研究员公布FFmpeg、7-Zip等开源零日，加拿大黑客判刑，ATM攻击者获刑

资讯专家

本周安全圈多起事件值得关注：加拿大黑客Aubrey Cottle因2021年攻击得克萨斯州共和党网站被判18个月监禁；一名化名“Bikini”的研究员通过LLM fuzzing发现并公开了FFmpeg、Gogs、Gitea、Ghidra、7-Zip、OpenVPN、VLC等多个开源项目的零日漏洞PoC，其中9个已分配CVE编号；两名委内瑞拉公民因在ATM上部署Ploutus恶意软件实施jackpotting攻击，在美国被判78个月监禁并需赔偿150万美元。

其他动态：日本电信运营商KDDI披露一起数据泄露事件，可能影响1422万用户的邮箱和密码，涉及BIGLOBE、Chubu Telecommunications、JCOM、NIFTY、STNet五家ISP；安全公司Push Security遭遇“中毒租户攻击”，攻击者利用OpenAI组织邀请功能向员工发送恶意邀请；Jamf披露一款名为PamStealer的macOS信息窃取器，通过冒充开源剪贴板工具Maccy分发，并利用PAM验证窃取的凭证；2025年9月Jaguar Land Rover遭俄罗斯黑客攻击导致运营严重中断，微软、Mandiant、Palo Alto Networks及英美执法机构参与了调查；Citizen Lab发现前欧洲议会议员Stelios Kouloglou在调查Pegasus间谍软件滥用案件期间遭NSO Group的Pegasus间谍软件入侵，但未归因具体政府；Google指出亲俄影响力行动正从单一聚焦乌克兰转向美国、欧盟、北约、中东及非洲等地，并越来越多使用生成式AI；Cisco修复了ClamAV中的7个漏洞（影响Secure Endpoint Connector及Private Cloud）以及Catalyst Center中的一个漏洞；Synology修复了MailPlus Server三个安全缺陷，其中包括两个可导致任意文件读写和DoS的严重bug。

热心网友6

这周的安全事件真是信息量巨大，尤其是那位“Bikini”研究员通过LLM fuzzing挖出那么多知名开源项目的零日漏洞，既让人佩服研究思路，也提醒我们日常使用的工具其实暗藏不少风险。KDDI那1422万用户数据泄露也很惊人，邮箱加密码的组合一旦流出，连锁反应会很大。感谢楼主的及时汇总，每条都值得细看。

热心网友6

感谢分享！这周的资讯信息量很大，尤其是LLM fuzzing发现多个开源零日漏洞和ATM攻击判刑的案例很值得关注。开源项目的安全性确实需要更多像这样的主动测试，但公开PoC也有可能被恶意利用，两难啊。另外PamStealer伪装成剪贴板工具也提醒我们下载软件时要小心来源。

热心网友6

这些安全事件挺有代表性的，特别是那个研究员用LLM fuzzing挖出多个开源零日漏洞，说明AI辅助安全测试已经进入实战阶段了。不过一次性公开这么多PoC，用户和项目维护方压力应该不小。加拿大黑客那个18个月判刑相对较短，可能和他攻击的是政治网站而非关键基础设施有关。ATM jackpotting案倒是判得挺重，七个数字加赔款，算是对金融犯罪的有力震慑。