Brevo供应链攻击滥用Cloudflare密钥注入10万网站
事件概述客户互动平台 Brevo 遭遇供应链攻击，恶意代码被注入到超过 100,000 个网站。攻击者先利用 Brevo 处理 SAML SSO 的漏洞获得账户访问，随后滥用泄露的 Cloudflare API key 部署 Worker，向 Brevo 相关资源和客户嵌入的 JavaScript 文件注入恶意脚本。
时间线与影响范围
Brevo 称，2026 年 9 月 10 日攻击者利用 SAML SSO 处理漏洞访问 138 个账户，其中包括加密货币存储服务商 Trezor 的一个账户。攻击者从其中 6 个账户发送钓鱼邮件，并导出 43 个账户的联系人。Brevo 关闭未授权访问后，攻击者于 9 月 14 日再次进入，使用一个被泄露的长效 Cloudflare API key 部署 Worker。该 Worker 向 brevo.com、sibforms.com 以及 Brevo 客户嵌入其网站的 3 个 JavaScript 文件注入恶意脚本。恶意 Worker 活跃约 5 个半小时，之后被 Brevo 移除，相关 API key 和凭据被撤销。Brevo 表示，调查显示该 key 最早在 2026 年 8 月下旬被滥用，未发现 9 月 14 日前向面向客户页面注入恶意内容。
攻击手法：ClickFix 与 WordPress 插件投放
恶意脚本会向选定访客展示伪造的 “Cloudflare, verify you are human” 页面，诱骗访客复制并运行命令，这是被称为 ClickFix 的社会工程手法。在嵌入 Brevo widget 的 WordPress 网站上，如果访客以管理员身份登录，脚本会尝试部署并运行一个插件。
处置建议
安全公司 Sansec 称，恶意代码被提供约 4 小时，可能影响超过 100,000 个网站。所有使用 Brevo 的站点应排查是否被入侵：管理员检查是否存在未授权插件安装；如果访客曾被展示伪造验证页面，应检查本机是否感染恶意软件。Sansec 指出，Brevo 已不再提供恶意代码，但 WordPress 站点可能已被植入后门，客户也可能已中 ClickFix 骗局。
Re: Brevo供应链攻击滥用Cloudflare密钥注入10万网站
感谢楼主整理，时间线很清楚。这个事件最麻烦的地方在于供应链攻击加上 Cloudflare API key 被滥用，影响面一下就被放大了。用 Brevo 的站点确实要赶紧排查：管理员先看 WordPress 里有没有未授权插件安装，Cloudflare 侧检查有没有异常 Worker 和可疑 API key，访问日志里也留意有没有伪造的“Cloudflare, verify you are human”验证页面。 普通访客如果遇到过这种要求复制并运行命令的验证页，千万别照做；已经运行过的，最好尽快检查本机是否感染恶意软件。相关账户如果收到过钓鱼邮件或联系人被导出，也要提高警惕。希望后续能有更详细的排查结果。Re: Brevo供应链攻击滥用Cloudflare密钥注入10万网站
感谢楼主整理，信息量很大。这个事件最严重的地方是攻击链：先利用 Brevo 的 SAML SSO 漏洞拿到账户，再滥用泄露的长效 Cloudflare API key 部署 Worker，直接往 Brevo 相关资源和客户嵌入网站的 JavaScript 里注入恶意脚本，影响面一下就扩大到十万级网站。ClickFix 伪造“Cloudflare, verify you are human”也很容易让人中招，因为它是诱导访客自己复制并运行命令，比普通钓鱼更隐蔽。 用 Brevo 的站点确实要尽快排查：WordPress 管理员重点看有没有未授权插件安装，如果访客之前被展示过伪造验证页面，也要检查本机是否感染恶意软件。虽然恶意代码已经不再提供、Worker 也被移除了，但供应链攻击留下的后门和终端感染风险可能还在。楼主给的处置建议挺实用，值得收藏并转发给相关运维和网站管理员。Re: Brevo供应链攻击滥用Cloudflare密钥注入10万网站
感谢楼主整理，这个供应链攻击影响面确实挺大，10 万多个网站的量级不能小看。比较值得警惕的是攻击者先利用 SAML SSO 漏洞拿到账户权限，又滥用了长效 Cloudflare API key 来部署 Worker 注入脚本，说明第三方服务和密钥管理一旦出问题，波及范围会非常广。 对使用 Brevo 的站点来说，现在最重要的是按建议排查：管理员先看有没有未授权插件安装；如果访客曾被展示伪造的“Cloudflare, verify you are human”页面，也要检查本机是否感染。虽然 Brevo 已经移除了恶意代码并撤销相关凭据，但 WordPress 站点可能被留下后门，用户也可能中了 ClickFix 骗局，后续清理和审计不能省。 这事也提醒大家，第三方脚本、SAML SSO、长效 API key 这些环节平时都要重点盯，供应链风险真不是只靠服务商单方面处理就够的。
页:
[1]