| 安全资讯导视 |
|---|
• 《数据安全国家标准体系（2025版）》《个人信息保护国家标准体系（2025版）》公开征求意见 |
• 河南财政金融学院泄露个人信息被通报，内部紧急通知整改 |
• 俄罗斯首都广播播放核攻击警报，引发公共交通恐慌 |
1.Windows文件资源管理器欺骗漏洞安全风险通告
8月13日，奇安信CERT监测到微软发布8月补丁日安全更新修复Windows 文件资源管理器欺骗漏洞(CVE-2025-50154)，该漏洞是对CVE-2025-24054的补丁绕过，攻击者通过恶意的快捷方式在文件资源管理器中自动触发 NTLM 认证请求，从而窃取用户的 NTLMv2 哈希凭证。目前该漏洞技术细节与POC已在互联网上公开，奇安信威胁情报中心安全研究员已成功复现。鉴于该漏洞影响范围较大，建议客户尽快做好自查及防护。
2.Cherry Studio命令注入漏洞安全风险通告
8月12日，奇安信CERT监测到官方修复Cherry Studio命令注入漏洞(CVE-2025-54074)，该漏洞产生的原因在于v1.5.1及之前版本中，Cherry Studio 的 MCP 客户端在 HTTP Streamable 模式下与OAuth服务器交互时，未对服务器返回的authorization_endpoint参数做输入校验，导致恶意构造的URL可以通过 open函数直接传递给系统shell执行。攻击者可搭建兼容OAuth流程的恶意MCP服务器，诱导受害者添加并连接该服务器触发命令注入，进而在受害者主机上执行任意系统命令，造成远程代码执行、数据泄露或系统破坏等严重后果。目前该漏洞PoC已在互联网上公开，奇安信威胁情报中心安全研究员已成功复现。鉴于该漏洞影响范围较大，建议客户尽快做好自查及防护。
3.WinRAR目录穿越漏洞安全风险通告
1.N-able N-Central 反序列化漏洞(CVE-2025-8875)&N-able N-Central 命令注入漏洞(CVE-2025-8876)
参考链接：
https://www.bleepingcomputer.com/news/security/cisa-warns-of-n-able-n-central-flaws-exploited-in-zero-day-attacks/
2.WinRAR 目录穿越漏洞 (CVE-2025-8088)
参考链接：
https://www.bleepingcomputer.com/news/security/details-emerge-on-winrar-zero-day-attacks-that-infected-pcs-with-malware/
1.河南财政金融学院泄露个人信息被通报，内部紧急通知整改
原文链接：
2.NordDragonScan恶意软件持续活跃，工信部发布风险提示
8月16日网络安全威胁和漏洞信息共享平台消息，工业和信息化部网络安全威胁和漏洞信息共享平台（CSTIS）监测发现NordDragonScan恶意软件持续活跃，其主要攻击目标为Windows用户，可能导致敏感信息泄露、系统受控等风险。NordDragonScan是一种针对Windows系统的高级信息窃取型木马（infostealer），支持定期截屏并提取敏感文档数据，可内网扫描与横向渗透，探测本地局域网设备识别存在安全漏洞的主机，进一步扩大感染风险。建议相关单位和用户立即组织排查，谨慎处理不明来源的.LNK快捷方式和压缩包，及时更新防病毒软件，实施全盘病毒查杀，并可通过及时修复安全漏洞、定期备份数据等措施，防范网络攻击风险。
原文链接：
3.俄罗斯首都广播播放核攻击警报，引发公共交通恐慌
8月12日每日邮报消息，有黑客通过莫斯科全市警报系统播送“紧急威胁”警告，当地居民疯狂涌向核掩体。一则视频显示，在一辆公交车上，一名女乘客在车载广播中听到警报后反应惊慌。警报系统播报：“注意，注意！乌克兰正威胁对我们发动核轰炸。所有人立即进入掩体！”莫斯科交通部门官员很快澄清，这些恐慌性信息来自身份不明的黑客，并向通勤者保证无需惊慌。目前尚不清楚有多少辆公交车受到影响，据当地媒体报道，黑客成功入侵了商业运营商OOO Transavtoliz的系统。莫斯科交通部门发言人表示：“公交车上播放了与事实不符的音频信息。目前，技术人员正在检查网络基础设施，并消除未经授权访问造成的影响。”
原文链接：
https://www.dailymail.co.uk/news/article-14993425/Moscow-NUCLEAR-BOMB-alerts-public-transport-hackers-target-warning-system.html
4.江西南昌某医疗机构IP遭黑客远程控制被处罚
8月11日网信南昌消息，南昌市网信办近日接上级网信部门通报，南昌市某医疗机构所属IP疑似被黑客远程控制，并频繁与恶意域名进行通联。经过现场勘验、远程勘验（采样技术分析）、笔录问询等工作，查明：该医疗机构未履行网络安全保护义务，未采取技术措施防范危害网络安全的行为，导致所运营和使用的网络感染了木马病毒、与境外网站发生通联行为。该医疗机构的相关行为违反了《中华人民共和国网络安全法》第二十一条、第二十五条的规定。南昌市网信办依据《中华人民共和国网络安全法》第五十九条的规定，对该医疗机构作出警告的行政处罚。
原文链接：
5.歌手伍佰紧急发声：伍佰官网被黑客入侵
8月11日南方都市报消息，歌手伍佰8月10日通过个人社交账号发布消息称：“伍佰官网紧急公告：目前伍佰官网wubai.com网址已被黑客入侵，目前网站上显示的讯息全部是错误的，尤其是香港演唱会的讯息全部为捏造，请勿上当，也不要点击附上的售票网站网址，以免误信诈骗网站，在没有公告官网已经恢复之前，请不要再使用伍佰官方网站，以免受骗上当！”
原文链接：
6.巴基斯坦石油公司遭勒索软件攻击：运营受阻、数据外泄
8月7日Profit消息，巴基斯坦最大国有能源企业之一巴基斯坦石油有限公司（Pakistan Petroleum Limited）遭遇严重网络攻击事件，导致IT系统瘫痪、财务运营暂停，并出现大规模数据外泄。据悉，Proton黑客组织加密了该公司的服务器，声称窃取了与运营、合同、员工信息相关的重要数据，并向该公司员工发送勒索信邮件索要赎金。巴基斯坦石油后续发布声明，确认部分IT基础设施遭到勒索软件入侵，已启动响应程序和遏制措施，核心系统未受影响。
原文链接：
https://profit.pakistantoday.com.pk/2025/08/07/hackers-paralyze-ppl-it-systems-demand-ransom-financial-operations-suspended-for-two-days/
1.《数据安全国家标准体系（2025版）》《个人信息保护国家标准体系（2025版）》公开征求意见
8月15日，全国网络安全标准化技术委员会秘书处组织编制了《数据安全国家标准体系（2025版）》（征求意见稿）和《个人信息保护国家标准体系（2025版）》（征求意见稿），现面向社会公开征求意见。据悉，数据安全国家标准体系由基础共性、数据安全技术和产品、数据安全管理、数据安全测评和认证、产品和服务数据安全、行业与应用数据安全六大类标准组成；个人信息保护国家标准体系由基础共性、个人信息保护技术、个人信息保护管理与权益保障、个人信息保护测评和认证、产品和服务个人信息保护、行业与应用个人信息保护六大类标准组成。
原文链接：
https://www.tc260.org.cn/front/postDetail.html?id=20250731172556
2.美澳等六国联合发布运营技术（OT）网络安全指南
8月13日，美国、澳大利亚、加拿大、德国、荷兰、新西兰等6国9家网络安全机构联合发布《OT网络安全基础：资产清单指南（针对所有者和运营商）》。该文件旨在为关键基础设施领域的OT所有者和运营商提供详细指导，帮助他们创建并维护OT资产清单，并辅以OT分类系统。通过运用这些工具，组织可以有效地识别其环境中需要保护的资产，并据此构建防御体系，从而“降低网络安全事件对组织使命和服务连续性造成的风险”。
原文链接：
https://www.cisa.gov/sites/default/files/2025-08/joint-guide-foundations-for-OT-cybersecurity-asset-inventory-guidance_508c.pdf
3.《数据基础设施 安全能力通用要求》等6项技术文件公开征求意见
8月11日，全国数据标准化技术委员会秘书处牵头研制了数据基础设施3项技术文件、可信数据空间3项技术文件征求意见稿，现面向社会公开征求意见。6项文件包括《数据基础设施 区域/行业功能节点技术要求》《数据基础设施 接入管理》《数据基础设施 安全能力通用要求》《可信数据空间 数字合约技术要求》《可信数据空间 使用控制技术要求》《可信数据空间 技术能力评价规范》。其中，安全能力通用要求文件规定了数据基础设施安全能力的通用要求，以功能视角下的数据基础设施架构为基础，结合 安全保障层的内容对流通利用设施层、算力设施层、网络设施层的各组件提出了安全能力要求。
原文链接：
本期周报内容由安全内参&虎符智库&奇安信CERT联合出品！
推荐站内搜索：最好用的开发软件、免费开源系统、渗透测试工具云盘下载、最新渗透测试资料、最新黑客工具下载……
还没有评论，来说两句吧...