2026年1月关键安全漏洞与威胁态势分析

威胁情报动态：2026年1月

该威胁情报单位包含一个由威胁研究员和数据科学家组成的全球团队，结合数据分析和机器学习（ML）领域的专有技术，分析着全球规模最大、最多样化的威胁数据集合之一。研究团队提供战术威胁情报，为弹性的威胁检测与响应提供动力——即使组织的攻击面在扩大、技术在演进、对手在改变其战术、技术和程序。

本次更新提供最新的威胁动态，包括某中心平台检测规则的最新更新，以及在某中心威胁情报交换平台上发布的新威胁情报，该平台是全球最大的开源威胁情报共享社区之一。

某中心威胁情报动态

MongoBleed：正被主动利用的关键MongoDB漏洞

2025年12月19日，一个存在于MongoDB中的严重漏洞被披露，该漏洞被称为MongoBleed（CVE-2025-14847），影响了大多数MongoDB部署。该漏洞的CVSSv4评分为8.7，允许未经身份验证的攻击者泄露未初始化的堆内存，从而暴露密码和API密钥等敏感数据。公开的漏洞利用程序于12月25日出现，截至12月28日，已确认存在广泛的利用活动。尽管进行了紧急修补，但12月30日的扫描显示，仍有近70%可公开访问的实例存在漏洞，导致数千家组织面临风险。目前有超过30万台面向互联网的MongoDB服务器，且利用活动正在进行中，风险是直接且重大的。

MongoBleed影响从4.4到8.2的版本，补丁已在8.2.3、8.0.17、7.0.28、6.0.27、5.0.32和4.4.30版本中提供。建议组织立即升级或应用临时缓解措施，例如禁用zlib压缩请求并强制执行严格的网络分段（从互联网屏蔽TCP/27017端口）。除了打补丁外，检测和响应也至关重要：取证指标包括通过db.serverStatus().asserts和FTDC遥测数据发现用户断言激增。

React2Shell（CVE-2025-55182）：React.js中正被积极利用的严重RCE漏洞

2025年12月3日，React Server Components中披露了一个严重的未经身份验证的远程代码执行漏洞CVE-2025-55182（React2Shell），其CVSS v3评分为10.0，CVSS v4评分为9.3。该漏洞最初由研究人员报告，允许攻击者通过单个HTTP请求执行任意代码，影响了Next.js等流行框架。几天之内，就观察到了广泛的利用活动，参与者包括网络犯罪团伙和疑似间谍组织。已知的攻击活动会部署如MINOCAT、SNOWLIGHT、HISONIC和COMPOOD等恶意软件家族，以及XMRIG加密货币挖矿程序。地下论坛迅速流传漏洞概念验证代码和扫描工具，推动了快速武器化，包括内存中的Next.js Web Shell和经过Unicode混淆的载荷。

React2Shell影响react-server-dom-webpack、react-server-dom-parcel和react-server-dom-turbopack软件包，涉及版本19.0、19.1.0、19.1.1和19.2.0。组织必须立即修补到19.0.1、19.1.2或19.2.1（或更高版本）以防止RCE，并应用后续补丁（19.2.2–19.2.3）以解决相关漏洞（CVE-2025-55183、CVE-2025-55184、CVE-2025-67779）。额外的缓解措施包括部署WAF规则、审计依赖项中是否存在易受攻击的组件，以及监控入侵指标，例如隐藏目录（$HOME/.systemd-utils）、恶意Shell注入和未经授权的持久化机制。

跟踪、检测与狩猎能力

团队创建了以下威胁追踪器，用于自动识别和检测部署的恶意基础设施：VenomRat、NanoCore、Amadey和Vidar。

团队已将以下恶意软件/威胁行为者确定为12月期间最活跃的。

图1. 2025年12月恶意软件趋势。

针对其跟踪的不同家族，追踪器已识别出超过16,353个新的IOC。12月期间最繁忙的追踪器包括：

图2. 2025年12月来自追踪器的新IOC。

平台检测能力改进

12月，我们添加或更新了15条某中心平台的检测规则。以下是团队开发的一些改进和新元素的示例：

• 新增检测在Office工具中使用procdump以及滥用Azure Azcopy外泄数据的规则。
• 改进了某中心平台的规则，以识别来自消费级VPN创建的收件箱规则或识别可疑用户代理。

威胁情报交换平台

某中心威胁情报交换平台是全球最大的开源威胁情报共享社区之一，由来自全球140个国家的330,000名威胁研究员组成，他们每天在平台上发布威胁信息。该中心团队负责验证、分析和丰富这些威胁情报。平台成员受益于集体研究，可以贡献内容、分析威胁、创建公共和私有的威胁情报共享组等。

新的威胁情报脉冲

团队持续基于其研究和发现，在该平台上发布新的“脉冲”。脉冲是关于威胁、威胁行为者、攻击活动等的可交互和可研究的信息库，其中包括对成员有用的入侵指标（IoC）。12月，实验室团队创建了90个新的脉冲，覆盖了最新的威胁和攻击活动。以下是一些相关新脉冲的示例：

• Shai-Hulud V2对NPM供应链构成风险
• 防御React Server Components中的CVE-2025-55182（React2Shell）漏洞
• HoneyMyte APT现在使用内核模式Rootkit保护恶意软件
• 检测到规避型SideWinder APT攻击活动FINISHED