2026年第35周安全周报 | 本周安全要闻速览

9月15日，国家网信办通报近期网络安全、数据安全、个人信息保护等领域10起执法典型案例，涵盖网页篡改、设置恶意程序、数据被窃取、数据泄露风险、个人信息泄露风险、强制收集非必要个人信息、违法收集人脸信息、超范围收集并违法出境个人信息、未落实人工智能生成合成内容标识要求、生成式人工智能服务未按规定进行安全评估等类型。其中，上海某电子有限公司因门户网站后台弱口令遭攻击植入恶意代码被罚款；安徽某数据产业有限公司因使用存在未授权访问漏洞的ES开源版本且未删除测试数据，导致2400余份审计报告等敏感文件被窃取；河南某医院体检系统存在弱口令漏洞，整改复核时仍发现700个安全漏洞含73个高危漏洞；上海某科技有限公司自2022年以来持续超范围收集用户信息并非法传输至境外数据中心；四川某科技公司运营的AI小程序因未落实生成合成内容标识要求被责令下线。

来源：国家互联网信息办公室

9月17日，公安部公布网络安全行政执法10起典型案例。2026年以来，公安机关深入开展"护网—2026"专项工作，围绕网络安全、数据安全、信息安全重点任务，依托国家网络与信息安全信息通报机制，扎实推进网络空间安全保护和综合治理体系建设，集中整治一批突出风险问题，发现清理一批漏洞隐患，侦办一批不履行保护义务的行政案件。此次公布的典型案例包括：江苏宿迁某服务平台数据接口存在访问漏洞案、安徽芜湖某单位未履行网络安全保护义务案、山东青岛某科技公司平台被非法控制成为电信诈骗工具案、广西钦州某运输集团微信小程序未履行个人信息保护义务案等。公安部同时表示，已制定出台《公安机关网络空间安全监督检查办法》，联合有关部门发布《网络数据安全风险评估办法》《网络安全标识管理办法》等规章，进一步完善网络空间安全法律规范体系。

来源：中华人民共和国公安部

9月15日，2026年人工智能技术赋能网络安全应用测试结果在国家网络安全宣传周期间正式发布。本次测试由国家网信办指导，围绕AI技术在网络安全领域的实际应用效果展开，覆盖威胁检测与响应、漏洞挖掘与修复、安全运营自动化、网络攻击溯源等多个应用场景，对国内外主流厂商的AI安全产品进行了系统性评估。测试结果显示，AI技术在恶意代码检测、异常流量识别、钓鱼邮件拦截等场景中已展现出显著优于传统规则引擎的检测准确率和响应速度，但在复杂攻击链分析、0Day漏洞发现、对抗性样本鲁棒性等方面仍存在不足。测试同时发现部分AI安全产品存在模型可解释性差、误报率偏高、对中文语境适配不足等问题。相关结果将为行业选购AI安全产品提供参考依据，推动AI赋能网络安全技术的健康发展。

来源：国家互联网信息办公室

GitLab于9月10日发布紧急安全更新，修复两个严重漏洞，其中CVE-2026-85706为CVSS评分满分10.0的路径遍历与身份验证绕过漏洞，影响GitLab社区版和企业版18.7至19.3.2之前的多个版本。该漏洞源于存储库提交API中路径限制不当和身份验证强制执行缺失，未经身份验证的远程攻击者可通过构造包含路径遍历序列的恶意请求，从GitLab服务器读取任意文件，获取源代码、配置文件、密钥等敏感信息。安全厂商WatchTowr Labs在补丁发布仅一天后即观测到活跃利用尝试，美国CISA于9月12日将该漏洞列入已知被利用漏洞（KEV）目录，敦促联邦机构限期修复，并要求所有自托管GitLab实例立即升级至19.3.2、19.2.6或19.1.8版本。德国联邦信息安全办公室（BSI）也发布高危预警，指出攻击者可基于读取的信息进一步实施后续攻击。

来源：安全内参

9月15日，奇安信CERT发布安全风险通告，监测到搜狗输入法Windows版远程代码执行漏洞（CVE-2026-51990）在野利用，该漏洞技术细节已公开且已被成功复现。漏洞源于sgbiz:自定义协议处理器（biz_helper.exe）对传入的命令行参数未进行充分验证，攻击者可构造恶意链接利用参数注入调用SGMyInput.exe的皮肤中心CEF WebView，将嵌入式浏览器导航至攻击者控制的任意页面。由于该WebView基于过时的Chromium引擎且沙箱被禁用，成功利用后攻击者可以当前用户权限完全控制系统，安装持久化后门、窃取数据、执行任意命令。腾讯已在16.3.0.3498版本中修复该漏洞，通过自动更新推送，补丁在协议处理器层面阻止不安全的URL参数，将可接受的HTTPS地址限制为已批准的主机名。研究人员指出，与中国相关的威胁组织UNC3569曾利用该漏洞部署GRAYRABBIT后门。

来源：奇安信CERT

9月15日晚，TOM集团（02383.HK）在港交所发布内幕消息公告，披露一起数据安全事件。集团于2026年9月8日前后侦测到其位于中国台湾的服务器遭受网络攻击，该等服务器为主要附属公司城邦文化事业股份有限公司的"商业周刊"部门提供服务，攻击导致台湾服务器所持有的若干数据被加密。9月9日，数据安全事件延伸至香港，影响集团位于香港的服务器，相关数据亦被加密。事发后，集团已立即隔离受影响系统，委聘网络安全专家协助调查，已通知相关监管机构，并就事件对业务及营运的影响展开全面评估。目前调查仍在进行中，尚未确定是否发生数据泄露或数据丢失，集团提醒投资者审慎买卖股份。该事件再次凸显传媒出版行业面临的勒索软件威胁风险。

来源：港交所公告