头脑风暴
想象一下，公司的客服系统像一座金库，平时只需敲开登录密码的大门，客服座席便可以查询用户信息、处理工单、甚至通过系统调用内部 API 完成业务闭环。若这扇大门的锁芯出现裂纹，攻击者只需轻轻一撬，即可在金库里纵横捭阖，甚至把金库的钥匙复制一把，放进自己口袋里。

再进一步，如果这把被复制的钥匙还能打开公司内部的根控系统——那就是“从外部渗透到内部提权”的完整链路。正是这样的链路，在 2026 年 10 月 2 日 被美国网络与基础设施安全局（CISA）列入已知被积极利用漏洞（KEV）清单的两起 Zammad 漏洞，向我们敲响了严峻的警钟。

下面，本文将围绕 两起典型且富有教育意义的安全事件 进行全景式剖析：
1️⃣ Zammad 工作会话劫持与本地提权双联击（CVE‑2026‑102489 & CVE‑2026‑102490）
2️⃣ 全球大型制造业勒索攻击——“黑曜石”病毒的横空出世（2026 年 9 月份爆发）

通过对事件背景、攻击路径、影响面及防御失误的细致剖析，帮助职工在日常工作中快速识别潜在威胁、养成安全思维。随后，文章将结合 无人化、数字化、信息化 深度融合的当下环境，号召全体员工积极参与即将开启的信息安全意识培训，用知识与技能筑起公司安全的钢铁长城。

---

案例一：Zammad 开源客服系统的“会话劫持 + 提权”双重漏洞

1. 事件概述

• 漏洞来源：荷兰漏洞披露组织（DIVD）于 2026 年 9 月发布的 DIVD‑2026‑00015 报告，指出 Zammad 系统（版本 6.3.0‑6.5.4）中存在 CVE‑2026‑102489（工作会话劫持）和 CVE‑2026‑102490（本地提权）两个高危漏洞。
• 官方响应：美国 CISA 于 10 月 2 日将两者加入 KEV 清单，确认已有威胁行为者在真实环境中积极利用。
• 影响范围：全球数千家使用 Zammad 作为 IT 服务台或客户支持平台的企业，包括金融、医疗、制造等行业。

2. 漏洞技术细节

2.1 CVE‑2026‑102489 —— 工作会话劫持（Session Hijacking）

• 根本原因：在 Zammad 处理用户会话时，未对 Session ID 进行严格的随机性校验，且在 跨站请求伪造（CSRF） 防护链路中缺失同源校验。攻击者可以构造特制的 HTTP 请求，诱导受害者登录后，窃取其 Session Cookie。
• 攻击效果：一旦获取到合法的 Session Cookie，攻击者即可冒充该用户进行 远程代码执行（RCE），因为 Zammad 在后台对特定 API 调用仅做会话校验，而未进行二次权限验证。

2.2 CVE‑2026‑102490 —— 本地提权（Local Privilege Escalation）

• 根本原因：Zammad 在 Linux 环境下的 Supervisor 进程启动脚本中，使用了 可写的临时目录 作为工作路径，且未对 setuid 程序进行严格的 capabilities 限制。攻击者在取得系统本地用户权限后，可通过在临时目录放置恶意二进制文件，诱导 Supervisor 执行，从而实现 root 权限提升。
• 攻击效果：即便攻击者只拥有普通用户权限，也能在数秒内取得系统最高权限，进而对整个服务器进行持久化植入、数据窃取或破坏。

3. 攻击链路实战演练（演示版）

1. 信息收集：攻击者使用 Shodan、Censys 等搜索引擎定位公开的 Zammad 实例（默认端口 443/80）。
2. 诱骗钓鱼：通过伪装成内部 IT 支持邮件，诱导目标用户点击并登录 Zammad，期间使用 MITM 截获 Session Cookie。
3. 会话劫持：利用窃取的 Cookie，攻击者发送恶意 API 请求，执行 RCE，上传 webshell。
4. 本地提权：攻击者在服务器上创建恶意二进制，放置于 /tmp/zammad_tmp/，利用缺陷的 Supervisor 脚本触发 setuid root 执行。
5. 持久化：植入系统服务 systemd 单元，实现开机自启。

4. 影响评估

• 业务中断：客服系统被攻陷后，所有工单处理被阻断，客户满意度急剧下降。
• 数据泄露：攻击者可导出用户个人信息、内部技术文档、财务报表等敏感数据。
• 合规风险：若涉及个人信息，企业将面临《个人信息保护法》及 GDPR 等监管处罚。
• 声誉损失：公开的安全事件会导致合作伙伴、客户对品牌信任度大幅下降。

5. 防御失误与教训

失误点	具体表现	对策
缺乏安全审计	未对第三方开源组件进行定期安全审计和漏洞扫描	引入 SAST/DAST 工具，制定开源组件白名单
会话管理薄弱	Session ID 可预测，缺少 SameSite/HttpOnly 标记	加固 Cookie 属性、使用 JWT 且短生命周期
特权最小化不足	Supervisor 脚本运行在高权限账户下且目录可写	使用 Least Privilege 原则，锁定工作目录权限
监控告警缺失	未对异常 API 调用、任务调度进行实时告警	部署基于行为分析（UEBA）的安全监控平台
培训不到位	员工对钓鱼邮件识别能力不足	持续进行安全意识培训，模拟钓鱼演练

---

案例二：全球制造业勒索狂潮——“黑曜石”病毒的横空出世

1. 事件概述

• 时间节点：2026 年 9 月中旬，多个国家的制造业企业相继报告系统被 “黑曜石”（Obsidian） 勒索软件加密。
• 攻击规模：据 IDC 统计，受影响企业超过 1,200 家，累计损失超过 12.3 亿美元。
• 传播渠道：攻击者利用 Supply Chain Attack（供应链攻击）以及 零日漏洞（如 Windows LPE）植入后门，在内部网络横向移动。

2. 攻击路径解析

1. 供应链植入：攻击者先入侵一家为多家制造企业提供 ERP 软件更新的第三方供应商，伪造软件更新包，植入 Obsidian 载荷。
2. 内部渗透：受感染的 ERP 客户端在企业内部网络自动执行，利用已知的 SMBv1 EternalBlue 漏洞进行横向传播。
3. 凭证抓取：通过 Mimikatz 抓取域管理员（Domain Admin）凭证，提升到整个域控制器的权限。
4. 加密执行：利用 AES‑256 加密算法，对关键业务数据库、CAD 设计文件、生产线控制系统（PLC）配置文件进行批量加密。
5. 勒索索要：攻击者在每台机器上留下 .obsi 扩展名的勒索信，要求比特币支付，并威胁公开企业核心技术图纸。

3. 影响深度

• 生产线停摆：PLC 配置被加密后，自动化生产线无法启动，导致订单延迟、违约金激增。
• 知识产权泄露：部分受害企业在付费解密后，发现攻击者已经将加密前的 CAD 文件泄露至暗网。
• 供应链连锁：一家公司受损导致其下游供应商无法交付原材料，形成 “蝴蝶效应”。
• 法律责任：部分企业因未及时通报而违反 《网络安全法》 第 28 条的报告义务，面临行政罚款。

4. 关键失误与防御建议

失误点	具体表现	对策
供应链安全薄弱	第三方 ERP 更新缺乏代码签名验证	强制使用 代码签名、实施 供应链安全评估（SCSA）
漏洞管理滞后	未及时修补 EternalBlue、PrintNightmare 等已公开漏洞	建立 漏洞修补自动化 流程，30 天内完成 CVE 关键补丁
账号权限失控	域管理员账号未实行 MFA，密码策略宽松	强制 MFA、最小化特权账号使用、定期轮换密码
备份与恢复缺失	关键业务系统未做离线、版本化备份	实施 3-2-1 备份（现场、异地、离线）并定期演练恢复
安全监控不足	未能及时捕捉异常的大规模文件加密行为	部署 文件完整性监控（FIM）、行为分析（UEBA）系统

5. 启示

• 供应链安全是全局安全的基石。即使内部防护再严密，外部供应商“一颗螺丝钉”松动，也能导致跨企业的连锁攻击。
• 零日防御需要多层次防护：资产清单、威胁情报、行为分析、沙箱等手段缺一不可。
• 备份即是最好的保险：没有可靠的离线备份，勒索软件的威胁将演变为不可逆的灾难。

---

数字化、无人化、信息化：新时代的安全挑战与机遇

1. 环境特征

特征	含义	带来的安全新挑战
数字化	业务流程、数据、服务均通过数字平台交付	数据泄露、API 滥用、云配置错误
无人化	机器人、无人车、无人机在生产、物流中使用	物理层面被攻击、控制指令篡改、设备僵尸网络
信息化	大数据、AI、机器学习模型深入业务决策	模型投毒、算法偏见、隐私推断攻击

在这三大趋势的交叉点上，攻击面呈指数级增长，而 防御成本却相对有限。企业若不提前布局，往往在安全事件爆发后才被迫进行“事后补丁”，费用、声誉、合规成本都将成几何倍数增长。

2. 安全体系的四大支柱

1. 资产可视化：利用 CMDB、 Auto‑Discovery 技术，建立全网资产图谱，涵盖服务器、容器、IoT 设备、机器人。
2. 零信任架构（Zero Trust）：所有请求默认不可信，实施 身份验证、细粒度授权、持续监控。
3. 统一威胁情报：融合国内外 OT、IT 威胁情报平台，实时更新 IOCs、TTPs，实现快速情报驱动响应。
4. 安全培训与演练：把 技术手段 与 人因因素 同等重要，定期开展 红蓝对抗、钓鱼演练、业务连续性（BCP）演练。

---

邀请函：让每位员工成为信息安全的“第一防线”

亲爱的同事们，
随着公司业务向 云原生、自动化、智能化 的深度转型，信息安全已经不再是 “IT 部门的事”，而是 每个人的职责。只有全员筑墙，才能让黑客的每一次尝试都止步于门外。

1. 培训目标

目标	关键成果
提升安全意识	能识别钓鱼邮件、恶意链接、社交工程手段
掌握基础防护	正确使用密码管理器、MFA、终端安全防护
懂得应急响应	知晓报告流程、现场隔离、日志保全要点
了解合规要求	熟悉《网络安全法》、ISO27001、GDPR 的基本条款

2. 培训形式

形式	内容	时长	备注
线上微课	30 分钟精讲，涵盖网络、主机、应用安全	30 min/周	可随时回放
案例研讨会	现场复盘 Zammad 漏洞、Obsidian 勒索案例	90 min	互动问答
实战演练	红蓝对抗、模拟钓鱼、应急处置演练	2 小时	结业证书
知识竞赛	用游戏化方式巩固所学	30 min	奖品激励

3. 参与方式

• 报名入口：公司内部门户 → “学习与发展” → “信息安全意识培训”。
• 筛选分组：根据岗位风险等级（IT、研发、财务、客服）分层次推送不同难度的内容。
• 激励机制：完成全部课程并通过最终测评的同事，将获得 “信息安全卫士” 电子徽章，年度评优加分，且可参与公司安全专项奖金抽奖。

4. 培训收益

1. 个人层面：提升个人网络安全防护能力，避免因个人失误导致的职业风险。
2. 团队层面：加强跨部门协作，形成安全事件快速响应链路。
3. 组织层面：降低安全事件概率，提升合规评分，避免高额罚款。
4. 行业层面：树立企业在数字化转型中的安全标杆形象，提升市场竞争力。

5. 行动呼吁

“安全不是终点，而是持续的旅程。”
正如《孙子兵法》云：“上兵伐谋，其次伐交，其次伐兵，其下攻城。”在信息安全的世界里，谋（策略）是最关键的防线，而 人（员工）则是最重要的“兵”。请大家抽出一点时间，投入到这场看得见、摸得着、能落地的安全训练中，让我们共同筑起 “技术+人因” 的双层防御，确保公司在数字化浪潮中稳健前行。

---

结语：从案例中学习，从培训中进步

• 案例提醒：Zammad 漏洞展示了开源组件的隐蔽风险；Obsidian 勒索攻击凸显了供应链安全的全局重要性。
• 趋势洞察：无人化、数字化、信息化的深度融合，使攻击面更加多元、复杂。
• 行动指南：通过系统化的安全培训，让每位员工都能在日常工作中做到 “疑则问、问则查、查则改”。
• 共同使命：保护企业资产、维护用户信任、履行社会责任，这不仅是 IT 部门的职责，更是全体员工的共同使命。

让我们在即将开启的安全意识培训中，以案例为镜，以知识为剑，携手共建 零容忍 的信息安全生态。安全，从你我开始！

信息安全意识培训——点燃安全文化，点亮未来。

在昆明亭长朗然科技有限公司，信息保护和合规意识是同等重要的两个方面。我们通过提供一站式服务来帮助客户在这两方面取得平衡并实现最优化表现。如果您需要相关培训或咨询，欢迎与我们联系。

• 电话：0871-67122372
• 微信、手机：18206751343
• 邮件：info＠securemymind.com
• QQ: 1767022898

---

序章：三则跌宕起伏的案例，警示每一位信息工作者

案例一：“审判云”失控的血泪教训

张锐是智慧法院技术部的“铁面议员”，对系统的安全性有近乎苛刻的执念；而刚调入的青年程序员刘晓东，却是“技术天才”兼“冒险家”，总相信“一切都可以用代码解决”。二人共同负责新上线的“审判云”平台——一个用于集中存储、调取和分析全省裁判文书的大数据系统。

上线第一周，刘晓东在一次代码迭代中，为了追求“性能突破”，在未经充分测试的情况下，将系统的内部日志接口开放为外网可访问的REST API，声称“只要加密就安全”。张锐乘机提醒：“安全不是装饰，而是底线”，但因项目进度紧迫，他在会议上被迫让步。

未料，第二天上午，外部黑客通过公开的API，定位到系统的“文书检索”接口，以毫秒级的请求频率抓取了近万份未脱敏的裁判文书，涉及未成年人隐私、商业机密甚至涉案企业的核心技术信息。数据被快速复制并在暗网流出，导致全国多家企业向法院索赔，舆论哗然。

更讽刺的是，法院内部审计系统在此时正好启动例行的“审计日志清理”任务，张锐在发现异常时已无法追溯完整的访问轨迹，导致追责链条断裂。最终，刘晓东因“擅自修改系统安全配置”、张锐因“监督不力”被分别处以行政记过并降职，法院被迫向社会公开道歉并投入巨额费用进行修复与补偿。

这起事件的根源在于：对技术的盲目崇拜、缺乏安全开发生命周期（SDL）的制度约束、以及对合规审计的轻视。

---

案例二：“智能调解机器人”误判的悲剧

在某市中级法院，李娜是“智能调解实验室”的项目经理，个性开朗、极富创新精神，擅长把最新的AI模型“包装成法官的好帮手”。她带领团队研发了“调解星”——一款基于自然语言处理（NLP）和知识图谱的智能调解机器人，号称能够自动分析纠纷要点并生成调解方案。

系统上线后，第一位使用者是本地一家小微企业的老板赵鹏。赵鹏性格豪爽，却对技术缺乏了解。一次劳动争议案件中，调解星在分析大量裁判文书后，错误地将“非法解除劳动合同”认定为“双方协商解除”，自动生成的调解方案建议企业只支付经济补偿金的30%。赵老板的法律顾问李明（性格严谨、爱好条文）发现后立即提出质疑，却因为项目组热衷“快速落地”，未收到正式的风险提示。

结果，案件进入法院审理后，法官依据系统生成的调解记录作出裁判，导致赵鹏公司因赔偿不足被劳动监察部门追责，面临巨额罚款。更糟的是，调解星的算法模型在内部日志中留下了“误判率高于阈值”的警报，却因缺乏合规评估流程，被项目组自行忽视。事后审计发现，调解星使用的训练数据未经过充分的脱敏和标签校对，导致模型在处理涉及特定行业术语时出现偏差。

法院内部对该项目启动的合规审批本应包括伦理审查、数据治理和模型验证，但项目经理李娜在“创新速度优先”的思维驱动下，省略了关键环节。她最终因“未按规定进行合规审查”被追究行政责任，项目被迫停摆整改。

此案提醒我们：AI算法不是万能钥匙，缺乏严格的模型评估、数据治理和合规审查，任何智能化工具都可能成为司法风险的“隐形炸弹”。

---

案例三：“全省同步审判平台”被内部人员利用的内幕

王凯是省审判监督办公室的“老油条”，在法院系统工作二十余年，精通业务流程、熟悉信息系统，却对制度的硬约束缺乏敬畏，性格中带有“投机取巧”的倾向。与此同时，新引进的“全省同步审判平台”提供了实时共享案件进度、审判文书和证据材料的功能，旨在提升审判效率，实现“协同审判、信息互通”。

平台上线后，王凯发现自己可以通过系统后台查询到其他地区正在审理的同类案件的审判要点和判决结果。怀着“先知先觉”的心态，他开始在自己负责的案件中“偷梁换柱”，把他人案件的成功判例隐蔽地植入到本案的辩护材料中，以期获得更有利的裁决。与此同时，他把自己在平台上获取的敏感信息通过内部聊天工具分享给了熟悉的律所合伙人陈宇（性格圆滑、善于捕捉商业机会），后者再利用这些信息为其大客户提供“提前布局”的法律服务。

事情的转折点出现在一次系统升级中，平台的日志审计模块被意外开启。审计员刘静（性格正直、细致入微）在例行检查时，发现大量异常的“跨地区查询”记录，经过追踪定位，锁定了王凯的操作账号。随即上报纪委审计部门，王凯的违规行为被曝光。更令人震惊的是，法院内部的合规审查机制因为缺乏对内部人员权限的细化管理，导致王凯拥有超出职务需要的查询权限。

审查结果显示：王凯因“利用职务便利获取案件信息”“泄露审判数据给第三方”“违反信息安全保密规定”被处以开除公职、行政拘留并承担相应的民事赔偿。陈宇所在律所也因“非法获取司法信息”被司法行政部门罚款，并被列入不良执业名单。

此案的根本原因在于：内部权限管理混乱、审计监控不到位、合规教育缺失，以及对“信息安全”概念的淡薄认识。

---

案例剖析：信息安全与合规失守的共通症结

上述三起离奇且“狗血”的案件，表面看似各有不同的情节，却在根源上呈现出高度一致的特征：

1. 安全治理缺位——从代码层面的安全开发、系统上线前的渗透测试，到运行时的日志审计、异常监控，缺乏完整的安全生命周期（Secure Development Lifecycle）与持续监管机制。
2. 合规审查流于形式——项目立项、技术选型、模型训练均未经过严格的合规评估、伦理审查与数据治理审查，导致“技术先行、合规后置”。
3. 权限与数据脱敏失控——对内部人员的权限划分不细致，数据脱敏标准不统一，导致敏感信息被内部滥用或外部窃取。
4. 安全文化与意识薄弱——项目负责人、技术人员乃至高层管理者对信息安全的认知停留在“工具层面”，缺乏对“法律责任、职业伦理、社会危害”的深刻体悟。

在智慧法院这条以大数据、人工智能、区块链等新技术为核心的改革之路上，信息安全与合规治理不是点缀的装饰，而是筑牢司法公正、维护公众信任的根本基石。只有在技术创新的每一步，都同步植入合规审查、风险评估与安全防护，才能让智慧法院真正成为“法治中国的亮丽名片”，而非“高科技的陷阱”。

---

面向数字化、智能化、自动化时代的安全自觉

1. 树立“安全先行、合规先行”的理念
   • 参考《中华人民共和国网络安全法》《数据安全法》《个人信息保护法》以及《最高人民法院关于加快建设智慧法院的意见》，明确信息安全是司法业务的“红线”。
   • 将安全合规纳入绩效考核、项目审批、预算分配的必经环节，形成制度性约束。
2. 构建完整的安全技术体系
   • 安全开发生命周期（SDL）：需求分析→安全设计→代码审计→渗透测试→上线监控。
   • 数据治理平台：统一数据分类分级、脱敏、匿名化处理，建立跨部门共享的安全数据交换机制。
   • 全链路审计与异常检测：日志集中、行为分析、AI驱动的异常预警，确保“一旦泄露，快速定位”。
3. 强化合规审查与伦理评估
   • 设立“司法智能合规评审委员会”，负责对每一项AI模型、区块链应用、数据分析工具进行合法性、合规性、伦理性审查。
   • 引入模型可解释性（XAI）要求，确保司法决策过程可追溯、可审计。
4. 培育安全文化与合规意识
   • 全员培训：以“案例教学+情景演练”的方式，让每一位法官、书记员、技术人员都能在真实情境中体会“信息泄露的后果”。
   • 安全月/合规周：开展“红线演练”、安全风险大检查、合规知识竞赛，形成常态化氛围。
   • 奖惩分明：对在信息安全工作中表现突出的个人与团队进行表彰，对违规者实行零容忍的纪律处分。

   

---

迈向合规安全新高度——引入专业培训伙伴

在信息安全与合规建设的道路上，“制度+技术+文化”三位一体是唯一可行的路径。为帮助各级法院、检察院及司法行政部门快速落地上述要求，我们特别推荐 昆明亭长朗然科技有限公司（以下简称“朗然科技”）的专业信息安全意识与合规培训体系。

朗然科技的核心优势：

• 案例驱动的课程设计：运用真实司法场景（如裁判文书大数据、智能调解机器人、跨省审判平台）编写教材，使学员在“身临其境”的情境中掌握风险点。
• 顶级专家阵容：汇聚网络安全、数据治理、司法人工智能、法律伦理等领域的国家级专家、资深法官、信息化建设领军人物，提供“一线+高层”的双向视角。
• 线上线下一体化平台：基于云端学习系统，实现随时随地的微课、直播、实战演练；并配套线下研讨会、红蓝对抗演练，确保理论与实践高度融合。
• 合规评估工具箱：提供安全自评、合规检查清单、AI模型审计框架，帮助法院内部快速搭建自检体系。
• 培训效果可量化：通过前后测、行为追踪、风险事件下降率等指标，直观展示培训价值，真正实现“投资回报可视化”。

推荐课程体系（仅供参考）：

课程	目标学员	关键内容	时长
信息安全法律与政策全景	法官、检察官、司法人事	《网络安全法》《个人信息保护法》解读 + 司法适用案例	3天
安全开发与运维实战	信息化技术团队	SDL、渗透测试、CI/CD安全加固	5天
AI合规与伦理审查	项目经理、业务方	模型可解释性、数据脱敏、伦理评估流程	2天
数据治理与跨部门共享	数据管理部门	数据分类分级、脱敏技术、共享平台安全架构	2天
安全文化建设与行为驱动	全体职工	案例分析、红蓝演练、合规奖励机制	1天

通过系统化、专业化的培训，朗然科技帮助司法机关实现从“信息孤岛”向“安全闭环”的华丽转身，让每一位职工都成为信息安全的“守护者”，让每一条数据流动都符合合规的“轨道”。

---

号召全体司法工作者：从今天起，加入信息安全与合规的共同体

• 立刻行动：登录内部学习平台，报名参加朗然科技的《信息安全与合规基础课程》，完成后即可获得“智慧司法安全合规徽章”。
• 自检自查：对照《信息安全管理制度体系》清单，对所在部门的权限、日志、数据脱敏等环节进行自评，发现问题立即整改。
• 共享经验：在部门例会上分享安全案例、风险处置经验，让“安全文化”像“司法公正”一样深入人心。
• 持续学习：关注朗然科技发布的最新安全技术白皮书、法规解读与行业报告，保持对新技术新风险的敏感度。

智慧法院的未来，是在技术的光辉中闪耀公正的星辰；而这颗星辰，只有在信息安全的坚实基座上才能长久照亮。让我们共同点燃合规安全的火炬，以实际行动捍卫司法的庄严与信任！

---

昆明亭长朗然科技有限公司为企业提供安全意识提升方案，通过创新教学方法帮助员工在轻松愉快的氛围中学习。我们的产品设计注重互动性和趣味性，使信息安全教育更具吸引力。对此类方案感兴趣的客户，请随时与我们联系。

• 电话：0871-67122372
• 微信、手机：18206751343
• 邮件：info＠securemymind.com
• QQ: 1767022898