安世加 · 出海安全日报
2026年10月30日 星期五
今日看点：航旅核心供应商 Amadeus 旅客服务系统遭未授权访问，日航与国泰同日披露受影响预订；CISA 本周连续将 GitLab、Cisco 防火墙、Adobe Commerce/Magento 与 PHP「php2shell」等漏洞纳入已知被利用漏洞目录（KEV）。
今日头条
亚太 · 供应链与第三方
Amadeus 旅客服务系统遭未授权访问：日航约 9.2 万名旅客、国泰约 5.3 万笔预订受影响
日本航空（JAL）及日本越洋航空于 2026年10月30日发布公告：其旅客服务系统（PSS）供应商 Amadeus IT Group 于 10月23日通报，系统存在未授权外部访问痕迹；可识别访问痕迹时段为 2023年8月10日至 2026年9月23日。约 9 万名旅客的订座编码（PNR）、姓名、航班日期、航段与舱位等被访问；另约 2 千名旅客还涉及邮箱、电话、护照号、国籍、常旅客号、票号与座位号等。日航称信用卡号与密码未遭泄露，目前无客户信息被滥用的证据，航班运行不受影响。
国泰航空同日更新公告：Amadeus 于 10月28日通报、10月29日补充细节，称有未授权方使用分配给其系统账户的登录凭据访问旅行预订数据；按 Amadeus 提供数据，约 5.3 万笔与国泰相关的预订受影响，多数为订座参考号、旅客姓名与航班信息，少数可能涉及邮箱、电话、旅行证件与／或常旅客号等。国泰称无证据显示财务或支付信息被访问，事件未影响国泰自身系统与运行，并已向相关监管机构报告。
来源：日本航空官网｜2026-10-30
https://www.jal.co.jp/en-jp/news/general/2026/other/261028.html
来源：国泰航空官网｜Latest update 2026-10-30 16:11 HKT
https://www.cathaypacific.com/cx/en_MM/latest-news/security-and-operational-changes/personal-data-security.html
安世加观察
这意味着：对依赖境外 SaaS／行业核心系统的出海团队，供应商账户凭据与长期潜伏的「静默访问窗口」本身就是高危控制项。合同里的安全附则、供应商 SOC 2／ISO 证据、异常登录与数据访问审计，应与自有等保／ISO／SOC 2 控制证据同一套映射台账管理——这也是 1+N 控制项映射引擎要解决的「N＝供应商侧」缺口。
全球监管与漏洞快讯
01美国 · KEV
CISA 将 GitLab 与 Cisco Secure Firewall 漏洞加入已知被利用目录
2026年10月29日，CISA 宣布基于活跃利用证据，将 CVE-2026-97229（GitLab Community Edition / Enterprise Edition 整数溢出或回绕）与 CVE-2026-76418（Cisco Secure Firewall ASA Software 与 Cisco Secure FTD Software 未检查返回值导致空指针解引用）加入 KEV Catalog。通告重申联邦机构须按 BOD 26-04 对公开暴露且利用后可完全控制资产的高风险 KEV 项优先处置，并鼓励所有组织采用基于风险的漏洞管理。
这意味着：自建 GitLab 或边界防火墙对公网暴露的团队，应立刻对照厂商补丁与暴露面清单，并在补丁前后做「是否已被利用」核查，而不是只点「已更新」。
来源：CISA｜发布日期：2026-10-29
https://www.cisa.gov/news-events/alerts/2026/10/29/cisa-adds-two-known-exploited-vulnerabilities-catalog
02美国 · 紧急补丁
PHP「php2shell」已入 KEV，CISA 敦促立即升级
CISA 就 PHP 关键远程代码执行漏洞 CVE-2026-109618、CVE-2026-109619（业界称 php2shell）持续更新告警：影响对外提供 Web 请求的 PHP 安装（含 Apache mod_php、PHP-FPM、php-cgi、FrankenPHP、LiteSpeed 等），要求立即升级至 PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35。CISA 于 2026年10月26日 将上述 CVE 加入 KEV；无法立刻升级或仍使用已停止支持的 PHP 8.1 及更早版本的，应先将相关系统下线直至完成修补。
这意味着：海外独立站、营销站、WordPress／自研 PHP 后台，以及被打包进商业软件但不易盘点的 PHP 组件，都应纳入本周资产盘点与补丁门禁；WAF 只能当临时缓冲，不能替代升级。
来源：CISA｜初发 2026-10-21，KEV 更新 2026-10-26
https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching
03美国 · 电商栈
Adobe Commerce / Magento 危险文件上传漏洞入 KEV
2026年10月27日，CISA 将 CVE-2026-48356（Adobe Commerce and Magento Unrestricted Upload of File with Dangerous Type）与 CVE-2026-111497（Google Brotli Unchecked Return Value）加入 KEV。
这意味着：走 Magento／Adobe Commerce 的跨境独立站与代运营团队，应在本周完成版本与补丁核对，并把「上传点／管理端暴露」写入变更与发布检查单，避免把店铺后台当成「内网放心区」。
来源：CISA｜发布日期：2026-10-27
https://www.cisa.gov/news-events/alerts/2026/10/27/cisa-adds-two-known-exploited-vulnerabilities-catalog
04日本 · 个人数据
索尼网络通信确认 So-net 会员库遭未授权访问
索尼网络通信株式会社于 2026年10月27日发布（10月29日更新）公告：2026年10月19日 So-net 会员数据库遭外部未授权访问，10月23日确认后停止相关服务器并阻断来源。已确认泄露包括 So-net 会员信息约 214.2 万件、plala（S 课程）会员信息约 44.3 万件（合计约 258 万件量级），以及部分邮件服务的邮箱密码等；公告称会员账户密码与信用卡信息未在所列泄露项中确认，并已向日本个人情报保护委员会报告。
这意味着：即便不是航空或金融主业，接入方 ISP／会员平台／邮件托管一旦失守，姓名、电话、邮箱与凭证类数据同样可被用于钓鱼与撞库。出海企业对外包通信与账号托管商，应要求事件通知时限、密码轮换与日志留存条款可执行。
来源：So-net 官方お知らせ｜2026-10-27（2026-10-29 更新）
https://www.so-net.ne.jp/info/2026/20261027_0001.html
安世加为出海企业提供SOC 2、ISO 体系、PCI DSS认证咨询服务。如果你正在推进海外市场，或已经在销售过程中遇到认证相关问题，欢迎交流具体情况，我们可以基于你的业务模型，提供更有针对性的路径建议。
关于我们
https://www.anshijia.net.cn
联系我们
手机：19121509707
邮箱：esther.zhao@anshijia.net.cn