头脑风暴
想象一下，公司的客服系统像一座金库，平时只需敲开登录密码的大门，客服座席便可以查询用户信息、处理工单、甚至通过系统调用内部 API 完成业务闭环。若这扇大门的锁芯出现裂纹，攻击者只需轻轻一撬，即可在金库里纵横捭阖，甚至把金库的钥匙复制一把，放进自己口袋里。
再进一步，如果这把被复制的钥匙还能打开公司内部的根控系统——那就是“从外部渗透到内部提权”的完整链路。正是这样的链路，在 2026 年 10 月 2 日 被美国网络与基础设施安全局（CISA）列入已知被积极利用漏洞（KEV）清单的两起 Zammad 漏洞，向我们敲响了严峻的警钟。
下面，本文将围绕 两起典型且富有教育意义的安全事件 进行全景式剖析：
1️⃣ Zammad 工作会话劫持与本地提权双联击（CVE‑2026‑102489 & CVE‑2026‑102490）
2️⃣ 全球大型制造业勒索攻击——“黑曜石”病毒的横空出世（2026 年 9 月份爆发）
通过对事件背景、攻击路径、影响面及防御失误的细致剖析，帮助职工在日常工作中快速识别潜在威胁、养成安全思维。随后，文章将结合 无人化、数字化、信息化 深度融合的当下环境，号召全体员工积极参与即将开启的信息安全意识培训，用知识与技能筑起公司安全的钢铁长城。
案例一：Zammad 开源客服系统的“会话劫持 + 提权”双重漏洞
1. 事件概述
- 漏洞来源：荷兰漏洞披露组织（DIVD）于 2026 年 9 月发布的 DIVD‑2026‑00015 报告，指出 Zammad 系统（版本 6.3.0‑6.5.4）中存在 CVE‑2026‑102489（工作会话劫持）和 CVE‑2026‑102490（本地提权）两个高危漏洞。
- 官方响应：美国 CISA 于 10 月 2 日将两者加入 KEV 清单，确认已有威胁行为者在真实环境中积极利用。
- 影响范围：全球数千家使用 Zammad 作为 IT 服务台或客户支持平台的企业，包括金融、医疗、制造等行业。
2. 漏洞技术细节
2.1 CVE‑2026‑102489 —— 工作会话劫持（Session Hijacking）
- 根本原因：在 Zammad 处理用户会话时，未对 Session ID 进行严格的随机性校验，且在 跨站请求伪造（CSRF） 防护链路中缺失同源校验。攻击者可以构造特制的 HTTP 请求，诱导受害者登录后，窃取其 Session Cookie。
- 攻击效果：一旦获取到合法的 Session Cookie，攻击者即可冒充该用户进行 远程代码执行（RCE），因为 Zammad 在后台对特定 API 调用仅做会话校验，而未进行二次权限验证。
2.2 CVE‑2026‑102490 —— 本地提权（Local Privilege Escalation）
- 根本原因：Zammad 在 Linux 环境下的 Supervisor 进程启动脚本中，使用了 可写的临时目录 作为工作路径，且未对 setuid 程序进行严格的 capabilities 限制。攻击者在取得系统本地用户权限后，可通过在临时目录放置恶意二进制文件，诱导 Supervisor 执行，从而实现 root 权限提升。
- 攻击效果：即便攻击者只拥有普通用户权限，也能在数秒内取得系统最高权限，进而对整个服务器进行持久化植入、数据窃取或破坏。
3. 攻击链路实战演练（演示版）
- 信息收集：攻击者使用 Shodan、Censys 等搜索引擎定位公开的 Zammad 实例（默认端口 443/80）。
- 诱骗钓鱼：通过伪装成内部 IT 支持邮件，诱导目标用户点击并登录 Zammad，期间使用 MITM 截获 Session Cookie。
- 会话劫持：利用窃取的 Cookie，攻击者发送恶意 API 请求，执行 RCE，上传 webshell。
- 本地提权：攻击者在服务器上创建恶意二进制，放置于
/tmp/zammad_tmp/，利用缺陷的 Supervisor 脚本触发 setuid root 执行。 - 持久化：植入系统服务
systemd单元，实现开机自启。
4. 影响评估
- 业务中断：客服系统被攻陷后，所有工单处理被阻断，客户满意度急剧下降。
- 数据泄露：攻击者可导出用户个人信息、内部技术文档、财务报表等敏感数据。
- 合规风险：若涉及个人信息，企业将面临《个人信息保护法》及 GDPR 等监管处罚。
- 声誉损失：公开的安全事件会导致合作伙伴、客户对品牌信任度大幅下降。
5. 防御失误与教训
| 失误点 | 具体表现 | 对策 |
|---|---|---|
| 缺乏安全审计 | 未对第三方开源组件进行定期安全审计和漏洞扫描 | 引入 SAST/DAST 工具，制定开源组件白名单 |
| 会话管理薄弱 | Session ID 可预测，缺少 SameSite/HttpOnly 标记 | 加固 Cookie 属性、使用 JWT 且短生命周期 |
| 特权最小化不足 | Supervisor 脚本运行在高权限账户下且目录可写 | 使用 Least Privilege 原则，锁定工作目录权限 |
| 监控告警缺失 | 未对异常 API 调用、任务调度进行实时告警 | 部署基于行为分析（UEBA）的安全监控平台 |
| 培训不到位 | 员工对钓鱼邮件识别能力不足 | 持续进行安全意识培训，模拟钓鱼演练 |
案例二：全球制造业勒索狂潮——“黑曜石”病毒的横空出世
1. 事件概述
- 时间节点：2026 年 9 月中旬，多个国家的制造业企业相继报告系统被 “黑曜石”（Obsidian） 勒索软件加密。
- 攻击规模：据 IDC 统计，受影响企业超过 1,200 家，累计损失超过 12.3 亿美元。
- 传播渠道：攻击者利用 Supply Chain Attack（供应链攻击）以及 零日漏洞（如 Windows LPE）植入后门，在内部网络横向移动。
2. 攻击路径解析
- 供应链植入：攻击者先入侵一家为多家制造企业提供 ERP 软件更新的第三方供应商，伪造软件更新包，植入 Obsidian 载荷。
- 内部渗透：受感染的 ERP 客户端在企业内部网络自动执行，利用已知的 SMBv1 EternalBlue 漏洞进行横向传播。
- 凭证抓取：通过 Mimikatz 抓取域管理员（Domain Admin）凭证，提升到整个域控制器的权限。
- 加密执行：利用 AES‑256 加密算法，对关键业务数据库、CAD 设计文件、生产线控制系统（PLC）配置文件进行批量加密。
- 勒索索要：攻击者在每台机器上留下 .obsi 扩展名的勒索信，要求比特币支付，并威胁公开企业核心技术图纸。
3. 影响深度
- 生产线停摆：PLC 配置被加密后，自动化生产线无法启动，导致订单延迟、违约金激增。
- 知识产权泄露：部分受害企业在付费解密后，发现攻击者已经将加密前的 CAD 文件泄露至暗网。
- 供应链连锁：一家公司受损导致其下游供应商无法交付原材料，形成 “蝴蝶效应”。
- 法律责任：部分企业因未及时通报而违反 《网络安全法》 第 28 条的报告义务，面临行政罚款。
4. 关键失误与防御建议
| 失误点 | 具体表现 | 对策 |
|---|---|---|
| 供应链安全薄弱 | 第三方 ERP 更新缺乏代码签名验证 | 强制使用 代码签名、实施 供应链安全评估（SCSA） |
| 漏洞管理滞后 | 未及时修补 EternalBlue、PrintNightmare 等已公开漏洞 | 建立 漏洞修补自动化 流程，30 天内完成 CVE 关键补丁 |
| 账号权限失控 | 域管理员账号未实行 MFA，密码策略宽松 | 强制 MFA、最小化特权账号使用、定期轮换密码 |
| 备份与恢复缺失 | 关键业务系统未做离线、版本化备份 | 实施 3-2-1 备份（现场、异地、离线）并定期演练恢复 |
| 安全监控不足 | 未能及时捕捉异常的大规模文件加密行为 | 部署 文件完整性监控（FIM）、行为分析（UEBA）系统 |
5. 启示
- 供应链安全是全局安全的基石。即使内部防护再严密，外部供应商“一颗螺丝钉”松动，也能导致跨企业的连锁攻击。
- 零日防御需要多层次防护：资产清单、威胁情报、行为分析、沙箱等手段缺一不可。
- 备份即是最好的保险：没有可靠的离线备份，勒索软件的威胁将演变为不可逆的灾难。
数字化、无人化、信息化：新时代的安全挑战与机遇
1. 环境特征
| 特征 | 含义 | 带来的安全新挑战 |
|---|---|---|
| 数字化 | 业务流程、数据、服务均通过数字平台交付 | 数据泄露、API 滥用、云配置错误 |
| 无人化 | 机器人、无人车、无人机在生产、物流中使用 | 物理层面被攻击、控制指令篡改、设备僵尸网络 |
| 信息化 | 大数据、AI、机器学习模型深入业务决策 | 模型投毒、算法偏见、隐私推断攻击 |
在这三大趋势的交叉点上，攻击面呈指数级增长，而 防御成本却相对有限。企业若不提前布局，往往在安全事件爆发后才被迫进行“事后补丁”，费用、声誉、合规成本都将成几何倍数增长。
2. 安全体系的四大支柱
- 资产可视化：利用 CMDB、 Auto‑Discovery 技术，建立全网资产图谱，涵盖服务器、容器、IoT 设备、机器人。
- 零信任架构（Zero Trust）：所有请求默认不可信，实施 身份验证、细粒度授权、持续监控。
- 统一威胁情报：融合国内外 OT、IT 威胁情报平台，实时更新 IOCs、TTPs，实现快速情报驱动响应。
- 安全培训与演练：把 技术手段 与 人因因素 同等重要，定期开展 红蓝对抗、钓鱼演练、业务连续性（BCP）演练。
邀请函：让每位员工成为信息安全的“第一防线”
亲爱的同事们，
随着公司业务向 云原生、自动化、智能化 的深度转型，信息安全已经不再是 “IT 部门的事”，而是 每个人的职责。只有全员筑墙，才能让黑客的每一次尝试都止步于门外。
1. 培训目标
| 目标 | 关键成果 |
|---|---|
| 提升安全意识 | 能识别钓鱼邮件、恶意链接、社交工程手段 |
| 掌握基础防护 | 正确使用密码管理器、MFA、终端安全防护 |
| 懂得应急响应 | 知晓报告流程、现场隔离、日志保全要点 |
| 了解合规要求 | 熟悉《网络安全法》、ISO27001、GDPR 的基本条款 |
2. 培训形式
| 形式 | 内容 | 时长 | 备注 |
|---|---|---|---|
| 线上微课 | 30 分钟精讲，涵盖网络、主机、应用安全 | 30 min/周 | 可随时回放 |
| 案例研讨会 | 现场复盘 Zammad 漏洞、Obsidian 勒索案例 | 90 min | 互动问答 |
| 实战演练 | 红蓝对抗、模拟钓鱼、应急处置演练 | 2 小时 | 结业证书 |
| 知识竞赛 | 用游戏化方式巩固所学 | 30 min | 奖品激励 |
3. 参与方式
- 报名入口：公司内部门户 → “学习与发展” → “信息安全意识培训”。
- 筛选分组：根据岗位风险等级（IT、研发、财务、客服）分层次推送不同难度的内容。
- 激励机制：完成全部课程并通过最终测评的同事，将获得 “信息安全卫士” 电子徽章，年度评优加分，且可参与公司安全专项奖金抽奖。
4. 培训收益
- 个人层面：提升个人网络安全防护能力，避免因个人失误导致的职业风险。
- 团队层面：加强跨部门协作，形成安全事件快速响应链路。
- 组织层面：降低安全事件概率，提升合规评分，避免高额罚款。
- 行业层面：树立企业在数字化转型中的安全标杆形象，提升市场竞争力。
5. 行动呼吁
“安全不是终点，而是持续的旅程。”
正如《孙子兵法》云：“上兵伐谋，其次伐交，其次伐兵，其下攻城。”在信息安全的世界里，谋（策略）是最关键的防线，而 人（员工）则是最重要的“兵”。请大家抽出一点时间，投入到这场看得见、摸得着、能落地的安全训练中，让我们共同筑起 “技术+人因” 的双层防御，确保公司在数字化浪潮中稳健前行。
结语：从案例中学习，从培训中进步
- 案例提醒：Zammad 漏洞展示了开源组件的隐蔽风险；Obsidian 勒索攻击凸显了供应链安全的全局重要性。
- 趋势洞察：无人化、数字化、信息化的深度融合，使攻击面更加多元、复杂。
- 行动指南：通过系统化的安全培训，让每位员工都能在日常工作中做到 “疑则问、问则查、查则改”。
- 共同使命：保护企业资产、维护用户信任、履行社会责任，这不仅是 IT 部门的职责，更是全体员工的共同使命。
让我们在即将开启的安全意识培训中，以案例为镜，以知识为剑，携手共建 零容忍 的信息安全生态。安全，从你我开始！
信息安全意识培训——点燃安全文化，点亮未来。
在昆明亭长朗然科技有限公司，信息保护和合规意识是同等重要的两个方面。我们通过提供一站式服务来帮助客户在这两方面取得平衡并实现最优化表现。如果您需要相关培训或咨询，欢迎与我们联系。
- 电话：0871-67122372
- 微信、手机：18206751343
- 邮件：info＠securemymind.com
- QQ: 1767022898