▸GitLab正则表达式编译器曝未授权RCE漏洞(CVE-2026-97229)，CVSS评分极高，攻击者无需凭据即可在服务端执行任意命令

▸挪威监管机构对一广告公司开出史上最大数据泄露罚单，OpenAI的AI模型协助揪出内鬼

▸APP支付乱象迎来强监管，默认月付、诱导分期等行为被重点整治

▸奇安信监测到十余起国产软件供应链攻击事件，涉及BitBrowser及跨境电商SCRM软件

▸银狐木马专项打击行动持续推进，CCTGA公布第六批恶意域名及IP

📋

监管动态

2条

APP支付乱象迎来强监管：默认月付、诱导分期被重点整治 政策

金融监管新规对APP支付界面进行严格规范，要求将储蓄卡、货币基金（余额宝/零钱通）、信贷产品（花呗/白条/月付）及信贷分期进行明确分区展示。新规直指默认月付、诱导分期等长期存在的支付乱象，要求平台不得通过界面设计误导用户使用信贷产品。此举将深刻影响金融与互联网两大行业的支付产品设计与合规策略。

📎 财新 · 2026-10-15

挪威监管机构开出史上最大数据泄露罚单，AI模型协助揪出内鬼 高

挪威数据保护机构对一家广告公司开出该国史上最大金额的数据泄露罚单。该公司泄露了大量用户敏感数据，而协助监管机构顺藤摸瓜揪出内部威胁的，竟然是OpenAI自家的AI模型。此案标志着AI技术在数据安全事件调查中的实战应用取得突破，同时也警示企业需加强内部数据访问管控。

📎 安全内参 · 2026-10-14

🚨

安全事件

3条

GitLab正则表达式编译器未授权远程代码执行漏洞(CVE-2026-97229) 紧急

GitLab曝出未授权远程代码执行漏洞(CVE-2026-97229)。攻击者可借由CI/CD配置处理链路，在无需有效账号凭据的情况下触发漏洞，以运行账户（通常为git）身份执行任意命令。成功利用后可读取/篡改实例内代码与密钥、横向移动并完全控制实例。配合其他暴露面可能造成供应链级连锁影响，建议立即升级修复。

📎 安全内参 · 2026-10-14

国产软件供应链攻击频发：BitBrowser及跨境电商SCRM软件遭高水平攻击 高

奇安信红雨滴团队监测到今年已发生十余起国产软件供应链攻击事件，攻击者涵盖高端黑产与新兴APT组织。其中BitBrowser（国内多为电商客户使用）及配套SCRM软件（用于跨境电商）遭受高水平攻击，各种迹象显示本轮攻击出于经济目的。攻击者通过SNOWLIGHT下载多种payload，Linux平台下针对AI类型服务器通过爆破和漏洞入口启动反弹shell。

📎 奇安信威胁情报 · 2026-10-14

疑似虚拟手机服务商官网安装包遭供应链攻击 高

奇安信威胁情报披露一起疑似针对某虚拟手机服务商官网的供应链攻击事件，代号“猪猪侠”。攻击者通过篡改官网安装包植入恶意代码，影响范围可能覆盖大量下载用户。该事件与近期多起国产软件供应链攻击趋势一致，攻击者正将目标瞄准具有广泛用户基础的软件分发渠道。

📎 奇安信威胁情报 · 2026-10-14

🔓

漏洞预警

1条

GitLab CI/CD配置链路RCE漏洞安全风险通告 紧急

安全内参发布GitLab正则表达式编译器未授权RCE漏洞(CVE-2026-97229)安全风险通告。该漏洞位于CI/CD配置处理链路，攻击者无需有效账号凭据即可在交付阶段触发。漏洞影响GitLab服务端进程，以运行账户身份执行任意命令，可读取/篡改实例内代码与密钥、横向移动并完全控制实例。建议所有GitLab用户立即升级至最新安全版本，并排查CI/CD配置中的异常活动。

📎 安全内参 · 2026-10-14

⚠️

风险提示

1条

“银狐”木马专项打击行动：第六批恶意域名及IP公布 高

中国互联网网络安全威胁治理联盟(CCTGA)持续推进“银狐”木马专项打击行动，重点围绕控制端打击、被控端处置、恶意样本传播链治理等任务统筹推进。本次公布第六批恶意域名及IP，关联域名包括pc-hnnpr-whatsapp.com.cn等。建议用户检查浏览器历史记录及网络连接，排查是否访问过相关恶意域名。

📎 安全内参 · 2026-10-14

✅

安全建议

3条

1

紧急：GitLab用户请立即升级至最新安全版本，修复CVE-2026-97229未授权RCE漏洞。该漏洞无需凭据即可在CI/CD配置处理链路触发，攻击者可以git账户身份执行任意命令并完全控制实例。建议同时排查CI/CD配置中是否存在异常命令执行记录，并审计实例内代码与密钥是否被篡改。

2

重要：针对近期频发的国产软件供应链攻击（BitBrowser、跨境电商SCRM软件、虚拟手机服务商官网安装包），建议企业用户立即排查是否使用受影响软件，验证安装包完整性，并对Linux平台AI类型服务器加强爆破防护和漏洞修补，防止攻击者通过SNOWLIGHT脚本植入后门。

3

建议：金融与互联网企业应密切关注APP支付新规对产品界面的合规要求，及时调整默认月付、分期诱导等设计。同时建议参考挪威广告公司数据泄露案，加强内部数据访问管控，利用AI模型辅助异常行为检测，防范内部威胁导致的大规模数据泄露。