CyberSec.Space Logo
返回文章列表
威脅情資••Cyber-Sec.Space Research Lab

全球網絡威脅情報摘要：2026 年 7 月 23 日

本期情報重點包含 CISA 將 Langflow CVE-2026-0770 遠端程式碼執行漏洞列入 KEV 已知利用目錄、Windmill CVE-2026-29059 未經身分驗證路徑穿越漏洞分析，以及 SonicWall SMA1000 零日漏洞利用持續追蹤與防禦建議。

⚡ 全球網絡威脅情報摘要：2026 年 7 月 23 日

涵蓋時段： 2026 年 7 月 22 日 08:00 — 2026 年 7 月 23 日 08:00（UTC+8）

本期涵蓋於報告時段內首次發布或有重大更新的網絡安全發展。

內容以官方公告及原始研究為優先。若利用情況是根據第三方遙測判定，本文會明確標示資料來源。勒索軟件或勒索組織提出的聲稱，亦會與受影響機構已確認的事實清楚區分。

📝 執行摘要 — 10 秒掌握重點

  • 🔴 CISA 已將 Langflow CVE-2026-0770 加入「已知遭利用漏洞」（KEV）目錄。 此漏洞暴露一條不安全的 Python exec() 執行路徑，可讓未經身分驗證的攻擊者進行遠端程式碼執行。Langflow 1.7.3 及以前版本均受影響，而截至發布時尚未列出已修補版本。

  • 🔴 根據 The Hacker News 引述的 VulnCheck 遙測，Windmill CVE-2026-29059 正遭主動利用。 一個公開的日誌擷取端點接受未經充分清理的檔案名稱，使未經身分驗證的攻擊者可進行路徑穿越及任意檔案讀取。若部署環境暴露特權秘密，攻擊者可進一步串連至遠端程式碼執行。

  • 🔴 根據第三方遙測，SharePoint CVE-2026-50522 正被用於攻擊本地部署伺服器。 攻擊者正在擷取 SharePoint 與 IIS 機器金鑰，意味著單純修補易受攻擊的程式碼，未必能消除因加密材料遭竊而產生的持續存取風險。截至報告時段結束，此漏洞尚未被加入 CISA 的 KEV 目錄。

  • 🟠 營運中斷與第三方集中風險仍然突出。 Anubis 聲稱已從可口可樂旗下 Fairlife 竊取約 1 TB 資料；Stadler Rail 則表示，攻擊者使用遭入侵的供應商平台憑證存取技術資料。

🔍 重大事件：技術分析

1. CVE-2026-0770：Langflow 驗證函式可導致遠端 Python 程式碼執行

狀態： 報告時段內被加入 CISA KEV
ZDI CVSS v3.1： 9.8 — 嚴重
GitHub CVSS v4.0： 8.9 — 高
分析師營運優先級： 🔴 嚴重
直接影響： 未經身分驗證的遠端程式碼執行
利用狀態： 已由 CISA KEV 確認
受影響版本： Langflow 1.7.3 及以前版本
修補狀態： 截至發布時尚未列出已修補版本

事件概述

在發現 Langflow 遭到主動利用的證據後，CISA 將 CVE-2026-0770 加入「已知遭利用漏洞」目錄。Langflow 是一套用於建立 AI 應用程式、智能代理及 LLM 驅動工作流程的開源框架。

根據 BleepingComputer 引述的 KEVIntel 遙測，在漏洞被加入 KEV 前，已記錄超過 220 次利用嘗試，來源涉及 64 個 IP 位址。

已報告的活動包括：

  • 系統偵察
  • 下載第二階段承載內容
  • 嘗試存取環境變數
  • 嘗試擷取 AWS 憑證
  • 存取容器或雲端執行個體中繼資料

風險並不只限於 Langflow 應用程式本身。

Langflow 部署通常會連接至：

  • LLM 供應商
  • 雲端帳戶
  • 向量資料庫
  • 內部 API
  • 企業資料儲存庫
  • Webhook
  • 自動化系統
  • 可修改下游平台的代理工具

因此，成功入侵可能暴露多個已連接系統中的憑證與權限。

技術深入分析

此漏洞存在於 Langflow 的程式碼驗證邏輯中。

易受攻擊的 validate_code() 函式會剖析由使用者提供的 Python 原始碼並擷取函式定義，之後使用 Python 內建的 exec() 函式編譯並執行這些定義：

code_obj = compile(function_definition, "<string>", "exec")
exec(code_obj, exec_globals)

問題不只是 Langflow 會剖析 Python 程式碼。

它會在一個暴露 Python 內建功能及模組載入能力的全域命名空間中，執行由攻擊者控制的定義。

該執行內容可能提供以下能力：

  • importlib
  • Python 內建功能
  • 作業系統模組
  • 程序執行函式
  • 網絡存取
  • 檔案系統存取

驗證程序看似只處理函式定義，而不會明確呼叫這些函式。

然而，Python 會在函式定義期間求值多種運算式，包括預設引數運算式。

因此，攻擊者可在函式定義中放入具有副作用的運算式。

當 exec() 建立函式時，該運算式會立即被求值，使作業系統命令在函式實際被呼叫前便可執行。

從高層次來看：

攻擊者控制的 Python
          ↓
AST 剖析接受函式定義
          ↓
函式定義被編譯
          ↓
exec() 對定義進行求值
          ↓
定義時運算式執行系統操作
          ↓
程式碼在 Langflow 程序內容中執行

ZDI 表示，利用此漏洞毋須身分驗證，而在受影響的安裝環境中，成功利用可能以 root 權限執行程式碼。

為何此事重要

Langflow 通常充當 AI 自動化控制平面，而不是一個孤立的應用程式。

遭入侵的執行個體可能暴露：

  • LLM 供應商 API 金鑰
  • 雲端存取憑證
  • 資料庫連線字串
  • 向量資料庫權杖
  • 用於檢索增強生成的內部文件
  • Webhook 秘密
  • 具備寫入權限的代理工具
  • 儲存在環境變數中的憑證
  • 容器服務帳戶權杖
  • 雲端執行個體中繼資料

實際攻擊路徑可能演變為：

Langflow RCE
     ↓
發現憑證與秘密
     ↓
存取雲端、資料庫或 SaaS
     ↓
資料竊取或工作流程操控
     ↓
在已連接平台中建立持久化

緩解措施與威脅獵捕

截至發布時，GitHub 經審核的公告將 Langflow 1.7.3 及以前版本列為受影響，且未指出任何已修補版本。

因此，機構應：

  1. 識別所有 Langflow 部署，包括：

    • 公有雲執行個體
    • Kubernetes 工作負載
    • 開發環境
    • 內部 AI 實驗室
    • 概念驗證系統
    • 影子 IT 部署

  2. 將 Langflow 管理及驗證介面移出直接互聯網暴露範圍。

  3. 將存取限制於受信任的管理網絡、VPN 或身分感知代理。

  4. 在營運可行的情況下，封鎖或停用易受攻擊的程式碼驗證功能。

  5. 若無法隔離易受攻擊的函式，考慮暫停受影響部署。

  6. 搜尋歷史流量中的以下跡象：

    • /api/v1/validate/code
    • 公開的流程建構端點
    • 包含 Python 函式定義的請求
    • 具有副作用的預設引數運算式
    • 重複驗證錯誤後隨即出現的對外連線

  7. 搜尋以下活動：

    • 新增的 Shell 或 Python 子程序
    • 非預期的套件安裝
    • 下載工具
    • 第二階段指令碼
    • 存取雲端執行個體中繼資料
    • 讀取環境變數
    • 存取憑證檔案
    • 加密貨幣挖礦程式
    • 反向 Shell
    • 新增排程工作或持久化機制

  8. 檢查下游系統是否使用了可從 Langflow 執行環境取得的憑證。

  9. 若無法有把握排除成功的程式碼執行，輪替所有可從 Langflow 環境取得的秘密。

  10. 持續監察 Langflow 及 GitHub 公告渠道，以取得受支援的修正版資訊。

參考資料

CISA — Known Exploited Vulnerabilities Catalogue

GitHub Advisory Database — GHSA-g22f-v6f7-2hrh

Zero Day Initiative — ZDI-26-036

BleepingComputer — CISA Orders Agencies to Address Actively Exploited Langflow RCE

2. CVE-2026-29059：Windmill 路徑穿越導致伺服器秘密暴露

狀態： 報告時段內出現重大的主動利用報告
供應商／CNA 嚴重程度： 🟡 中 — CVSS v4.0 6.9
分析師營運優先級： 🟠 因已報告利用而評為高
直接影響： 未經身分驗證的任意檔案讀取
有條件的串連影響： 🔴 若可擷取特權秘密並用於程式碼執行，則屬嚴重
利用狀態： VulnCheck 報告存在主動利用，並由 The Hacker News 引述
修正版本： Windmill 1.603.3

事件概述

攻擊者正利用 CVE-2026-29059 攻擊暴露於互聯網的 Windmill 執行個體。

Windmill 是一套開源開發者平台，可將指令碼轉化為 API、背景工作、工作流程及內部應用程式。

The Hacker News 引述 VulnCheck 遙測指出，主動利用於 7 月 18 日開始，並在 24 個國家發現約 170 個可能受影響的系統。

此漏洞的直接能力是未經身分驗證的任意檔案讀取原語。

其實際影響取決於：

  • 部署架構
  • 哪些檔案可被存取
  • 哪些秘密儲存在本機
  • 是否啟用了 Windmill 特權功能
  • 執行個體是否嵌入另一平台

技術深入分析

Windmill 暴露一個用於擷取工作日誌檔案的 API 端點：

GET /api/w/{workspace}/jobs_u/get_log_file/{filename}

jobs_u 路由可公開存取，且毋須 Bearer Token。

在易受攻擊的版本中，應用程式使用由攻擊者控制的 filename 建構日誌檔案路徑，但未充分將其限制在預期目錄內。

從概念上看，易受攻擊的邏輯如下：

path = log_directory + "/" + user_supplied_filename
return read_file(path)

由於路徑穿越序列未被移除或限制，攻擊者可請求日誌目錄以外的檔案：

../../../../target-file

應用程式會解析最終路徑並傳回目標檔案。

從任意檔案讀取到遠端程式碼執行

對於未設定 SUPERADMIN_SECRET 的獨立 Windmill 部署，供應商公告指出直接影響為任意檔案讀取。

若檔案讀取原語暴露特權憑證或管理秘密，風險將大幅上升。

潛在目標包括：

  • 環境檔案
  • Windmill 設定
  • 資料庫憑證
  • 容器服務帳戶權杖
  • 雲端憑證
  • SSH 私密金鑰
  • 工作流程秘密
  • Webhook 權杖
  • SUPERADMIN_SECRET
  • Docker Socket 設定

若已設定 SUPERADMIN_SECRET，攻擊者可擷取該秘密，並利用具特權的 Windmill API 建立或執行由攻擊者控制的工作。

供應商指出，此秘密在標準獨立安裝中極少使用，且預設不會啟用。

Nextcloud Flow 部署可能面臨範圍更廣的利用鏈，因為該整合過往會嵌入 Windmill，並將管理憑證儲存在可存取的應用程式資料中。

原始研究人員示範，檔案讀取原語可透過憑證竊取串連至程式碼執行，並在特定部署條件下進一步導致更廣泛的 Nextcloud 入侵。

官方 CVSS 分數與研究人員的嚴重評估之所以不同，是因為兩者採用不同假設：

  • 官方分數： 衡量直接的任意檔案讀取漏洞。
  • 研究人員評估： 衡量從檔案讀取、憑證竊取到遠端程式碼執行的完整且依部署而定的利用鏈。

緩解措施與威脅獵捕

  1. 將自行託管的 Windmill 升級至 1.603.3 或更高版本。

  2. 將 Nextcloud Flow 升級至 1.3.0 或更高版本，或遷移至較新的解耦整合模式。

  3. 將 Windmill API 端點移出直接互聯網暴露範圍。

  4. 透過以下方式限制存取：

    • VPN
    • 身分感知代理
    • 管理網絡
    • 明確的 IP 允許清單
    • 需驗證的反向代理

  5. 搜尋日誌中對以下端點的請求：

/api/w/*/jobs_u/get_log_file/

並檢查是否包含：

  • ../
  • URL 編碼的路徑穿越序列
  • 雙重編碼的路徑穿越
  • 絕對路徑
  • 對環境檔案的請求
  • 對資料庫檔案的請求
  • 對作業系統設定的請求
  • 對 SSH 金鑰或雲端憑證的請求

  1. 對所有易受攻擊且可從互聯網存取的部署，假設秘密可能已遭竊取。

  2. 輪替：

    • SUPERADMIN_SECRET
    • 資料庫密碼
    • 雲端憑證
    • API 權杖
    • Webhook 秘密
    • SSH 金鑰
    • Kubernetes 服務帳戶權杖
    • Nextcloud 整合憑證

  3. 檢查 Windmill 中的以下項目：

    • 新建立的指令碼
    • 新增或已修改的工作流程
    • 非預期的管理操作
    • 可疑檔案請求後啟動的命令
    • 新增的排程工作
    • 工作程序發起的對外連線
    • 驗證或權限設定變更

  4. 檢查下游雲端、CI/CD、資料庫及 SaaS 日誌，尋找使用過往可由 Windmill 存取之憑證的活動。

  5. 若無法排除特權秘密遭竊，應將事件視為可能的平台入侵，而不只是檔案披露事件。

參考資料

Windmill Security Advisory — GHSA-24fr-44f8-fqwg

NVD — CVE-2026-29059

Original Research — Windfall: Nextcloud Flow and Windmill RCE Chain

The Hacker News — Hackers Exploit Windmill Flaw to Read Server Files

3. CVE-2026-50522：SharePoint RCE 被用於擷取 IIS 機器金鑰

狀態： 報告時段內出現重大的主動利用報告
Microsoft CVSS v3.1： 9.8 — 嚴重
ZDI 公告： CVSS 8.1 — 高攻擊複雜度
分析師營運優先級： 🔴 嚴重
直接影響： 遠端程式碼執行
已觀察到的後利用活動： 竊取 SharePoint 與 IIS 機器金鑰
殘餘風險： 偽造應用程式工件、身分冒充及修補後持續存取
利用狀態： watchTowr 與 Defused 報告存在主動利用；截至報告時段結束尚未列入 CISA KEV
受影響環境： 本地部署 SharePoint Server

事件概述

CVE-2026-50522 影響仍受支援的本地部署 Microsoft SharePoint Server 版本。

在可運作的概念驗證程式碼公開後不久，攻擊者便開始利用此漏洞。

研究人員觀察到成功的請求，目的是擷取 SharePoint 與 IIS 機器金鑰。這些金鑰可能讓攻擊者生成伺服器會視為加密有效的應用程式資料。

這造成一項重要的事件應變差異：

  • 漏洞提供最初的程式碼執行路徑。
  • 遭竊的機器金鑰會產生獨立的殘餘信任風險。
  • 安裝修補程式不會自動使攻擊者已取得的加密材料失效。

截至報告時段結束，主動利用已有第三方遙測支持，但 CVE-2026-50522 尚未被加入 CISA 的「已知遭利用漏洞」目錄。

身分驗證與評分差異

Microsoft 目前的 CVE 說明及 CVSS 向量將此漏洞歸類為毋須權限：

AV:N / AC:L / PR:N / UI:N

然而，多家媒體引用的一段較早 Microsoft 公告文字曾描述，攻擊者至少需要以網站擁有者（Site Owner）身分完成驗證。

Defused 表示，已捕捉的利用請求中並未包含身分驗證資料。

官方 CVE 說明目前已改為「未經授權的攻擊者」，但防禦人員在檢視較早期報告及偵測假設時，仍應留意這項歷史不一致。

Microsoft 的 CVSS 評估與 Zero Day Initiative 發布的技術分析亦存在差異：

  • Microsoft CNA： CVSS v3.1 9.8，低攻擊複雜度
  • ZDI 公告： CVSS 8.1，高攻擊複雜度

ZDI 發布了兩份映射至 CVE-2026-50522 的公告：

  1. 涉及 SessionSecurityTokenHandler 的不安全反序列化問題
  2. 對工作階段權杖加密簽章驗證不足

公開利用鏈似乎將偽造權杖處理與不安全反序列化原語結合使用。

技術深入分析

公開概念驗證針對 SharePoint 的 WS-Federation 登入處理端點：

/_trust/default.aspx

從高層次來看，利用鏈運作如下：

  1. 攻擊者構造偽造的 WS-Federation 登入回應。
  2. 將惡意 .NET BinaryFormatter 物件圖嵌入偽造的 SecurityContextToken。
  3. 將權杖傳送至 SharePoint 的信任端點。
  4. 權杖到達易受攻擊的工作階段或權杖處理元件。
  5. SharePoint 反序列化由攻擊者控制的物件資料。
  6. 物件圖中的方法或回呼在重建過程中執行。
  7. 最終的小工具鏈在 SharePoint 伺服器內容中執行攻擊者控制的程式碼。

反序列化會將儲存或傳輸的資料轉換回應用程式物件。

安全的反序列化器應限制：

  • 可建立哪些物件類型
  • 可提供哪些屬性
  • 可執行哪些回呼
  • 信任哪些資料來源
  • 權杖簽章及身分驗證屬性是否有效

應用程式不只是讀取由攻擊者提供的值。

它會重建複雜的 .NET 物件，而特定物件圖可在重建期間觸發方法呼叫，將資料剖析轉化為程式碼執行。

為何機器金鑰竊取會改變應變方式

IIS 與 SharePoint 機器金鑰用於保護或驗證：

  • 應用程式狀態
  • 與身分驗證相關的工件
  • 已簽署資料
  • 加密權杖
  • 其他涉及信任的應用程式值

一旦金鑰遭竊，攻擊者可能能夠建立在應用程式看來具有有效加密簽章的工件。

這會產生兩個獨立的安全問題：

  1. 易受攻擊的程式碼路徑，可透過安裝安全更新修正。
  2. 遭入侵的信任材料，在輪替前仍可繼續使用。

因此：

已安裝修補程式 ≠ 已移除先前入侵

正確的應變次序是：

  1. 修補易受攻擊的 SharePoint 伺服器陣列。
  2. 搜尋利用及持久化跡象。
  3. 移除已確認的入侵工件。
  4. 使用受支援程序輪替機器金鑰及其他已暴露秘密。
  5. 撤銷受影響的工作階段與憑證。
  6. 監察偽造或先前簽發工件是否繼續被使用。

CISA 對近期 SharePoint 利用活動的較廣泛指引建議，在更換 IIS 機器金鑰前，先評估是否已遭入侵並移除入侵工件。

受影響產品

官方 CVE 記錄列出的受影響版本包括：

  • Microsoft SharePoint Enterprise Server 2016
  • Microsoft SharePoint Server 2019
  • Microsoft SharePoint Server Subscription Edition

SharePoint Online 不屬於 CVE 記錄所描述的受影響本地部署產品範圍。

緩解措施與威脅獵捕

  1. 立即安裝 Microsoft 2026 年 7 月 SharePoint 安全更新。

  2. 確認伺服器陣列中所有適用伺服器均已更新，包括：

    • 應用程式伺服器
    • Web 前端伺服器
    • 搜尋伺服器
    • 災難復原系統
    • 測試及預備環境

  3. 完成必要的 SharePoint 設定升級程序，包括適用的 PSConfig 或受支援的伺服器陣列升級流程。

  4. 驗證最終伺服器陣列組建版本，不要只依賴 Windows Update 歷程。

  5. 將未修補的 SharePoint 伺服器移出直接互聯網暴露範圍。

  6. 在受支援的情況下，確保每個 SharePoint Web 應用程式均已啟用 Antimalware Scan Interface 整合。

  7. 搜尋：

    • 對 /_trust/default.aspx 的請求
    • 可疑的 WS-Federation 回應
    • 非預期的權杖處理活動
    • 非預期的 w3wp.exe 子程序
    • IIS 工作程序啟動 PowerShell 或 cmd.exe
    • 新寫入的 .aspx 檔案
    • Web Shell
    • 未知組件
    • 新增排程工作或服務
    • SharePoint 伺服器的異常對外連線
    • 對包含機器金鑰之檔案或設定的存取

  8. 檢查涵蓋修補程式安裝前時段的歷史 SharePoint 與 IIS 遙測。

  9. 在輪替機器金鑰前，先移除已確認的入侵工件。

  10. 輪替：

  • IIS 與 SharePoint 機器金鑰
  • SharePoint 應用程式秘密
  • 服務帳戶憑證
  • 可從遭入侵應用程式集區存取的憑證
  • 使用已暴露加密材料簽發的權杖及工作階段
  1. 對任何曾經暴露且未修補的伺服器，在歷史調查提供合理保證前，都應視為可能已遭入侵。

參考資料

Microsoft Security Response Center — CVE-2026-50522

NVD — CVE-2026-50522

Zero Day Initiative — ZDI-26-412: Deserialisation of Untrusted Data

Zero Day Initiative — ZDI-26-413: Improper Verification of Cryptographic Signature

CERT-EU — Critical Vulnerability in Microsoft SharePoint

SecurityWeek — Fourth SharePoint Vulnerability Exploited in Recent Attack Wave

BleepingComputer — Critical SharePoint RCE Exploited to Steal Machine Keys

🛠️ 漏洞與修補監察

Oracle 2026 年 7 月 Critical Patch Update：1,449 項新安全修補

狀態： 報告時段內發布的新供應商更新

Oracle 2026 年 7 月 Critical Patch Update 包含 1,449 項新安全修補，涵蓋以下產品系列：

  • Oracle Database
  • E-Business Suite
  • WebLogic Server
  • Fusion Middleware
  • Java
  • MySQL
  • PeopleSoft
  • 身分產品
  • 通訊平台
  • 酒店業及特定行業應用程式

更新規模龐大，單純依賴 CVSS 進行優先排序並不實際。

Oracle 亦警告，攻擊者仍持續利用已有安全修補的舊漏洞，尤其是在客戶延遲套用更新的環境中。

建議優先次序

機構應首先識別符合以下條件的漏洞：

  • 可從遠端存取
  • 毋須身分驗證即可利用
  • 存在於面向互聯網的產品
  • 位於 WebLogic、HTTP、整合或中介軟件層
  • 連接至身分、ERP、財務或人力資源資料
  • 適用於過往曾遭利用的產品
  • 存在於不受支援或被遺忘的系統

建議方法

  1. 將公告與準確的產品及版本盤點資料對照。

  2. 優先處理：

    • 面向互聯網的系統
    • 預先驗證漏洞
    • 高影響的身分與中介軟件產品
    • ERP 與財務平台
    • 不受支援的產品版本

  3. 識別被遺忘的 Oracle 中介軟件，包括：

    • 災難復原系統
    • 報告伺服器
    • 開發環境
    • 測試系統
    • 舊有整合

  4. 若無法立即維護，套用網絡限制、分段或虛擬修補。

  5. 確認 Oracle Cloud 或託管服務團隊是否已將相關修補套用至客戶環境。

  6. 驗證修補確實成功，不要只依賴變更管理完成記錄。

參考資料

Oracle — Critical Patch Update Advisory, July 2026

🔐 勒索軟件與第三方風險監察

Fairlife：Anubis 聲稱竊取 1 TB 資料

狀態： 報告時段內受到重大關注；可口可樂於 7 月 16 日披露底層事件，而 Anubis 於 7 月 21 日聲稱負責
已確認影響： Fairlife 系統遭未經授權存取，美國生產一度暫停
攻擊者聲稱： 約 1 TB 資料遭竊
確認狀態： 可口可樂或 Fairlife 尚未獨立確認所聲稱的資料量

事件概述

可口可樂早前確認，Fairlife 部分系統遭未經授權存取，包括與生產相關的基礎設施，事件與勒索軟件有關。

公司在調查及復原受影響系統期間，一度暫停 Fairlife 美國設施的生產。

可口可樂表示：

  • 加拿大生產維持正常
  • 產品品質及安全未受影響
  • 調查仍在進行
  • 完整範圍與影響尚未確定

在報告時段內，Anubis 勒索軟件組織聲稱對事件負責，並表示竊取了約 1 TB 資料。

所聲稱的資料量仍只屬攻擊者陳述，尚未獲可口可樂或 Fairlife 獨立確認。

防禦重點

供應商、客戶及合作夥伴應為可能利用以下遭竊資料進行的後續釣魚或詐騙做好準備：

  • 合約
  • 發票
  • 物流資料
  • 生產詳情
  • 員工身分
  • 供應商關係
  • 營運通訊

應檢查與 Fairlife 相關系統連接的共用憑證、API 金鑰及帳戶，並在適當情況下輪替。

機構亦應監察：

  • 冒充 Fairlife 或可口可樂的新釣魚網域
  • 欺詐付款指示
  • 供應商帳戶接管
  • 非預期的文件分享邀請
  • 合作夥伴平台間的憑證重用

參考資料

The Coca-Cola Company — Form 8-K, July 16, 2026

Reuters — Anubis Claims Responsibility for Fairlife Attack

Stadler Rail：供應商憑證遭入侵導致技術資料暴露

狀態： 延續事件；公司於 7 月 21 日披露，並在報告時段內進一步傳播
攻擊向量： 供應商資料交換平台的憑證遭入侵
受影響資料： 與供應商相關的技術資訊
核心網絡影響： Stadler 表示其內部 IT 環境及生產系統未遭入侵
勒索要求： 約 1,000 萬瑞士法郎

事件概述

Stadler Rail 表示，攻擊者取得與供應商共用之資料交換平台的遭入侵登入憑證，並用以存取技術資訊。

據報，攻擊者要求約 1,000 萬瑞士法郎。

Stadler 表示：

  • 不會支付贖金
  • 內部 IT 系統未遭入侵
  • 生產維持正常
  • 沒有敏感個人資料遭竊
  • 已投入營運的鐵路車輛相關資訊未受影響

此事件顯示，即使製造商核心企業網絡或生產網絡未直接遭入侵，供應商協作平台仍可能包含足以被用於勒索的高價值資訊。

防禦重點

機構應檢查：

  • 供應商入口網站
  • 受管理檔案傳輸系統
  • 工程資料室
  • 產品生命週期管理平台
  • 共用 SFTP 帳戶
  • 外部使用者身分
  • 長期有效的供應商憑證
  • 下載及封存活動
  • 大量存取技術文件

存取應按以下條件限制：

  • 專案
  • 供應商
  • 裝置
  • 到期日
  • 資料分類
  • 地理或網絡內容

持有有效供應商憑證，不應代表可廣泛或無限期存取技術資料儲存庫。

參考資料

SWI swissinfo / Keystone-SDA — Cyberattackers Demand CHF 10 Million from Stadler

🛡️ 今日防禦行動項目

P0 — 立即行動

  • 識別所有面向互聯網的 Langflow 部署。
  • 限制或暫停易受攻擊的 Langflow 驗證功能。
  • 若無法排除程式碼執行，隔離 Langflow 執行個體。
  • 將 Windmill 升級至 1.603.3 或更高版本。
  • 修補所有面向互聯網的本地部署 SharePoint 伺服器。
  • 完成 SharePoint 伺服器陣列設定升級程序。
  • 在輪替 IIS 與 SharePoint 機器金鑰前，先對 SharePoint 系統進行威脅獵捕。
  • 在輪替信任材料前，先移除已確認的入侵工件。

P1 — 輪替高價值秘密

只要易受攻擊的 AI、工作流程或協作平台曾可被存取，就應假設秘密可能已經暴露。

優先輪替：

  • 雲端存取金鑰
  • 資料庫密碼
  • LLM 供應商 API 金鑰
  • 工作流程及 Webhook 秘密
  • Kubernetes 服務帳戶權杖
  • SSH 私密金鑰
  • Windmill 管理秘密
  • SharePoint 機器金鑰
  • 服務帳戶憑證
  • 使用遭入侵信任材料簽發的權杖與工作階段

P2 — 搜尋利用跡象

搜尋：

  • 對 Langflow 程式碼驗證端點的請求
  • Langflow 產生的 Python 或 Shell 程序
  • AI 或工作流程容器存取雲端中繼資料
  • 包含路徑穿越字元的 Windmill 日誌檔案請求
  • 新建立的 Windmill 工作或指令碼
  • IIS 工作程序啟動命令解譯器
  • 新建立的 SharePoint Web Shell
  • 工作流程及協作平台的異常對外流量
  • 存取機器金鑰或憑證儲存位置
  • 在下游系統使用先前可由受影響平台取得的秘密

平台治理優先事項

  • 不要將 AI 建構工具或工作流程引擎直接暴露於互聯網。
  • 以工作負載身分及短效權杖取代長期憑證。
  • 對自動化及整合帳戶套用最小權限。
  • 將 AI 與工作流程平台納入 EDR、SIEM、攻擊面管理及事件應變資產盤點。
  • 將供應商資料平台視為敏感企業資料儲存庫。
  • 要求外部供應商存取使用抗釣魚驗證。
  • 按專案、資料類型及到期日限制供應商權限。
  • 監察可存取關鍵業務系統的非人類身分與服務帳戶。

📌 最終評估

今日事件呈現出一項明確模式：

原本用於自動化受信任工作的系統，正成為高價值的攻擊控制平面。

  • Langflow 可將程式碼驗證轉化為未經身分驗證的遠端程式碼執行。
  • Windmill 可將日誌檔案端點轉化為憑證竊取，並在特定條件下進一步導致遠端程式碼執行。
  • SharePoint 可將權杖處理及不安全反序列化轉化為程式碼執行及應用程式信任遭入侵。
  • 供應商平台即使未直接入侵核心企業網絡，仍可暴露高價值工程及營運資訊。
  • 勒索軟件事件可在完整資料影響尚未確定前，先造成營運中斷及下游合作夥伴風險。

這些事件亦顯示，修復工作不能只停留在有漏洞的軟件元件。

遭入侵的平台可能已經暴露：

  • 加密金鑰
  • 雲端憑證
  • 資料庫密碼
  • 自動化權限
  • 現有工作階段
  • 下游整合
  • 內部資料
  • 供應商關係

防禦教訓十分明確：

修補漏洞，同時輪替有漏洞平台可能已暴露的信任材料、憑證及自動化權限。

#CyberSecurity #ThreatIntelligence #CISO #SOC #Langflow #Windmill #SharePoint #AIsecurity #Ransomware #SupplyChainSecurity #IdentitySecurity #VulnerabilityManagement

相關資安文章

全球網絡威脅情報摘要：2026 年 7 月 22 日

本期摘要重點分析本地部署 Microsoft SharePoint 伺服器正遭主動利用之 CVE-2026-50522 漏洞、Qilin 勒索軟體利用 PAN-OS CVE-2026-0257 身分驗證繞過入侵企業 VPN，以及 Cisco 安全設備與關鍵基礎設施修補處置指南。

2026-07-22

全球網絡威脅情報摘要：2026 年 7 月 20 日

本期報告深入技術拆解 UTA0533 利用 SonicWall SMA1000 零日漏洞鏈進行 root 權限執行攻擊、NGINX 正規表示式堆疊毀損 DoS 漏洞 (CVE-2026-42533)，以及 Sandworm (UAC-0145) ClickFix 偽造驗證碼攻擊手法。

2026-07-20

週度網絡安全新聞：2026 年 7 月 27 日

本週重大安全週報聚焦於 Check Point SmartConsole CVE-2026-16232 驗證繞過之在野利用、PAN-OS GlobalProtect 漏洞與 Qilin 勒索軟體侵襲、俄羅斯 LAUNDRY BEAR 對 Zimbra 進行之國家級郵件間諜活動，以及 Windchill 與 FakeGit 惡意 Repositories 威脅趨勢。

2026-07-27