← 返回博客

安全简报，2026年4月18日：ActiveMQ 被利用、Windows 零日与 LSASS 补丁后果

今天的安全简报聚焦三个明确信号：CISA 已将 Apache ActiveMQ 列为在野利用，Huntress 观察到泄露的 Windows 提权零日在真实入侵中被使用，微软也确认部分已打补丁的域控制器出现 LSASS 崩溃循环。

---

---

1. ActiveMQ 已从补丁事项变成在野利用

CISA 在确认活跃利用后，将 CVE-2026-34197 加入 KEV 目录。该漏洞影响 Apache ActiveMQ Classic，根因是输入校验不当，可导致已认证远程代码执行。Apache 已在 6.2.3 和 5.19.4 中修复，但暴露在公网的 broker 仍是软目标。Shadowserver 仍在跟踪超过 7,500 台面向互联网的系统。

• 立即修补所有暴露的 ActiveMQ Classic 节点，并核实真实运行版本。
• 检查 broker 日志中是否存在 brokerConfig=xbean:http:// 和 VM transport 的可疑活动。
• 如果 broker 暴露在公网且业务关键，在没有证据前应假定已存在后渗透风险。

---

2. 泄露的 Windows 零日已经进入真实入侵链

Huntress 报告称，BlueHammer、RedSun 和 UnDefend 技术已在真实攻击中出现。BlueHammer 已在 4 月补丁中修复，但 RedSun 与 UnDefend 仍没有完整厂商修复。已观察到的活动包括 SSL VPN 账户被攻破，随后出现交互式攻击者行为。这已经不是停留在 GitHub 上的研究 PoC。

• 将近期来自 VPN 的访问视为可能的提权落点，尤其是在启用 Defender 的 Windows 主机上。
• 不要假设 4 月补丁星期二已完全关闭这一组问题，其中两项仍需要补偿控制和严密监控。
• 如果 Defender 更新被压制且同时出现突然的 SYSTEM 级操作，清理前先保留终端证据。

---

3. 4 月服务器补丁还带来了可用性陷阱

微软确认，KB5082063 可能导致部分启用 Privileged Access Management 的非 Global Catalog 域控制器出现 LSASS 崩溃和重启循环。这意味着常规安全发布也可能演变成身份系统中断风险。如果发布节奏控制不好，不稳定的认证会直接抹掉快速补丁带来的收益。

• 在确认环境是否符合微软公告条件之前，暂停对 PAM 相关 non-GC 域控制器的大规模发布。
• 补丁波次前让安全团队和身份团队一起协调，因为现在的风险既是可利用性，也是认证故障。
• 在处理负责早期启动认证流量的域控制器前，提前准备回滚和支持路径。

---

安全团队今天应该做什么

1. 先完成 ActiveMQ 紧急分诊，尤其是公网暴露 broker 和较旧的 Classic 部署。
2. 在任何近期 VPN 访问或管理员提权可疑的位置，搜索 BlueHammer、RedSun 和 UnDefend 痕迹。
3. 扩大 KB5082063 发布前，先确认是否有 PAM 域控制器在影响范围内。
4. 给管理层发送一份清晰更新，把利用压力和补丁稳定性风险分开说明。

---

Bottom line: 成熟的防守意味着同时以三种速度行动：修补暴露 broker、追查 Windows 落点，并放慢任何可能让身份系统离线的补丁发布。