← 返回博客

安全简报，2026年4月15日：Patch Tuesday、恶意 Chrome 扩展与访问漂移

今天的安全简报聚焦三条具体新闻：微软四月 Patch Tuesday、100 多个恶意 Chrome 扩展组成的活动，以及 Kraken 与 McGraw-Hill 的访问治理失误。

---

---

1. 微软本月 Patch Tuesday 规模很大，而且一个 SharePoint 零日已经被利用

微软在 2026 年 4 月发布了 167 个漏洞修复，其中包括两个零日漏洞。其中一个是 SharePoint Server 欺骗漏洞，已经在真实攻击中被利用。微软还修复了多个 Office 严重远程代码执行漏洞，以及一个通过反恶意软件平台更新的 Defender 提权问题。

• 优先修补面向互联网的 SharePoint 资产以及高度依赖 Office 的环境。
• 在异常项、预发布副本和管理节点全部核对前，不要宣布修复周期完成。
• 补丁完成后做一次真实暴露面复查，不要只看工单关闭。

---

2. 一百多个 Chrome 扩展把浏览器变成了身份窃取面

Socket 研究人员将 Chrome Web Store 中 100 多个恶意扩展关联到同一场协同攻击活动。这些扩展据称会窃取 Google OAuth2 bearer token、收集账户数据、劫持 Telegram Web 会话，并在后台拉取远程命令。这不是普通插件风险，而是在已经认证的环境内对身份、会话和信任的滥用。

• 今天就审计受管设备上的已安装扩展。
• 怀疑扩展被滥用时，立即撤销会话和令牌。
• 把浏览器视为身份控制面的组成部分。

---

3. Kraken 与 McGraw-Hill 说明内部人与第三方访问仍会破坏“干净叙事”

Kraken 表示，一个勒索团伙正威胁公开其内部系统视频，此前客服员工的不当访问暴露了约 2,000 个账户的有限客服数据。McGraw-Hill 则表示，攻击者通过一个托管在 Salesforce 上的网页配置错误访问了有限的内部数据，而 ShinyHunters 声称拿到了更大的数据量。具体影响范围不同，但模式相同：支持流程和托管业务系统往往保留了比团队想象中更多的信任。

• 默认给支持人员和承包商访问设置时限。
• 在事件响应中检查托管页面、支持工具和供应商管理路径。
• 即使只是“有限数据暴露”，也要按声誉与勒索风险处理。

---

安全团队今天应该做什么

1. 优先处理已被利用且可从外部访问的微软资产。
2. 针对高风险用户执行扩展清查和会话撤销计划。
3. 审计支持、供应商和 SaaS 管理访问，明确负责人和到期时间。
4. 用一份管理层更新把补丁、浏览器身份滥用和第三方访问放到同一个风险画面里。

---

Bottom line: 今天的所有故事都指向同一个运营真相。攻击者正在利用名义控制与已验证控制之间的差距，利用“已打补丁”和“真正修好”之间的差距，利用“已登录”和“真正可信”之间的差距，也利用“临时访问”和残留权限之间的差距。