← Back to Blog

安全简报，2026年4月11日：CPUID 供应链攻击、暴露的 Rockwell PLC、薪资劫持、Marimo RCE 与移动端 Gmail 端到端加密

今天早上的信号既难看又熟悉：可信工具、暴露的工业控制系统、被盗会话，以及几乎瞬间完成武器化。唯一的亮点是，默认更安全的电子邮件终于在移动端变得更可用了。

---

---

1. CPUID 的下载链被投毒了

攻击者在大约六小时内入侵了 CPUID 的一个辅助 API，并替换了官网下载链接，把 CPU-Z 和 HWMonitor 用户重定向到被植入木马的 HWiNFO 安装程序。研究人员表示，这个恶意软件是多阶段的、深度混淆的，并且很可能以信息窃取为目标。CPUID 说其签名原始二进制文件没有被修改，但信任边界已经被打破，而这才是关键。

• 即使是官方工具下载，也要校验哈希和值与签名。
• 监控从硬件工具路径触发的异常安装程序启动。
• 检查与被投毒 HWiNFO 样本相关的检测记录。

---

2. 美国近 4,000 台 Rockwell PLC 仍然暴露在公网

联邦机构警告称，自 3 月以来，与伊朗有关的攻击者一直在针对 Rockwell Automation 和 Allen-Bradley PLC，造成中断并操纵 HMI 与 SCADA 显示。随后 Censys 统计到全球共有 5,219 台暴露主机，其中 3,891 台位于美国。这不只是一个糟糕指标，而是一张长期挂在门口的邀请函。

• 把 PLC 放到防火墙后面，或者直接从公网移除。
• 审查 OT 日志，关注来自海外的访问与可疑 OT 端口流量。
• 在 OT 路径上强制启用 MFA，并关闭未使用的远程服务。

---

3. Storm-2755 盗走的不只是邮箱访问权，还有工资

微软表示，Storm-2755 使用了 adversary-in-the-middle 型 Microsoft 365 钓鱼页面、会话 Cookie 窃取、隐藏邮箱规则和直接存款社工手法，把加拿大员工的工资转走。核心教训很直接：一旦攻击者偷走已认证会话，传统 MFA 根本救不了你。

• 将 HR 与薪资相关用户迁移到抗钓鱼 MFA。
• 排查隐藏 direct deposit 和银行邮件的邮箱规则。
• 一旦怀疑失陷，立即吊销被盗令牌并重置认证方式。

---

4. Marimo CVE-2026-39987 几乎在披露后立刻被利用

Sysdig 观察到，该 Marimo 预认证远程代码执行漏洞在公开披露后 9 小时 41 分钟内就遭到利用。漏洞位于 /terminal/ws WebSocket 端点，它跳过认证并向暴露实例上的攻击者直接交出交互式 shell。这就是新的现实：从披露到利用的窗口正在迅速塌缩。

• 立即将 Marimo 升级到修复版本。
• 把暴露的 notebook 环境从互联网移除。
• 对互联网暴露服务，不要再假设 advisory 后还有缓冲期。

---

5. Gmail 端到端加密终于来到移动端

Google 表示，企业用户现在可在 Android 和 iOS 上使用 Gmail 端到端加密，团队无需额外工具就能在移动端阅读和撰写受保护邮件。它不能解决身份失陷或终端被盗的问题，但至少削弱了“安全邮件太难用”的老借口。

• 在经常处理受监管数据的场景启用 E2EE。
• 将加密邮件与设备信任和强身份控制结合起来。
• 培训团队理解加密能保护什么、不能保护什么。

---

安全团队今天应该做什么

1. 审计可信软件分发路径。
2. 隔离或移除暴露在互联网的 OT 资产。
3. 加固薪资与 HR 身份流程。
4. 在披露当天修补暴露的开发工具。
5. 为敏感团队扩展安全移动消息能力。

---

Sources tracked for this briefing: 本简报跟踪的来源包括：BleepingComputer、The Hacker News，以及 2026 年 4 月 10 日至 11 日发布的联邦机构或厂商报告。