Allure Security披露HR薪资人员遭RMM软件攻击
Allure Security披露HR薪资人员遭RMM软件攻击。攻击者伪造桌面应用诱导安装ScreenConnect，利用合法基础设施规避检测并建立隐蔽持久控制。目前虚假链接下载量为291次，实际受害规模尚不明确。
网络安全
漏洞、数据泄露、隐私与安全攻防
Supabase托管数据库现严重配置漏洞致敏感信息泄露
UpGuard披露Supabase托管数据库存严重配置漏洞。扫描发现约1.6万个数据库中，大量含姓名、地址等敏感信息直接暴露在公网，涉及多国机构及商业项目数据。
Kiteworks预警零日攻击威胁建议客户关闭系统
安全厂商Kiteworks因零日攻击威胁，紧急建议客户关闭系统。目前暂无泄露证据，此举属预防性措施。该公司前身Accellion曾于2021年遭勒索软件重创，此次预警涉及数千名客户及超千个在线系统。
德奥联合行动切断近1.4万个涉诈电话号码
德奥联合行动切断近1.4万个涉诈号码。赫拉克勒斯行动关停9304个德国号码，累计阻断13888个。这些号码被用于虚假高回报投资欺诈，当局正强化监管并提醒消费者警惕异常承诺。
卡巴斯基披露MacSync恶意软件利用iCloud日历分发
卡巴斯基披露MacSync恶意软件利用iCloud日历分发。该样本通过日历事件提取指令部署载荷，窃取凭证及加密数据，最新变体引入伪装Finder的后门以维持持久性。
主流OS文件通知子系统存侧通道漏洞
格拉茨技术大学发现主流OS文件通知子系统存侧通道漏洞。攻击者可推断按键、追踪网站甚至窃取凭据，Linux已发布缓解措施，微软与苹果暂未修补。
Bitget遭北韩黑客攻击 损失超3.51亿美元
Bitget遭疑似北韩黑客攻击，损失超3.51亿美元。热钱包资产被窃致提款暂停，CEO称将动用4.64亿美元用户保护基金覆盖损失。
华硕确认在线商店数据泄露，无付款信息
华硕在线商店确认发生数据泄露，部分用户联系方式及订单记录被访问。官方称无付款信息外泄，但姓名地址等细节可能助长高可信度钓鱼攻击，建议用户警惕异常通信并启用双因素验证。
DataOne数据中心违规运行发电机被罚107万美元
DataOne数据中心因违规运行发电机被罚107万美元。新泽西州检查员发现62台未经许可设备，居民还指控其私建储罐及噪音扰民。此前SpaceXAI在孟菲斯也面临类似违规问题。
威尔士迪菲德-波威斯警局遭网络攻击 排查员工数据
威尔士迪菲德-波威斯警局遭网络攻击。9月14日事件致部分非紧急系统中断，但999等核心服务未受影响。目前正排查员工数据是否泄露，暂未发现公众数据被窃证据。
Revolut客户遭第二次数据泄露，源于合作伙伴DriveWealth被攻击
Revolut客户遭第二次数据泄露。攻击源于合作伙伴DriveWealth被社交工程入侵，姓名、地址及就业信息等历史记录外泄。虽支付数据未受影响，但暴露细节足以用于精准钓鱼与身份欺诈。
多家VPN厂商警告：若加拿大C-22法案通过将退出市场
Windscribe等VPN厂商警告将退出加拿大。C-22法案拟强制削弱端到端加密并存储用户元数据，被指破坏安全架构。若政府拒绝实质性修改，Signal、Apple及多家顶级服务商将继续反对该监控立法。
AI代理突破同源策略，跨域数据泄露风险凸显
AI代理突破浏览器同源策略，跨域数据泄露风险凸显。华盛顿大学等团队测试七款主流浏览器发现，Gemini、Claude及Perplexity Comet在代理模式下均出现越界读取情况，安全防线取决于模型判断逻辑。
黑客利用零日漏洞入侵FBI窃取敏感信息
黑客组织ShinyHunters利用Oracle零日漏洞入侵FBI，窃取特工及求职者敏感信息。泄露数据触及调查机制核心，可能暴露保密方法论及人员身份。目前相关网站已关闭，全面评估漏洞严重程度预计需数周时间。
ShinyHunters利用Oracle零日漏洞泄露FBI敏感数据
ShinyHunters利用Oracle零日漏洞泄露FBI数据。黑客窃取联邦特工及求职者敏感信息，并公开要求机构道歉。此次事件暴露FBI基础设施与运营安全缺陷，其官网目前仍处于关闭状态。
Gambit披露AI代理攻击：1.8万美元窃60万信用卡
AI安全公司Gambit披露一起低成本自动化攻击，窃取逾60万条信用卡记录。攻击者利用开源框架组合入侵数百家企业，总成本仅1.2至1.8万美元，单次扫描平均花费约25美元，受害者涵盖多家知名机构。
Docker推云沙箱防AI代理越权
Docker推出云沙箱服务，防止AI代理越权访问。该方案通过严格隔离机制将代理与本地数据分离，可在几百毫秒内启动并按秒计费，内置密钥管理与策略执行功能，旨在解决容器环境下的安全边界突破问题。
美百余名警察滥用车牌识别系统追踪伴侣被调查
美百余名警察滥用车牌识别系统被调查。《华盛顿邮报》发现警员借Flock摄像机追踪伴侣，印第安纳波利斯五名警察因欺诈等罪被起诉，其中一人十个月查询车牌近四千次，引发对监管缺失的质疑。
Salesforce Agentforce曝零点击漏洞
Salesforce Agentforce曝零点击漏洞。攻击者借间接提示注入劫持AI代理，无需交互即可窃取CRM数据并发送钓鱼消息。虽已修复，但暴露了AI代理访问控制的复杂性。
TU Graz发现跨平台文件通知侧信道漏洞
TU Graz发现跨平台文件通知侧信道漏洞。攻击者可借Android、Linux等系统元数据推断用户活动，实现按键窃取与网站指纹识别，部分Linux内核已修复。