头脑风暴
想象一下，公司的客服系统像一座金库，平时只需敲开登录密码的大门，客服座席便可以查询用户信息、处理工单、甚至通过系统调用内部 API 完成业务闭环。若这扇大门的锁芯出现裂纹，攻击者只需轻轻一撬，即可在金库里纵横捭阖，甚至把金库的钥匙复制一把，放进自己口袋里。

再进一步，如果这把被复制的钥匙还能打开公司内部的根控系统——那就是“从外部渗透到内部提权”的完整链路。正是这样的链路，在 2026 年 10 月 2 日 被美国网络与基础设施安全局（CISA）列入已知被积极利用漏洞（KEV）清单的两起 Zammad 漏洞，向我们敲响了严峻的警钟。

下面，本文将围绕 两起典型且富有教育意义的安全事件 进行全景式剖析：
1️⃣ Zammad 工作会话劫持与本地提权双联击（CVE‑2026‑102489 & CVE‑2026‑102490）
2️⃣ 全球大型制造业勒索攻击——“黑曜石”病毒的横空出世（2026 年 9 月份爆发）

通过对事件背景、攻击路径、影响面及防御失误的细致剖析，帮助职工在日常工作中快速识别潜在威胁、养成安全思维。随后，文章将结合 无人化、数字化、信息化 深度融合的当下环境，号召全体员工积极参与即将开启的信息安全意识培训，用知识与技能筑起公司安全的钢铁长城。

---

案例一：Zammad 开源客服系统的“会话劫持 + 提权”双重漏洞

1. 事件概述

• 漏洞来源：荷兰漏洞披露组织（DIVD）于 2026 年 9 月发布的 DIVD‑2026‑00015 报告，指出 Zammad 系统（版本 6.3.0‑6.5.4）中存在 CVE‑2026‑102489（工作会话劫持）和 CVE‑2026‑102490（本地提权）两个高危漏洞。
• 官方响应：美国 CISA 于 10 月 2 日将两者加入 KEV 清单，确认已有威胁行为者在真实环境中积极利用。
• 影响范围：全球数千家使用 Zammad 作为 IT 服务台或客户支持平台的企业，包括金融、医疗、制造等行业。

2. 漏洞技术细节

2.1 CVE‑2026‑102489 —— 工作会话劫持（Session Hijacking）

• 根本原因：在 Zammad 处理用户会话时，未对 Session ID 进行严格的随机性校验，且在 跨站请求伪造（CSRF） 防护链路中缺失同源校验。攻击者可以构造特制的 HTTP 请求，诱导受害者登录后，窃取其 Session Cookie。
• 攻击效果：一旦获取到合法的 Session Cookie，攻击者即可冒充该用户进行 远程代码执行（RCE），因为 Zammad 在后台对特定 API 调用仅做会话校验，而未进行二次权限验证。

2.2 CVE‑2026‑102490 —— 本地提权（Local Privilege Escalation）

• 根本原因：Zammad 在 Linux 环境下的 Supervisor 进程启动脚本中，使用了 可写的临时目录 作为工作路径，且未对 setuid 程序进行严格的 capabilities 限制。攻击者在取得系统本地用户权限后，可通过在临时目录放置恶意二进制文件，诱导 Supervisor 执行，从而实现 root 权限提升。
• 攻击效果：即便攻击者只拥有普通用户权限，也能在数秒内取得系统最高权限，进而对整个服务器进行持久化植入、数据窃取或破坏。

3. 攻击链路实战演练（演示版）

1. 信息收集：攻击者使用 Shodan、Censys 等搜索引擎定位公开的 Zammad 实例（默认端口 443/80）。
2. 诱骗钓鱼：通过伪装成内部 IT 支持邮件，诱导目标用户点击并登录 Zammad，期间使用 MITM 截获 Session Cookie。
3. 会话劫持：利用窃取的 Cookie，攻击者发送恶意 API 请求，执行 RCE，上传 webshell。
4. 本地提权：攻击者在服务器上创建恶意二进制，放置于 /tmp/zammad_tmp/，利用缺陷的 Supervisor 脚本触发 setuid root 执行。
5. 持久化：植入系统服务 systemd 单元，实现开机自启。

4. 影响评估

• 业务中断：客服系统被攻陷后，所有工单处理被阻断，客户满意度急剧下降。
• 数据泄露：攻击者可导出用户个人信息、内部技术文档、财务报表等敏感数据。
• 合规风险：若涉及个人信息，企业将面临《个人信息保护法》及 GDPR 等监管处罚。
• 声誉损失：公开的安全事件会导致合作伙伴、客户对品牌信任度大幅下降。

5. 防御失误与教训

失误点	具体表现	对策
缺乏安全审计	未对第三方开源组件进行定期安全审计和漏洞扫描	引入 SAST/DAST 工具，制定开源组件白名单
会话管理薄弱	Session ID 可预测，缺少 SameSite/HttpOnly 标记	加固 Cookie 属性、使用 JWT 且短生命周期
特权最小化不足	Supervisor 脚本运行在高权限账户下且目录可写	使用 Least Privilege 原则，锁定工作目录权限
监控告警缺失	未对异常 API 调用、任务调度进行实时告警	部署基于行为分析（UEBA）的安全监控平台
培训不到位	员工对钓鱼邮件识别能力不足	持续进行安全意识培训，模拟钓鱼演练

---

案例二：全球制造业勒索狂潮——“黑曜石”病毒的横空出世

1. 事件概述

• 时间节点：2026 年 9 月中旬，多个国家的制造业企业相继报告系统被 “黑曜石”（Obsidian） 勒索软件加密。
• 攻击规模：据 IDC 统计，受影响企业超过 1,200 家，累计损失超过 12.3 亿美元。
• 传播渠道：攻击者利用 Supply Chain Attack（供应链攻击）以及 零日漏洞（如 Windows LPE）植入后门，在内部网络横向移动。

2. 攻击路径解析

1. 供应链植入：攻击者先入侵一家为多家制造企业提供 ERP 软件更新的第三方供应商，伪造软件更新包，植入 Obsidian 载荷。
2. 内部渗透：受感染的 ERP 客户端在企业内部网络自动执行，利用已知的 SMBv1 EternalBlue 漏洞进行横向传播。
3. 凭证抓取：通过 Mimikatz 抓取域管理员（Domain Admin）凭证，提升到整个域控制器的权限。
4. 加密执行：利用 AES‑256 加密算法，对关键业务数据库、CAD 设计文件、生产线控制系统（PLC）配置文件进行批量加密。
5. 勒索索要：攻击者在每台机器上留下 .obsi 扩展名的勒索信，要求比特币支付，并威胁公开企业核心技术图纸。

3. 影响深度

• 生产线停摆：PLC 配置被加密后，自动化生产线无法启动，导致订单延迟、违约金激增。
• 知识产权泄露：部分受害企业在付费解密后，发现攻击者已经将加密前的 CAD 文件泄露至暗网。
• 供应链连锁：一家公司受损导致其下游供应商无法交付原材料，形成 “蝴蝶效应”。
• 法律责任：部分企业因未及时通报而违反 《网络安全法》 第 28 条的报告义务，面临行政罚款。

4. 关键失误与防御建议

失误点	具体表现	对策
供应链安全薄弱	第三方 ERP 更新缺乏代码签名验证	强制使用 代码签名、实施 供应链安全评估（SCSA）
漏洞管理滞后	未及时修补 EternalBlue、PrintNightmare 等已公开漏洞	建立 漏洞修补自动化 流程，30 天内完成 CVE 关键补丁
账号权限失控	域管理员账号未实行 MFA，密码策略宽松	强制 MFA、最小化特权账号使用、定期轮换密码
备份与恢复缺失	关键业务系统未做离线、版本化备份	实施 3-2-1 备份（现场、异地、离线）并定期演练恢复
安全监控不足	未能及时捕捉异常的大规模文件加密行为	部署 文件完整性监控（FIM）、行为分析（UEBA）系统

5. 启示

• 供应链安全是全局安全的基石。即使内部防护再严密，外部供应商“一颗螺丝钉”松动，也能导致跨企业的连锁攻击。
• 零日防御需要多层次防护：资产清单、威胁情报、行为分析、沙箱等手段缺一不可。
• 备份即是最好的保险：没有可靠的离线备份，勒索软件的威胁将演变为不可逆的灾难。

---

数字化、无人化、信息化：新时代的安全挑战与机遇

1. 环境特征

特征	含义	带来的安全新挑战
数字化	业务流程、数据、服务均通过数字平台交付	数据泄露、API 滥用、云配置错误
无人化	机器人、无人车、无人机在生产、物流中使用	物理层面被攻击、控制指令篡改、设备僵尸网络
信息化	大数据、AI、机器学习模型深入业务决策	模型投毒、算法偏见、隐私推断攻击

在这三大趋势的交叉点上，攻击面呈指数级增长，而 防御成本却相对有限。企业若不提前布局，往往在安全事件爆发后才被迫进行“事后补丁”，费用、声誉、合规成本都将成几何倍数增长。

2. 安全体系的四大支柱

1. 资产可视化：利用 CMDB、 Auto‑Discovery 技术，建立全网资产图谱，涵盖服务器、容器、IoT 设备、机器人。
2. 零信任架构（Zero Trust）：所有请求默认不可信，实施 身份验证、细粒度授权、持续监控。
3. 统一威胁情报：融合国内外 OT、IT 威胁情报平台，实时更新 IOCs、TTPs，实现快速情报驱动响应。
4. 安全培训与演练：把 技术手段 与 人因因素 同等重要，定期开展 红蓝对抗、钓鱼演练、业务连续性（BCP）演练。

---

邀请函：让每位员工成为信息安全的“第一防线”

亲爱的同事们，
随着公司业务向 云原生、自动化、智能化 的深度转型，信息安全已经不再是 “IT 部门的事”，而是 每个人的职责。只有全员筑墙，才能让黑客的每一次尝试都止步于门外。

1. 培训目标

目标	关键成果
提升安全意识	能识别钓鱼邮件、恶意链接、社交工程手段
掌握基础防护	正确使用密码管理器、MFA、终端安全防护
懂得应急响应	知晓报告流程、现场隔离、日志保全要点
了解合规要求	熟悉《网络安全法》、ISO27001、GDPR 的基本条款

2. 培训形式

形式	内容	时长	备注
线上微课	30 分钟精讲，涵盖网络、主机、应用安全	30 min/周	可随时回放
案例研讨会	现场复盘 Zammad 漏洞、Obsidian 勒索案例	90 min	互动问答
实战演练	红蓝对抗、模拟钓鱼、应急处置演练	2 小时	结业证书
知识竞赛	用游戏化方式巩固所学	30 min	奖品激励

3. 参与方式

• 报名入口：公司内部门户 → “学习与发展” → “信息安全意识培训”。
• 筛选分组：根据岗位风险等级（IT、研发、财务、客服）分层次推送不同难度的内容。
• 激励机制：完成全部课程并通过最终测评的同事，将获得 “信息安全卫士” 电子徽章，年度评优加分，且可参与公司安全专项奖金抽奖。

4. 培训收益

1. 个人层面：提升个人网络安全防护能力，避免因个人失误导致的职业风险。
2. 团队层面：加强跨部门协作，形成安全事件快速响应链路。
3. 组织层面：降低安全事件概率，提升合规评分，避免高额罚款。
4. 行业层面：树立企业在数字化转型中的安全标杆形象，提升市场竞争力。

5. 行动呼吁

“安全不是终点，而是持续的旅程。”
正如《孙子兵法》云：“上兵伐谋，其次伐交，其次伐兵，其下攻城。”在信息安全的世界里，谋（策略）是最关键的防线，而 人（员工）则是最重要的“兵”。请大家抽出一点时间，投入到这场看得见、摸得着、能落地的安全训练中，让我们共同筑起 “技术+人因” 的双层防御，确保公司在数字化浪潮中稳健前行。

---

结语：从案例中学习，从培训中进步

• 案例提醒：Zammad 漏洞展示了开源组件的隐蔽风险；Obsidian 勒索攻击凸显了供应链安全的全局重要性。
• 趋势洞察：无人化、数字化、信息化的深度融合，使攻击面更加多元、复杂。
• 行动指南：通过系统化的安全培训，让每位员工都能在日常工作中做到 “疑则问、问则查、查则改”。
• 共同使命：保护企业资产、维护用户信任、履行社会责任，这不仅是 IT 部门的职责，更是全体员工的共同使命。

让我们在即将开启的安全意识培训中，以案例为镜，以知识为剑，携手共建 零容忍 的信息安全生态。安全，从你我开始！

信息安全意识培训——点燃安全文化，点亮未来。

在昆明亭长朗然科技有限公司，信息保护和合规意识是同等重要的两个方面。我们通过提供一站式服务来帮助客户在这两方面取得平衡并实现最优化表现。如果您需要相关培训或咨询，欢迎与我们联系。

• 电话：0871-67122372
• 微信、手机：18206751343
• 邮件：info＠securemymind.com
• QQ: 1767022898

---

一、头脑风暴：三幕惊心动魄的安全事件

在信息化、数据化、智能体化高速交叉融合的今天，网络安全的“戏码”每天都在上演。为了让大家在沉浸式的故事中体会风险、洞悉防御，我们先抛出三幕典型且具深刻教育意义的案例，供大家脑洞大开、共鸣思考。

案例一：“开门迎客”——Gitea RCE 漏洞的致命敲门

2026 年 8 月，一则来自美国网络安全与基础设施安全局（CISA）的通报点燃了业界的警钟——Gitea （开源 Git 服务）在其 diffpatch 接口中存在严重的远程代码执行（RCE）漏洞（CVE‑2026‑60004，CVSS 9.8）。攻击者仅需在默认开启的“开放注册”模式下注册账号，创建仓库，便可向 diffpatch 端点提交恶意补丁，植入可执行的 Git hook，最终以 Gitea 运行用户的身份执行任意 Shell 命令。

关键要点：
1. 最小权限误区：写入仓库的权限在很多组织被视为“低危”，实则可直接触发系统级命令。
2. 默认配置的陷阱：开放注册是便利性的象征，却无形中为威胁者提供了“随手可得的钥匙”。
3. 链式攻击：漏洞被用于下载和运行加密货币矿工，导致服务器 CPU 占用 70% 以上，业务受阻。

这起案件让我们明白——凡是可以被“写入”的，都可能被写成“攻击代码”。只要系统的安全边界没有被严密划定，攻击者就能从最平凡的入口渗透。

案例二：“星光不再”——GitLab GraphQL 漏洞的连环炸弹

仅在同一月份，另一则头条揭露了 GitLab（另一个流行的 Git 平台）公开的 GraphQL 接口漏洞（CVE‑2026‑58231），攻击者利用未授权的 GraphQL 查询直接删除公开项目，导致成千上万的代码仓库瞬间化为“星光消散”。该漏洞同样因默认的 public 权限设置被放大，攻击者无需任何凭证即可遍历、修改乃至毁掉项目。

关键要素：
1. API 失控：GraphQL 的强大查询能力如果缺乏访问控制，将成为攻击者手中的“万能钥匙”。
2. 版本更新的误区：部分团队认为仅需在大版本升级时关注安全公告，忽视了细粒度的功能权限审计。
3. 灾难恢复的薄弱：受影响组织往往缺乏完整的代码备份与快速回滚机制，导致业务恢复成本高企。

此案提醒我们，安全不仅是“防止被侵入”，更是“即使被侵入，也能快速自救”。

案例三：“暗网的马戏团”——Evooo1Bot Linux Botnet 利用已知漏洞打造 SOCKS5 代理网络

在同一周的安全周报中，研究团队披露了 Evooo1Bot 疯狂利用已公开的 CVE‑2026‑60004（Gitea RCE）以及其他已知漏洞，织造起覆盖全球数万台 Edge 设备的 SOCKS5 代理网络。攻击者通过植入后门，将受害设备转换为匿名转发节点，为黑客提供“暗网”级别的匿名流量通道，进而进行网络钓鱼、勒索软件传播等二次攻击。

核心警示：
1. 横向渗透链：一次漏洞利用可能链式触发多种攻击行为，从挖矿到代理，再到信息窃取。
2. 设备管理的缺失：IoT 与 Edge 设备往往缺乏统一管理与安全加固，成为攻击者的“肥肉”。
3. 供应链安全的盲点：攻击者利用开源项目和第三方组件的升级延迟，构建起“马戏团”式的持续作战平台。

---

二、案例深度剖析：从技术细节到组织治理

1. 漏洞根源——功能设计的安全缺口

• diffpatch 接口的信任模型失效
  Gitea 设计初衷是让用户通过 diffpatch 轻松提交代码差异，实现协作便利。然而，系统默认把来自仓库的内容视为可信，未对提交的脚本进行沙箱化或签名校验。攻击者只要提交一个包含恶意 shell 命令的 Git hook，即可在服务端执行任意指令。这是“信任模型”与“最小化特权”原则的典型冲突。

• GraphQL 查询的缺乏粒度控制
  GitLab 的 GraphQL 接口在设计时忽略了对查询深度、返回字段的限制，导致攻击者可以一次请求获取或修改大量敏感信息。OWASP API Security Top 10 中的 “API4：过度授权” 明确指出，此类缺陷往往在功能迭代中被忽视。

• Edge 设备的固件更新滞后
  Evooo1Bot 的成功利用正是因为大量 Edge 设备未及时更新固件，缺少安全补丁。根据 NIST SP 800‑161，嵌入式设备的生命周期管理是供应链安全的关键环节。

2. 风险链条——从入口到业务影响的全链路

阶段	行为	影响	对策
入口	开放注册、默认公开项目	攻击者获取写权限/访问权限	关闭不必要的开放注册，开启邮件验证或管理员审批
利用	通过 diffpatch 或 GraphQL 提交恶意请求	执行 RCE、删除项目、植入后门	输入过滤、参数化、沙箱执行，审计 API 调用
横向	下载矿工/代理脚本，利用已感染的节点进行进一步攻击	资源耗尽、匿名流量、二次渗透	网络分段、流量异常监控，限制外部下载
后果	CPU 持续高占用、业务中断、数据丢失	运营成本上升、企业声誉受损	制定灾备计划、定期备份、快速回滚
恢复	清理恶意进程、修补漏洞、恢复业务	需要时间与人力	安全运营中心（SOC）应具备事件响应成熟度（Maturity Level 3+）

3. 组织治理失误——制度与技术的失衡

• 安全意识薄弱：很多组织对“开源即安全”的误解，使得对开源项目的安全审计流于形式。正如《孙子兵法》云：“兵贵神速”，安全防御也应在漏洞公布之时即刻响应。

• 缺乏安全需求的“安全左移”：在软件开发生命周期（SDLC）中，安全测试往往被推迟到上线后才进行，导致漏洞在生产环境中被利用。DevSecOps 的理念是将安全嵌入每一次代码提交、每一次 CI/CD 流程。

• 供应链安全治理不足：Open‑Source Software (OSS) 的使用比例已超过 80%，但对其安全风险的管理仍是薄弱环节。SLSA（Supply‑Chain Levels for Software Artifacts） 提供了从构建到发布的分层防御模型，值得组织借鉴。

---

三、信息化、数据化、智能体化融合下的安全新形势

1. 信息化：业务全景数字化带来的攻击面扩大

在数字化转型的浪潮中，企业将内部业务、客户关系、供应链管理等全部搬到云端或混合平台。每一个微服务、每一次 API 调用，都可能成为攻击者的入口。“零信任（Zero Trust）” 的核心原则——“不信任任何默认网络”，正是应对信息化风险的根本策略。

2. 数据化：大数据与机器学习的双刃剑

大数据平台能够实现业务洞察、精准营销，却也让海量敏感信息处于聚焦状态。若数据湖（Data Lake）未加密、访问控制不严，一旦被侵入，攻击者可以一次性窃取数千万条记录。GDPR、个人信息保护法（PIPL） 明确了数据泄露的高额罚款，提醒我们必须在数据层面实施端到端加密、细粒度访问审计。

3. 智能体化：AI 助力防御亦可能为攻击提供加速器

OpenAI、Claude、Gemini 等大模型正在被安全团队用于恶意流量检测、威胁情报分析。然而，攻击者同样在利用生成式 AI 快速编写 0‑Day PoC、自动化社会工程。在 “攻防同体” 的时代，“AI 防御+AI 攻击” 的赛跑变得越发激烈。

---

四、号召：携手开启信息安全意识培训，共筑防御堤坝

1. 培训的核心价值

• 认知提升：让每位职工了解最新的攻击手法（如 Gitea RCE、GitLab GraphQL 漏洞、Evooo1Bot Botnet），形成“危机感”。
• 技能赋能：通过实战演练（如渗透测试模拟、事件响应演练），提升员工发现异常、快速定位的能力。
• 文化沉淀：将安全理念渗透到日常业务流程，形成“安全第一、合规随行”的组织文化。

正如《礼记·大学》所言：“格物致知”，只有在不断“格物—即认识风险”、并“致知—即转化为能力”之后，企业才能真正实现“止于至善”。

2. 培训计划概览（即将开启）

时间	主题	目标受众	关键内容
第一期（10 月）	“从漏洞到防御”：案例驱动的安全思维	全体技术人员、产品经理	漏洞生命周期、漏洞管理平台（VulnDB）使用、快速补丁滚动
第二期（11 月）	“零信任实战”：网络边界的重新定义	运维、网络安全团队	微分段、身份即属性（Attribute‑Based Access Control）、SSO 与 MFA
第三期（12 月）	“AI 时代的安全攻防”：智能体化防御	全体员工	AI 生成式攻击演示、AI 辅助 SOC、数据隐私合规
第四期（次年1月）	“应急响应与灾备演练”：从发现到恢复	高层管理、业务部门	事件报告流程、取证要点、业务连续性（BCP）演练

每期培训均采用 “案例 + 现场实验 + 互动问答” 的混合模式，确保知识点既有深度，又能落地。培训结束后，将提供《信息安全实战手册》电子版，供大家随时查阅。

3. 参训激励与考核机制

• 积分制：完成每节课后可获得相应积分，累计积分可兑换公司内部学习资源或小额奖励。
• 安全彩虹徽章：通过安全知识测评（满分 100 分）后将授予“安全彩虹徽章”，并在公司内部系统中展示，提升个人品牌价值。
• 年度安全之星：在全年安全事件响应、漏洞报告、风险评估等方面表现突出的员工，将获得“年度安全之星”荣誉，并有机会参与公司安全治理委员会。

“授人以鱼不如授人以渔”——我们期待每位同事不仅能识别威胁，更能主动“筑墙”。在信息化浪潮中，安全是每个人的职责，而非安全部门的专利。

4. 行动指南：从现在开始的三步走

1. 自查：检查本部门使用的开源组件、注册策略、API 权限，确认是否存在“开放注册”“默认公开”等风险点。
2. 报告：若发现异常或潜在漏洞，请在 安全平台（Ticket ID） 中提交工单，标注 “安全自查”。
3. 报名：登录公司内部培训系统（链接见公司门户），选择您感兴趣的培训场次，完成报名。

正如《孙子兵法·谋攻篇》：“兵贵神速”，在安全领域，同样要“先声夺人”。立即行动，让我们在攻防的棋局中占据主动！

---

五、结语：让安全意识随“云端”升腾，让防御思维成为组织基因

从 Gitea RCE 的“写即执行”，到 GitLab GraphQL 的“一键删除”，再到 Evooo1Bot 的“Botnet 供给链”，每一起案例都在提醒我们：安全是细节的堆砌，是制度的自省，更是每个人的自觉。

在信息化、数据化、智能体化融合的新时代，我们每一次点击、每一次代码提交、每一次系统配置，都可能是安全防线的加固或破口。让我们共同学习、共同实践，借助即将开展的安全意识培训，将风险识别能力转化为企业竞争力的护盾。

让每位同事都成为安全的守门人，让每一次服务都在可信赖的基础上绽放光彩！

安全不是终点，而是持续的旅程。携手同行，方能在数字浪潮中乘风破浪，安全相随。

在数据安全日益重要的今天，昆明亭长朗然科技有限公司致力于为企业提供全面的信息安全、保密及合规解决方案。我们专注于提升员工的安全意识，帮助企业有效应对各种安全威胁。我们的产品和服务包括定制化培训课程、安全意识宣教活动、数据安全评估等。如果您正在寻找专业的安全意识宣教服务，请不要犹豫，立即联系我们，我们将为您量身定制最合适的解决方案。

• 电话：0871-67122372
• 微信、手机：18206751343
• 邮件：info＠securemymind.com
• QQ: 1767022898