全球一周IT安全动态
安全动态周报 W44
2026年10月23日~10月29日
这一周，攻击者不太急着“锁文件、要赎金”了——他们先让医院改道救护车、先让一家云桌面厂商叫几万用户“先备份、再断电关机”。停摆本身成了武器：当系统不能停的那一刻，备份是否干净、是否在攻击者够不着的地方，才是唯一能把业务抢回来的东西。
本周头条
头条一｜救护车改道的那两个小时——新墨西哥州唯一一级创伤中心被迫“让路”
10月26日，UNM Health 发现网络安全事件，随即限制新病人入院、把救护车分流到附近医院、取消门诊手术和预约。UNM 医院是新墨西哥州唯一的一级创伤中心，12:30至14:30的两个小时里，重伤员只能去别处；30多家诊所预约取消、四所健康科学学院停课。10月27日院方宣布关键系统恢复、救护车恢复正常，并评估称受影响的是部分终端设备、核心系统和服务器未被穿透。
同一天，自称 Byod 的勒索团伙声称拿下3.6万台系统并掌握社保号、病人信息等——院方未证实这些说法。两边说法的差距本身就是教训：对外口径可以等调查，但对内必须按最坏情况做分流预案。
来源：HIPAA Journal：University of New Mexico Health System Diverts Ambulances Due to Ransomware Attack
头条二｜攻击者下了最后通牒，厂商先说的一句话是“先备份”
GMO 旗下 Onamae Desktop Cloud 10月20日被发现入侵，可能波及多达26,739台客户服务器，10月21日服务暂停。10月26日23:10，攻击者威胁10月27日中午12点公开客户信息并启动勒索攻击，索价约80亿日元。10月27日上午，GMO 给用户的指令是四步：先备份数据、断开网络、关机、拔掉网线。当天12:30前后公司与客户数据已在网上出现（真实性仍在核查），13:55更新称尚未确认客户电脑遭到勒索加密；MT4/MT5 交易账户凭证可能已暴露，GMO 表示不会支付赎金。
来源：BleepingComputer：Japan's GMO urges customers to shut down PCs amid ransomware threat
本周其他现场
Synology NAS 遭 C3RB3R 勒索：仓库与备份一起被锁
多名用户报告文件被加密，归因于 C3RB3R（Cerber 家族变种），照片、文档、代码仓库和备份文件统一加上 .L0CK3D 后缀。本轮主要利用 Synology 已于9月18日修复的 DSM 漏洞 CVE-2026-13639 与 CVE-2026-13684；目前无公开解密器，带防篡改保护的快照回滚成功率最高。
来源：NoRansom：Synology NAS Hit by Lock3d Ransomware: Recovery Options
ENGIE：你没被攻破，但合作伙伴工具被攻破了
10月27日，ENGIE 确认攻击者经由业务合作伙伴的营销平台窃取法国客户数据，包括姓名、地址、电话、客户编号、合同号及供电点/计量点标识；人数未披露，内部系统未被攻破、银行数据未受影响，尚无团伙认领。
来源：SC Media：Engie confirms customer data breach via marketing platform
哥本哈根大学：测试环境里躺着52.5万人的真实身份证号
10月20日发现入侵、10月23日公开：测试环境里是约52.5万人的真实数据——姓名、丹麦国民身份证号、电话、私人邮箱；10月25日又补约2万人的门禁卡 PIN 码被窃，校方先换码再公布；10月26日又因另一次攻击预防性关闭部分行政系统，两次攻击关联尚未证实。
来源：BleepingComputer：University of Copenhagen data breach exposes data of 525,000 people
Warp：AI agent 的“工作记录”也成了被盗数据类型
10月27日披露：10月23日发现基础设施内一家第三方供应商遭利用，AI agent 决策日志与用户遥测数据可能被暴露，约1%用户可能受影响（平台用户超80万）；是否包含源代码、提示词、凭证未澄清，“agent swarm”说法为初步研判。
来源：BleepingComputer：Warp discloses breach exposing AI agent logs, user telemetry data
进展更新
PHP2Shell：从“在野尝试”升级为 CISA 确认在野利用
W43 自查项的实质性进展：10月26日 CISA 将 CVE-2026-109618 与 CVE-2026-109619 列入 KEV，要求联邦民事机构10月29日前处置；10月24日蜜罐已记录成功 shell 执行。修复仍为10月21日发布的 PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35，升级后须重启全部 worker。同批 KEV 还有 Collabora CVE-2026-110447 与 Arista CVE-2026-114625。
来源：The Register：CISA confirms PHP2Shell under attack as researchers clock successful exploits
趋势信号
1）第三方通道成主入口：ENGIE 的合作伙伴营销平台、Warp 的供应商、GMO 的云桌面——核心系统未必先倒下，供应商先成了跳板。
2）非生产环境与小企业存储同样高价值：哥本哈根的测试环境、NAS 里的备份文件，专挑“防护弱、数据真”的地方。
3）勒索转向“制造停摆＋公开数据”双重施压：救护车改道、“中午12点公开并加密”最后通牒——恢复目标要按业务停摆成本定，而非 IT 恢复速度。
本周自查清单
1. 医院、学校、公共服务：分流与停机预案是否按临床/教学流程排过优先级？
2. 云桌面/SaaS 用户：服务商出事时，手里是否有一份不依赖该服务商的离线副本？
3. NAS 用户：DSM 是否已修复 CVE-2026-13639 / CVE-2026-13684？是否仍直接暴露公网？快照是否开了防篡改保护？
4. 第三方营销/客服平台：合作伙伴工具里还存着多少客户数据？权限是否已回收到最小？
5. 测试与 staging 环境：是否还躺着真实身份证号与客户数据？能脱敏的脱敏，不能的按生产同等设防。
6. PHP 与暴露面：是否已升至 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 并重启全部 worker？打补丁前先留可回滚备份。
本期头条（UNM Health、GMO Onamae Desktop Cloud）均为往期未做过头条的新事件；PHP2Shell 以“进展更新”视角重写。事件按已确认 / 部分确认 / 未确认（仅攻击者声称）标注；攻击者或第三方声称的数字均已注明口径，不构成独立证据。阅读原文请访问安全动态周报网页。