▸丹麦全国公民身份数据全部泄露，攻击者利用合法访问权限获取CPR编号等敏感信息

▸CNCERT发布风险提示：恶意软件“荐片播放器”内置后门大规模传播

▸Handlebars.js曝远程代码执行漏洞，攻击者无需认证即可执行任意命令

▸数百万用户手机收到黑客勒索通知，某上市公司股价闪崩逾10%

▸央行酝酿征信数据库管理办法，六种代理征信投诉行为不予受理

📋

监管动态

2条

央行酝酿征信数据库管理办法 对六种代理征信投诉行为不予受理 政策

中国人民银行公布《金融信用信息基础数据库管理办法（征求意见稿）》，在现行3号令基础上进一步规范金融信用信息基础数据库业务。监管范围从银行扩展到其他提供信贷业务的机构，同时将企业征信纳入数据库。征求意见稿明确对六种代理征信投诉行为不予受理，旨在遏制恶意投诉和代理维权乱象。

📎 财新 · 2026-10-09

国家网信办就未成年人健康安全使用网络规定公开征求意见 政策

国家互联网信息办公室发布《国务院关于保障未成年人健康安全使用网络的规定（征求意见稿）》公开征求意见的通知。该规定旨在加强未成年人网络保护，保障其健康安全使用网络，涉及网络内容管理、防沉迷措施、个人信息保护等多方面内容。

📎 国家网信办 · 2026-10-09

🚨

安全事件

4条

丹麦全国公民身份数据全部泄露：因人口系统遭异常访问 紧急

攻击者利用一家未公开名称的丹麦国内企业对丹麦中央个人登记系统（CPR）的合法访问权限，获取了姓名、地址和CPR编号等信息。CPR编号大致相当于美国的社会保障号码和中国的身份证号。政府已在CPR系统中采取进一步安全措施，并呼吁民众对未经请求的通信保持警惕。

📎 安全内参 · 2026-10-08

数百万用户手机收到黑客勒索通知，一上市公司股价闪崩逾10% 高

黑客组织Xuanye Group通过Telegram频道发布勒索通知，涉及数百万用户手机。该组织声称对ASOS事件负责，但表示支付信息未受影响。受此消息影响，某上市公司股价闪崩逾10%。该组织提醒用户谨防冒名账号，并设有备用频道以防主频道被删除。

📎 安全内参 · 2026-10-09

CNCERT：关于内置后门功能的恶意软件“荐片播放器”大规模传播的风险提示 紧急

CNCERT发布风险提示，恶意软件“荐片播放器”内置后门功能并大规模传播。该软件包含启动器、核心业务库、脚本下发执行模块等多个组件，具备配置拉取、静默下载执行、指纹采集、剪贴板劫持、广告弹窗、内嵌浏览器接口等恶意功能。部分模块无数字签名，文件时间戳为全F填充的无效值，并使用BlackBone注入技术。

📎 安全内参 · 2026-10-09

被OpenAI解雇后，三名安全研究员联名公开信曝光内幕 中

OpenAI宣布解雇三名员工，理由是内部调查发现三人违反公司关于敏感信息访问与处理的规定，涉嫌在既定程序之外向第三方AI安全评估组织分享机密信息。三人分别从事模型对齐、AI安全研究及外部安全评估机构技术沟通工作。三人随后联名发表公开信曝光内幕。

📎 安全内参 · 2026-10-09

🔓

漏洞预警

2条

Handlebars.js validateAstNode原型链绕过远程代码执行漏洞(CVE-2026-106446) 高

Handlebars.js validateAstNode存在原型链绕过远程代码执行漏洞。攻击者无需认证即可绕过上游安全校验后在渲染进程中执行任意命令，导致服务器失陷；容器场景可导致容器被完全控制。Handlebars是一款广泛使用的开源JavaScript语义模板引擎，支持服务端和客户端渲染。

📎 安全内参 · 2026-10-09

针对SCRM客户端的供应链攻击：官方公告接口+RCE组合利用 高

奇安信威胁情报发现针对SCRM客户端的供应链攻击，攻击者疑似使用官方公告接口供应链+RCE组合的利用方式对特定目标下发CrossHatch特马。审计发现SCRM安装包未内置恶意代码，大概率通过云端下发。对ASAR进行漏洞挖掘后发现两个能够RCE的接口。被替换的安装包为自解压文件，包含正常安装包和恶意Dropper。

📎 奇安信威胁情报 · 2026-10-09

⚠️

风险提示

2条

Agent安全的四维威胁地图：32类风险、13个待解问题 中

研究揭示AI Agent面临四维威胁地图，涵盖32类风险、13个待解问题。一次攻击可能从网页中的外部信息进入Agent，首先干扰推理，随后污染长期记忆；几天后记忆被重新读取，改变Agent计划，最终触发未经授权的工具调用。提示注入、记忆投毒、工具攻击等标签只能描述其中一部分风险。

📎 安全内参 · 2026-10-08

人工智能系统安全风险评估与持续治理 中

长亭科技与电子科技大学专家联合撰文分析AI系统安全风险。传统技术栈漏洞与配置风险向AI系统传导，AI系统的机密性、完整性和可用性仍可能被传统软件漏洞、接口权限和基础设施问题所影响。文章提出需要建立AI系统安全风险评估与持续治理机制。

📎 安全内参 · 2026-10-08

✅

安全建议

4条

1

紧急：针对CNCERT发布的“荐片播放器”后门风险提示，建议用户立即检查设备是否安装该软件，如有安装请立即卸载并进行全盘病毒扫描。企业应排查内部终端是否存在该恶意软件，防止剪贴板劫持和静默下载执行造成数据泄露。

2

紧急：Handlebars.js远程代码执行漏洞(CVE-2026-106446)影响广泛，建议使用该模板引擎的开发者和企业立即升级至安全版本，或在WAF层面增加针对原型链绕过的检测规则，防止攻击者无需认证即可执行任意命令导致服务器失陷。

3

重要：丹麦全国公民身份数据泄露事件表明，合法访问权限被滥用可造成大规模数据泄露。建议企业对第三方合作方的系统访问权限实施最小化原则和实时监控，特别是涉及公民身份信息的系统，应部署异常访问行为检测机制。

4

建议：针对央行征信数据库管理办法征求意见稿，涉及信贷业务的机构应提前评估企业征信纳入数据库后的合规要求，梳理代理征信投诉处理流程，避免因六种不予受理情形导致合规风险。