Supabase设置过失致超1.6万数据库袒露

宣布时间 2026-09-30

1. Supabase设置过失致超1.6万数据库袒露


9月28日，研究职员发明，凌驾1.6万个设置过失的Supabase数据库保存数据袒露危害，部分数据库可直接读取包括小我私家身份信息（PII）、密码或身份验证令牌的表。网络危害管理公司UpGuard对约30万个显示使用Supabase迹象的域名举行剖析后发明，凌驾一半的袒露数据库包括PII，少部分涉及密码和身份验证令牌，信用卡数据仅占极小部分。典范案例包括美国代客泊车服务公司泄露凌驾10万条客户纪录，加拿大移民局近5000条用户纪录中包括884条明文密码，印度某成人内容创作平台袒露敏感身份及支付信息，菲律宾某OTP服务泄露2000多名用户和10万条短信，非洲某政府领事馆则袒露约2.5万人的地址及紧迫住房所在。UpGuard以为，相关危害主要与应用程序清静设置不当有关，包括缺少或无效的行级清静战略以及公钥使用不当。Supabase作为基于PostgreSQL的开发平台，近年来受到人工智能辅助开发者欢迎，AI辅助开发占新建设数据库的60%以上，但研究职员强调，扫描效果无法证实所有受影响网站均由AI编码代理建设。


https://www.bleepingcomputer.com/news/security/misconfigured-supabase-apps-expose-data-in-over-16-000-databases/


2. Lockster使用Magento误差攻击超3800家网店


9月28日，威胁行为者Lockster使用Magento和Adobe Commerce严重零日误差，对至少3834家在线市肆实验入侵，攻击规模涵盖法国、德国及北欧等地的零售、汽车及电脑硬件等行业。攻击者通过未授权远程代码执行误差获取服务器root权限，植入信用卡盗刷器及多种后门，窃取支付网关私钥、管理员凭证及客户信息。多态窃取器可从结账页面网络银行卡号、CVV/CVC、有用期、姓名、地址、电话、邮箱等支付及小我私家信息，攻击者还可能使用商户支付网关密钥实验诓骗或获取支付纪录。袒露的攻击服务器存有3834个网站的被盗数据、恶意工具及组件，相关市肆2026年至少处置惩罚约200万份订单，但现实被盗信用卡数目尚不明确。Lockster还通过伪装系统历程、SSH账户和Magento管理员账户建设多重长期化机制，并接纳步伐阻止其他攻击者获取已入侵服务器。其基础设施及工具与此前披露的StyleSmuggler误差使用指标保存重叠。Adobe已宣布紧迫热修复程序，但研究职员建议相关商户将系统按已遭入侵处置惩罚，检查入侵指标，扫除后门和盗刷器，并周全重置密钥、审核系统及管理员账户，以降低一连数据泄露和支付诓骗危害。


https://cybernews.com/security/magento-stylesmuggler-mass-hacking-campaign-by-lockster/


3. 法国税务系统遭入侵致超60万数据受影响


9月29日，攻击者6月至7月使用窃取的法国税务管理机构DGFIP事情职员账户密码，通过PIGP、ADER等门户进入相关税务应用，获取凌驾35万名小我私家和25万家企业的税务数据，尚有近43.5万户家庭土地挂号数据可能受到影响。涉事小我私家数据包括税务识又名、联系方法、家庭状态、参考应税收入、预扣税率及与DGFIP通讯纪录，企业数据涉及公司名称、SIREN注册号和地址等。视察显示，攻击者可能通过信息窃取恶意软件获取员工密码，并使用政府网络隔离不完善，从被攻破的教育部系统进入RIE后会见DGFIP应用；另一条路径则通过受影响的土地丈量员装备绕过一次性验证码进入APEX系统。法国国家网络清静局ANSSI指出，此次事务袒露出登录�；け∪酢⑼绺衾肴狈图嗫亓植蝗任侍�。虽然清静运营中心多次发明异常账户运动并重置密码，但未实时终止攻击者在其他门户的有用会话，且缺乏对ADER的监控，夜间会见、异常泉源及大规模数据传输等信号也未被有用关联，导致数据一连被自动化抓取。


https://thehackernews.com/2026/09/french-tax-data-theft-using-stolen.html


4. 美国国防人力数据中心超300万人信息泄露


9月29日，美国国防部人力数据中心（DMDC）7月发明文件共享系统保存清静误差，视察显示，2025年10月至2026年7月时代，未经授权用户一连会见相关服务器约9个月，导致存储的未加密小我私家信息遭到泄露。此次事务据称影响276万名在世职员和29.4万名已故职员。DMDC认真维护美国国防部人事档案，相关数据涉及武士、文职职员、承包商、眷属、退休职员和退伍武士等群体。受影响信息因小我私家情形差别而有所差别，包括社会清静号码（SSN）、姓名、出生日期、联系方法、性别、种族及兵役信息等敏感身份信息。DMDC体现，发明误差后连忙修复文件共享系统并启动隐私和网络清静事务响应流程，现在正在评估受影响系统并接纳清静加固步伐�；股形捶⒚饔型绶阜ㄗ橹嫒狭齑舜喂セ�。为降低小我私家信息遭滥用危害，DMDC通过第三方机构为受影响职员提供12个月免费信用监控服务。


https://securityaffairs.com/200017/uncategorized/three-million-affected-in-pentagon-personnel-agency-data-breach.html


5. 苹果修复遭定向攻击使用的iOS零日误差


9月29日，苹果宣布清静更新，修复CoreGraphics中的高危越界写入误差CVE-2026-86950。该误差可被恶意结构文件触发，导致程序瓦解、数据破损，严重情形下可能实现恣意代码执行。苹果体现，已有报告显示该误差被用于针对iOS 27之前版本用户的高度重大、定向攻击。误差影响规模较广，涉及iPhone 11及更新机型，以及多款iPad和运行macOS Sequoia 15.8.1、macOS Tahoe 26.7.1的Mac装备。苹果已通过刷新界线检查修复误差，并建议相关用户实时装置清静更新，以降低遭受一连攻击的危害。此次误差是苹果2026年以来修复的第二个被现实使用的零日误差，此前CVE-2026-20700动态链接编辑器误差也曾被用于定向攻击。别的，苹果此前还修复过涉及蓝牙窃听、网络特工运动和加密钱币偷窃等攻击的多个误差。


https://www.bleepingcomputer.com/news/security/apple-patches-coregraphics-zero-day-flaw-exploited-in-attacks/


6. 新型Spectre变种影响英特尔等主流CPU


9月29日，荷兰阿姆斯特丹自由大学VUSec小组与意大利圣安娜高等学院研究职员披露新型Spectre v2攻击变种“分支目的重用”（BTR），在Intel、AMD和Arm处置惩罚器上均验证了相关行为。该攻击使用CPU分支展望器与现实内存代码差别步的问题，针对操作系统内核、浏览器及JIT编译器等组件，在攻击者能够运行代码的情形下，可从内存中窃取敏感数据。研究职员已针对Linux内核开滥觞到端误差使用程序，在现代Intel CPU上纵然系统已更新并启用默认清静步伐，仍可从内存中提取数据，并演示获取root密码哈希值。在Firefox中，研究职员验证了恶意网站使用SpiderMonkey中遗留分支展望条目举行数据泄露的可行性，但尚未形成完整浏览器误差使用；GraalVM也保存潜在危害。研究职员以为，现有硬件控制流�；せ扑淇稍鎏硎褂媚讯�，但无法完全消除危害。相关芯片厂商和软件开发者已获转达，Linux内核已引入基于IBPB的缓解步伐，Oracle推出部分缓解计划，Mozilla则优先推进网站隔离。AMD体现相关手艺可通过现有Spectre v2防护步伐缓解，Intel和Arm尚未回应。


https://www.securityweek.com/new-spectre-v2-variant-exposes-intel-amd-arm-cpus-to-data-leaks/