安全简报，2026年5月1日：CISA Windows 紧急令、SAP/PyTorch 供应链攻击、cPanel 0-day、Copy Fail 与 Gemini CLI RCE

今天早上的教训既难看又熟悉：一旦大家默认可信的管理或开发路径被污染，攻击者就不再需要多么精巧的手法也能造成破坏。

---

---

1. CISA 的 Windows 补丁令说明这已经不是“可选 backlog”

据 BleepingComputer 报道，CISA 已将一个正在被积极利用的 Windows 漏洞加入已知被利用漏洞目录，并要求联邦机构在期限内完成修补。信号非常明确：如果 CISA 正在推动紧急动作，企业团队就应假设攻击者已经掌握了现实可用的利用链。

• 优先拉取面向互联网、管理用途和高权限 Windows 系统的补丁状态。
• 在打补丁的同时排查是否已有先前利用痕迹。
• 所有暂不修补的例外都必须在今天明确责任人。

---

2. SAP npm 事件已经很糟；PyTorch Lightning 说明这场活动仍在扩张

The Hacker News 报道称，4 月 30 日发布的恶意 PyTorch Lightning 2.6.2 和 2.6.3 与攻击 SAP 相关官方 npm 包的 Mini Shai-Hulud 活动属于同一波供应链攻击。该恶意代码会窃取 GitHub、npm、SSH、云、Kubernetes 和 CI 凭据。任何受影响的开发机或 runner 都应按安全事件处理。

• 立即清除被投毒的 SAP 与 PyTorch 版本，并轮换所有暴露过的密钥。
• 审查发布流程以及 CI token 的权限范围。
• 不要只盯代码仓库，也要把开发者笔记本、自托管 runner 和制品系统纳入范围。

---

3. cPanel 和 WHM 仍然处在真刀真枪阶段

BleepingComputer 与 The Register 都将 cPanel/WHM 认证绕过描述为严重、已被利用且必须紧急修补的问题。原因很直接：控制面板漏洞往往能直通网站、邮箱、数据库，甚至整批托管基础设施。

• 立即修补 cPanel 与 WHM，并核实实际安装版本。
• 在验证覆盖率期间收紧管理端口暴露面。
• 如果主机曾暴露在公网，请回查 2 月下旬以来的认证日志和管理员变更。

---

4. Copy Fail 再次证明“仅本地”是一种偷懒的分级方式

The Register 与 The Hacker News 都指出，Copy Fail（CVE-2026-31431）是一种 Linux 本地提权漏洞，可在主流发行版上把一个普通 foothold 迅速变成 root。凡是低信任代码能本地运行的地方，这类漏洞都很关键：CI、共享服务器、跳板机、共享内核容器。

• 优先为 CI worker、多租户服务器及类似 Linux 主机打内核补丁。
• 重新评估现有 foothold 和近期可疑访问。
• 重点关注 setuid 二进制及其他提权路径附近的篡改迹象。

---

5. Google 的 Gemini CLI 修复堵上了 CVSS 10 漏洞，但也可能打断自动化

The Register 与 The Hacker News 报道称，Google 修复了 Gemini CLI 及相关 GitHub Actions 工作流中的最高严重度命令执行漏洞，同时 Cursor 也存在可导致代码执行的问题。它可能让 CI 出现兼容性麻烦，但这总比把主机级执行路径敞开给外部输入要好。

• 尽快更新 Gemini CLI 相关组件，并立即回归测试 CI/CD 作业。
• 审查那些会从代码仓库或 PR 可控内容加载配置的自动化流程。
• 把 agent 工具和开发自动化纳入与其他 build-time 执行路径相同的威胁模型。

KENSAI 每日发布安全简报，聚焦可利用路径、运营影响，以及防守方接下来该做什么。