:00:00 GMTBitcoinJavaScriptPSBThttps://ohshit.app/zh/incidents/consul-acl-batch/https://ohshit.app/zh/incidents/consul-acl-batch/HashiCorp 10 月 26 日的五项公告涉及未认证读取缓存中的网格证书及私钥、服务和健康检查授权绕过、未认证 API 内存耗尽，以及 consul-k8s 跨命名空间提权。各漏洞的触发前提不同。 怎么擦：按产品更新：Consul CE 2.1.0、Enterprise 2.1.0/1.21.19、consul-k8s 2.1.0/1.8.18；限制 agent API 访问Mon, 26 Oct 2026 00:00:00 GMTConsulKubernetesACL服务网格https://ohshit.app/zh/incidents/docker-desktop-october/https://ohshit.app/zh/incidents/docker-desktop-october/Docker Desktop 4.97.0 修复第三方凭据被写入日志的问题，以及容器可触发的内核网络漏洞。该版本还清理已有宿主日志及崩溃转储；先前复制或分享的诊断文件仍须另行清理。 怎么擦：升级 Docker Desktop 至 4.97.0，清理诊断副本，并轮换已暴露的第三方凭据Mon, 26 Oct 2026 00:00:00 GMTDocker凭据虚拟化https://ohshit.app/zh/incidents/gcp-managed-boundaries/https://ohshit.app/zh/incidents/gcp-managed-boundaries/Google 10 月 26 日及 28 日公告披露 Compute Engine 磁盘数据 IAM 绕过，以及 Application Integration 的已认证代码执行问题。二者均在披露前由服务端修复，无需客户更新。 怎么擦：无需客户安装补丁；按日常审计流程检查相关访问与集成Mon, 26 Oct 2026 00:00:00 GMTGoogle CloudIAM托管服务https://ohshit.app/zh/incidents/warp-vendor-breach/https://ohshit.app/zh/incidents/warp-vendor-breach/Warp 称一次入侵触及智能体追踪记录及遥测数据，潜在影响上限约为 1% 用户。供应商、漏洞及暴露字段未公开，尚不能确认凭据失窃。 怎么擦：遵循已核实的 Warp 通知，保留并检查相关活动，按具体暴露情况处理凭据Mon, 26 Oct 2026 00:00:00 GMTWarp第三方数据暴露https://ohshit.app/zh/incidents/workers-ai-kv-cache/https://ohshit.app/zh/incidents/workers-ai-kv-cache/Cloudflare 确认，8 月 27 日至 9 月 9 日间，155 条 GLM-5.3 响应包含其他客户的请求数据。托管服务在恢复访问前已修复；自托管 SGLang 预填充与解码分离部署的用户仍需检查引擎版本及缓存处理。 怎么擦：托管服务 9 月 9 日已修复；SGLang 使用 0.5.22+ 并检查容量和传输；NIXL/MORI 还需失败发送补丁 #45973Mon, 26 Oct 2026 00:00:00 GMTCloudflareSGLangAI数据泄露https://ohshit.app/zh/incidents/gheist-github-tokens/https://ohshit.app/zh/incidents/gheist-github-tokens/Wiz 报告在超过 850 个失陷账号中发现超过 13,500 个被植入的分支。攻击者用被盗令牌推送窃密工作流，已在私有仓库和企业环境观察到成功执行。应吊销令牌并轮换暴露的密钥。 怎么擦：吊销失陷令牌，轮换可访问的密钥，调查运行器主机，并限制环境密钥及 OIDC 访问Sun, 25 Oct 2026 00:00:00 GMTGitHub Actions凭据供应链https://ohshit.app/zh/incidents/electrum-fee-bump/https://ohshit.app/zh/incidents/electrum-fee-bump/恶意 Electrum 服务器可用签名无效的交易替换待确认付款。用户随后加手续费时，钱包可能签出向攻击者付款的新交易。维护者报告一名用户已损失资金；请升级至 4.8.3。 怎么擦：从 electrum.org 安装 Electrum 4.8.3，验证下载签名，并在每次签名前核对完整收款地址和金额Sat, 24 Oct 2026 00:00:00 GMTElectrumBitcoinexploitedhttps://ohshit.app/zh/incidents/php-session-upload-progress/https://ohshit.app/zh/incidents/php-session-upload-progress/CVE-2026-115560 是额外的 PHP RCE 风险：上传进度开启，且应用在 session_start() 前将配置中的 php_binary 或 php_serialize 切换为 php。应关闭上传进度，等待下次常规修复。 怎么擦：设置 session.upload_progress.enabled=0，并保留 10月21日的 PHP2Shell 补丁。完整修复待发布Fri, 23 Oct 2026 00:00:00 GMTPHPRCE尚未修复https://ohshit.app/zh/incidents/blackx-secure-boot/https://ohshit.app/zh/incidents/blackx-secure-boot/Kaspersky 报告中亚外交机构出现 BlackX 感染。攻击者已掌握管理员权限，并利用已知安全启动绕过；安装 Windows 更新并未自动完成所需吊销。对 APT41 的归因为中等置信度。 怎么擦：安装最新 Windows 更新，核实安全启动吊销和恢复介质，并调查启动层持久化Thu, 22 Oct 2026 00:00:00 GMTWindowsUEFIBlackXexploitedhttps://ohshit.app/zh/incidents/capcom-id-breach/https://ohshit.app/zh/incidents/capcom-id-breach/Capcom 确认泄露 11,774,247 条邮箱及账号元数据记录。其中 43 条含额外个人资料，196 个账号的密码被擅改。后续确认这 196 个账号中有 19 个涉及日本 e-Capcom 商店资料外泄。 怎么擦：警惕钓鱼，检查账号访问；发现异常变更时通过官方客服处理Thu, 22 Oct 2026 00:00:00 GMTCapcom数据泄露账号https://ohshit.app/zh/incidents/quest-quanum-patient-records/https://ohshit.app/zh/incidents/quest-quanum-patient-records/Quest 于 10月21日发现 Quanum LSM 遭未经授权访问，并于 10月22日披露。公司认为患者记录被访问，但受影响人数及具体数据字段尚未确定。Quest 已于 10月23日确认服务恢复，数据影响范围仍在调查。 怎么擦：使用已恢复的 Quanum LSM；凭据重置问题联系 Connectivity Help Desk，并关注官方受影响患者通知Thu, 22 Oct 2026 00:00:00 GMTQuest Diagnosticshealthcaredata breachhttps://ohshit.app/zh/incidents/velocloud-orchestrator-sql-injection/https://ohshit.app/zh/incidents/velocloud-orchestrator-sql-injection/CVE-2026-114625 可让已登录的 VeloCloud Orchestrator 用户获得运营管理员权限。Arista 确认已发生攻击；托管实例已修复，本地部署需要升级。 怎么擦：升级到 VCO 5.2.3.18、6.1.3.10 或 6.4.2.12；限制 Web 访问并排查入侵Thu, 22 Oct 2026 00:00:00 GMTAristaVeloCloudSD-WAN在野利用https://ohshit.app/zh/incidents/hpe-aruba-aos-october/https://ohshit.app/zh/incidents/hpe-aruba-aos-october/HPE 公告 HPESBNW05162 修复 AOS-8 和 AOS-10 的 72 个 CVE，其中八个评分为 CVSS 10.0，攻击路径包括未经认证的管理接口和 PAPI。HPE 在披露时尚不知有公开利用代码。 怎么擦：按分支安装 AOS 10.8.1.2 / 10.7.2.7 / 10.4.1.14 / 8.13.3.1 / 8.10.0.24，并隔离管理接口Thu, 22 Oct 2026 00:00:00 GMTHPEArubaOSRCEhttps://ohshit.app/zh/incidents/php2shell/https://ohshit.app/zh/incidents/php2shell/CVE-2026-109618 和 CVE-2026-109619（CVSS 均为 9.2）能在 PHP 本身里实现远程代码执行。概念验证视频在发版前一晚泄露，补丁和漏洞利用几乎同时到来。 怎么擦：升级到 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35。关闭 session.upload_progress 只能挡住其中一个漏洞Wed, 21 Oct 2026 00:00:00 GMTPHPRCE提前泄露https://ohshit.app/zh/incidents/gitlab-regex-rce/https://ohshit.app/zh/incidents/gitlab-regex-rce/CISA 现已确认 10 月 12 日 GitLab 正则 RCE（CVE-2026-97229）遭利用。独立的 CVSS 10.0 漏洞 CVE-2026-110264 仍需安装 10 月 21 日面向 GitLab 7.0 及之后版本的修复；只打 10 月 12 日补丁不够。较早的漏洞已有公开 PoC。请升级 GitLab 及受影响 Ruby 应用，并排查暴露的服务器。 怎么擦：升级到 19.5.1 / 19.4.3 / 19.3.6 / 19.2.9 / 19.1.9 / 19.0.10 / 18.11.13。Ruby 应用：4.0.9 / 3.4.12 / 3.3.13Wed, 21 Oct 2026 00:00:00 GMTGitLabRCE自管版https://ohshit.app/zh/incidents/k0t-edge-credential-campaign/https://ohshit.app/zh/incidents/k0t-edge-credential-campaign/Group-IB 和 NyxLab 报告了一批不同的凭据数据及针对暴露的 FortiGate、FortiWeb 和 GlobalProtect 的入侵。逾 7 万条凭据不等于受害者人数；与勒索软件组织的隶属关系尚未证实。 怎么擦：修补受影响设备、限制访问、排查持久化，并轮换泄露的设备和目录凭据Wed, 21 Oct 2026 00:00:00 GMTFortinetGlobalProtectcredentialshttps://ohshit.app/zh/incidents/litellm-pypi-compromise/https://ohshit.app/zh/incidents/litellm-pypi-compromise/LiteLLM 确认，5 月泄露后未吊销的 Agent Platform 密钥导致 GitHub 所有者令牌于 10月10日被盗。攻击者随后用被盗的维护者令牌在 10月21日发布恶意的 1.107.0 wheel 和镜像。应以锁定的 1.106.2 重建，并轮换暴露的凭据。 怎么擦：用按哈希 / digest 锁定的 litellm 1.106.2 从零重建受影响主机，再轮换这台主机能读到的所有凭据Wed, 21 Oct 2026 00:00:00 GMT供应链PyPIDockerAI密钥https://ohshit.app/zh/incidents/nodejs-oct-2026/https://ohshit.app/zh/incidents/nodejs-oct-2026/四个高危、三个中危、三个低危。Brotli 解码器越界写入，dns.resolve 遇到 NUL 字节就把域名截断，还有几种 IP 写法能混过证书主机名校验。这次发版还会拒绝已失陷的 eMudhra 密钥。其他内置 Brotli 的产品也需分别修补。 怎么擦：升级到 22.23.4 / 24.22.1 / 26.12.1，重新构建容器，然后重启服务，让旧的 TLS 会话断掉；其他 Brotli 产品也需修补Wed, 21 Oct 2026 00:00:00 GMTNode.jsTLSRCEhttps://ohshit.app/zh/incidents/onamae-desktop-cloud/https://ohshit.app/zh/incidents/onamae-desktop-cloud/GMO 确认 Onamae Desktop Cloud 除被植入恶意程序外，还有客户数据被带出。GMO 于 11 月 6 日开始逐一联系客户，处理未授权交易损失。GMO 另有迁移计划。经纪商 IS6FX 称已更正核实的未授权交易。26,739 台服务器仍是潜在范围，不是感染数量。 怎么擦：按 GMO 指引备份后将客户 PC 断网关机，在干净设备上轮换云桌面密钥，并关注恢复通知Wed, 21 Oct 2026 00:00:00 GMTcloudmalwarecredentialshttps://ohshit.app/zh/incidents/railway-env-vars/https://ohshit.app/zh/incidents/railway-env-vars/Railway 初步报告称，最多 1.85% 的工作区（约 10 万个）中的部分变量可能受影响。预防性的服务商重置涉及更多用户。现有用户的服务已恢复，应轮换存储的密钥，并重建被吊销的部署凭据。 怎么擦：轮换并吊销存储的密钥，从 10月20日起审计日志，重建部署令牌，重新连接 GitHub 并部署Wed, 21 Oct 2026 00:00:00 GMTPaaS密钥凭据供应链https://ohshit.app/zh/incidents/fortinet-security-hardening/https://ohshit.app/zh/incidents/fortinet-security-hardening/Fortinet 宣布修复严重和高危漏洞，详细公告计划于 11月10日发布。优先处理面向互联网的设备。 怎么擦：备份配置；对应分支的更新可用后及时安装Wed, 21 Oct 2026 00:00:00 GMTFortinet边缘设备补丁https://ohshit.app/zh/incidents/linux-ksmbd-disclosure/https://ohshit.app/zh/incidents/linux-ksmbd-disclosure/ZDI 把 ZDI-CAN-33774（KSMBD 分发竞态）和 ZDI-CAN-33549（SMB Direct 整数下溢）连同技术细节发到了公开的 LKML，两者 CVSS 均为 9.0。修复目前只在开发分支里，尚未核实有已发布的内核版本包含修复。 怎么擦：限制 SMB 可达范围；关闭访客共享及不需要的 KSMBD/SMB Direct；发行版内核更新出来后及时安装Wed, 21 Oct 2026 00:00:00 GMTLinuxKSMBDSMB披露https://ohshit.app/zh/incidents/qpack-header-accordions/https://ohshit.app/zh/incidents/qpack-header-accordions/FoxIO 于 10月20日发布跨协议栈 QPACK 研究及复现代码。解码后头部缺少限制或检查过晚，会耗尽内存或卡死服务器。部分组件此前已修复；披露时 Bun、hyperium h3 和 aioquic/mitmproxy 仍存在未解决路径。 怎么擦：升级已修复的库；停用对外 Bun HTTP/3 和 mitmproxy HTTP/3，并限制 h3 解码头部大小Tue, 20 Oct 2026 00:00:00 GMTHTTP/3DoSQPACKhttps://ohshit.app/zh/incidents/signal-ringrtc-hangup/https://ohshit.app/zh/incidents/signal-ringrtc-hangup/恶意通话对端可以淹没 RingRTC 的事件队列，阻碍本地终止通话，导致音频、甚至视频继续传输。CVE-2026-113380 影响 2.72.0 之前的 RingRTC；请将 Signal 客户端更新至包含修复库的版本。 怎么擦：安装最新 Signal 更新；集成方应使用 RingRTC 2.72.0 或更新版本Tue, 20 Oct 2026 00:00:00 GMTSignal隐私通话https://ohshit.app/zh/incidents/ovhcloud-cli-release-compromise/https://ohshit.app/zh/incidents/ovhcloud-cli-release-compromise/被劫持的 GitHub 账号替换了 OVHcloud CLI 0.11.0–0.15.0 的二进制文件。调查者将替换窗口定位为 10月19日 12:47–14:21 UTC。源码构建和 Docker 镜像未被替换；运行投毒文件会暴露主机上可读取的密钥。 怎么擦：隔离受影响主机，在干净机器上轮换可读取的凭据，重新安装并验证 0.16.0Mon, 19 Oct 2026 00:00:00 GMTsupply chainGitHubcredentialshttps://ohshit.app/zh/incidents/tidb-cloud/https://ohshit.app/zh/incidents/tidb-cloud/9月9日至10月7日，入侵者用窃取的服务账号凭据拷走了账号元数据、账单信息、SQL 编辑器里的文本、加密后的 API 密钥值以及源代码。勒索团伙 FulcrumSec 声称拿到了 10.6 TB 数据，PingCAP 尚未证实。 怎么擦：轮换 TiDB Cloud API 密钥、数据库密码及提供给支持团队的密钥；清理 SQL 历史并排查日志Mon, 19 Oct 2026 00:00:00 GMT云数据库凭据勒索https://ohshit.app/zh/incidents/emudhra-ca/https://ohshit.app/zh/incidents/emudhra-ca/emSign ECC G3 下八张中间证书（六张 TLS、两张代码签名，带 Sectigo 交叉签名）的 P-384 私钥均小于 256，可用于伪造证书。须更新 Dart、Flutter、Firestore 及 CA 包。Chrome 153 及更高版本将取消对 G1 根下最早 SCT 晚于 11 月 16 日 23:59:59 UTC 的 TLS 证书的默认信任；更早 SCT 不受这项新规则影响。 怎么擦：更新系统、浏览器及应用 CA 证书包（certifi 2026.10.19、Go 1.27.3 / 1.26.10、Node 22.23.4+），立即更换受影响证书。Sat, 17 Oct 2026 00:00:00 GMTPKICATLShttps://ohshit.app/zh/incidents/connectwise-cloud-backup/https://ohshit.app/zh/incidents/connectwise-cloud-backup/ConnectWise/SkyKick 应用密钥被盗，攻击者据此访问 M365 租户。11 月 4 日确认 Backup Health 报告、导出任务及 Marketplace API 已恢复；计费、部分平台面板及通知仍未全恢复。须逐租户重新授权并验证新快照；租户排查仍然必要。 怎么擦：禁用受影响应用连接，保留 Entra 证据，检查应用凭据和权限；仅在厂商指引下重新授权Fri, 16 Oct 2026 00:00:00 GMTSaaSOAuthMicrosoft 365https://ohshit.app/zh/incidents/nginx-oct-2026/https://ohshit.app/zh/incidents/nginx-oct-2026/nginx.org 把五个漏洞都定为中危，但 F5 的 CVE 记录给其中三个内存破坏漏洞打了 CVSS 8.1。每个漏洞都要特定配置才会触发：alias 配合 rewrite、正则 map 的捕获变量、AIO 配合 SSI、HTTP/3，或者会轮换的 TLS 会话票据密钥。暂无利用报告。 怎么擦：升级到 nginx 1.30.6（稳定版）或 1.31.7 及以上（主线版），NGINX Plus 打 F5 的热修复，然后重载Wed, 14 Oct 2026 00:00:00 GMTnginxF5HTTP/3TLS内存破坏https://ohshit.app/zh/incidents/ivanti-connect-secure-chain/https://ohshit.app/zh/incidents/ivanti-connect-secure-chain/攻击者 UTA0576 把认证绕过、文件写入和提权串成一条链，接管了运行最新版本的 VPN 设备，随后去捞 AD 凭据、LAPS 密码和 BitLocker 密钥。CISA 当天就把它加入了 KEV。 怎么擦：升级至 22.8R2.6 / 25.1.1.3 或适用的 25.1.3 平台，调查失陷并轮换暴露凭据Tue, 13 Oct 2026 00:00:00 GMT零日漏洞VPN边缘设备https://ohshit.app/zh/incidents/ghostaction-returns/https://ohshit.app/zh/incidents/ghostaction-returns/被盗的 GitHub 账号推送了伪装成安全任务的工作流，用来窃取 Actions 密钥。新变种会扫描完整的 git 历史，三年前删掉的密钥照样算数。GitHub 从 10月9日开始拦截这个工作流。 怎么擦：在 .github/workflows 里搜 security-audit.yml 这类文件，轮换所有 CI 密钥和历史上提交过的每一个密钥，吊销旧的 PATFri, 09 Oct 2026 00:00:00 GMT供应链GitHub Actions密钥https://ohshit.app/zh/incidents/oracle-health-20m/https://ohshit.app/zh/incidents/oracle-health-20m/2025 年初，攻击者用盗来的登录凭据进了两台老旧的 Cerner 服务器。真实规模直到得克萨斯州总检察长收到的一份申报才浮出水面：1990 万人，泄露内容包括社保号、诊断、用药和医学影像。Oracle 至今没有公布总数。 怎么擦：冻结信用，当心冒充“Oracle Health”的通知；医疗机构：强制 MFA，下线老旧服务器Mon, 05 Oct 2026 00:00:00 GMT医疗数据泄露