← 返回博客

安全简报，2026年4月24日：Breeze Cache 被利用、Bitwarden npm 供应链风险与 GopherWhisper 云端 C2

今天的共同主题很简单，攻击者正在那些防守方默认外包信任的地方持续得手，不管这种信任落在 WordPress 插件、npm 包，还是协作平台上。

---

---

1. Breeze Cache 打开了一个正在被实战利用的 WordPress 接管入口

攻击者正在主动利用 WordPress 插件 Breeze Cache 中的 CVE-2026-3844。该问题源于 fetch_gravatar_from_remote 函数缺少文件类型校验，使未认证攻击者可以上传任意文件。如果启用了 “Host Files Locally - Gravatars” 选项，就可能进一步演变为远程代码执行和整站沦陷。该插件拥有超过 40 万活跃安装，Wordfence 已经观察到利用活动。

• 立即将 Breeze Cache 升级到 2.4.5，或者在无法升级前先停用插件。
• 如果启用了 “Host Files Locally - Gravatars”，对外暴露的 WordPress 站点现在就该进入最高优先级。
• 检查近期上传、web shell 和可疑管理活动，不要以为只打补丁就算结束。

---

2. Bitwarden CLI 在 npm 上的投毒，比表面看起来更像一次开发者信任危机

npm 上的恶意 @bitwarden/cli 版本 2026.4.0 在 4 月 22 日短暂上线，内含窃取开发者秘密的恶意代码。研究人员称，它会收集 npm 和 GitHub token、SSH 密钥以及云凭证，并通过攻击者控制的 GitHub 仓库进行外传。Bitwarden 表示用户金库数据和生产系统未受影响，但任何在该窗口期安装过该版本的环境都应该被视为已被攻陷。

• 不要只停留在卸载，必须轮换 CI、开发者笔记本、软件仓库和云账户中的密钥。
• 检查 build 日志、~/.npmrc、GitHub token、SSH 材料和 runner secrets 是否发生二次暴露。
• 这是一次供应链事件，应该相信影响半径，而不是包名本身。

---

3. Checkmarx 事件与 GopherWhisper 说明的是同一件事，可信服务已经进入攻击者工具箱

Checkmarx KICS 供应链入侵影响了 Docker 镜像和开发者扩展，而 ESET 关于 GopherWhisper 的报告则显示，一个与中国有关的集群正在使用 Outlook、Slack、Discord 和 Microsoft Graph API 对政府目标进行指挥控制。两起事件不同，但教训相同，攻击者正躲进正常的开发和协作流程，因为防守方仍在这些系统上给予过多默认信任。

• 阻断或调查已知恶意的 Checkmarx 域名，回退到安全版本，并从干净基线重建受影响环境。
• 检查 OAuth、Graph API、Slack、Discord 和邮箱遥测中“运营上异常”的行为，而不只是明显恶意的信号。
• 把 SaaS 与软件包生态视为攻击面的一部分，而不是中立管道。

---

安全团队今天该做什么

1. 立刻修补 Breeze Cache 或关闭高风险功能，然后检查是否已有入侵迹象。
2. 如果团队中有人安装过恶意 Bitwarden CLI npm 包，立即轮换秘密并从干净系统重建信任。
3. 审计 Checkmarx 以及相邻开发工具的暴露面，尤其是 Docker 拉取、扩展和 CI runner。
4. 把对 Outlook、Microsoft Graph、Slack 和 Discord 的云服务滥用监控提上来，不要只盯传统恶意软件指标。

---

---

Bottom line: 底线很明确，攻击者利用的不只是软件漏洞，更是默认信任。因此今天的修复必须同时包含补丁、密钥轮换，以及对团队每小时都在依赖的服务进行更严格的审视。