Machine1337近日声称窃取超8900万条Steam用户短信记录，包含一次性验证码及电话号码，并以5000美元价格兜售。经外媒BleepingComputer核查，泄露样本中确有历史短信记录。全球最大PC游戏平台Steam母公司Valve暂未置评。独立游戏调查记者MellowOnline1指出，此次事件源于Twilio后端系统遭入侵，疑似因管理员账户或API密钥被盗，属于第三方服务商供应链攻击。作为短信服务提供商，Twilio虽公开否认系统被攻破，但泄露数据中出现的实时短信日志条目显示其系统存在异常访问。

近日，研究人员披露了英特尔CPU高危漏洞CVE-2024-45332，该漏洞通过分支预测器子系统的竞争条件，突破了持续六年的Spectre v2防御体系。所有现代英特尔处理器均受影响，其核心问题在于分支目标缓冲区（BTB）和间接分支预测器（IBP）的更新机制与指令执行存在时序差，当用户模式与内核模式切换时，预测器可能错误关联权限级别，导致特权隔离失效。

Ivanti近日紧急修补其Neurons IT服务管理平台中的关键身份验证绕过漏洞（CVE-2025-22462），该漏洞允许未授权攻击者通过低复杂度攻击获取系统管理权限，主要影响2023.4至2024.3版本的本地部署实例。同时修复的还有云服务设备（CSA）默认凭证漏洞（CVE-2025-22460），本地攻击者可借此提升至root权限。

Fortinet近日发布安全更新，修补了一个关键的远程代码执行漏洞CVE-2025-32756，黑客可利用漏洞通过恶意制作的HTTP请求执行任意代码或命令，影响FortiMail， FortiNDR， FortiRecorder和forticcamera。

新西兰安全研究员近日发现华硕主板预装驱动管理软件DriverHub存在两个高危漏洞（CVE-2025-3462 CVSS 8.4、CVE-2025-3463 CVSS 9.4），允许攻击者通过构造恶意HTTP请求实施远程代码执行。漏洞根源在于本地服务允许driverhub.asus.com.*通配域名访问，攻击者可伪造子域名绕过验证并UpdateApp端点允许下载任意.asus.com域名的文件，并以管理员权限自动执行签名文件，华硕已在5月9日发布补丁。

苹果公司近日针对macOS系统中新披露的CVE-2025-31258漏洞发布补丁，该漏洞可能允许恶意应用程序突破沙箱限制，获取未授权的系统资源访问权限。在安全研究员Seo Hyun-gyu公开概念验证（PoC）利用代码后，该漏洞已在macOS Sequoia 15.5版本中得到修复。

网络安全研究人员近日发现APT36黑客组织正将ClickFix社会工程攻击扩展到Linux系统。该攻击通过伪造印度国防部官网及虚假新闻稿链接，诱使用户执行恶意控制台指令。ClickFix传统上利用虚假系统验证弹窗诱导Windows用户运行PowerShell脚本，进而部署信息窃取软件或勒索病毒。

网络安全公司Validin与SentinelLabs近日联合揭露了一个名为“FreeDrain”的跨国网络钓鱼团伙，其通过操纵搜索引擎优化（SEO）、仿冒合法加密货币钱包界面及多层重定向技术，自2022年起盗取用户钱包助记词，涉案金额超50万美元。该团伙利用亚马逊S3、Azure等云服务搭建超3.8万个钓鱼子域名，并借助GitHub.io、WordPress等免费托管平台提升网站可信度，诱导受害者提交助记词以窃取资产。

SUSE安全团队近日披露，终端复用工具GNU Screen存在3个高危漏洞，其中CVE-2025-23395允许本地攻击者提权至root权限，影响包括5.0.0及4.9.x版本，CVE-2025-46802涉及多用户会话重连时的竞争条件漏洞，通过临时将终端模式设为全局可读写（0666），攻击者可用脚本劫持TTY实现击键窃取或命令注入；CVE-2025-46803则因Screen 5.0.0默认PTY权限设为全局可写（0622），导致数据篡改风险。目前SUSE、Red Hat等已发布补丁，但部分发行版仍需用户手动升级。

日本金融厅在一份最新声明中警告称，未经授权的账户访问和交易数量“急剧增加”。黑客进行的非法交易超过3040亿日元（合20亿美元）。它表示，未经授权的第三方正在模仿真正的证券公司，使用从钓鱼网站收集的客户信息，例如登录id和密码。在同一时间段内，未经授权的交易数量从1月份的39起跃升至4月份的2746起，增幅超过6900%，共有9家证券公司受到了影响。

美国报业集团Lee Enterprises近日披露，其2月遭遇的勒索软件攻击导致恢复成本达200万美元，并对公司财务状况造成持续性影响。攻击者加密了关键应用程序并窃取数据，致使这家在25州运营72家地方报纸（含《圣路易斯邮报》等知名媒体）的企业无法正常处理客户账单收款及供应商付款。首席财务官Tim Millage表示，尽管技术系统已恢复，但资产负债表仍受应收账款积压拖累，计划通过改善营运资金缓解压力。

美国知名青少年平台Roblox近日因涉嫌秘密追踪儿童数据遭集体起诉，加州家长指控其通过内置隐藏代码非法收集未成年人击键记录、聊天内容、鼠标轨迹及搜索记录等敏感信息，并利用唯一设备标识符构建用户行为画像，用于定向广告推送及第三方数据共享，涉嫌违反《儿童在线隐私保护法》。诉状指出，Roblox在未向父母明示或获可验证同意的情况下，系统性绕过COPPA对13岁以下儿童数据的监管要求。

美国移民及海关执法局合作航司环球穿越航空集团5月10日向SEC提交文件，确认5月5日遭网络攻击导致业务系统遭入侵。此次事件由自称 "匿名者 "的黑客主动曝光，其向媒体404 Media提供了窃取的ICE驱逐航班记录及乘客名单，包含今年3月两次关键任务航班细节。经核查，泄露数据与公开驱逐事件高度吻合。

安全研究人员Arsenii es3n1n发布了一个名为defennot的安全工具，这是一个实验性实用程序，通过逆向工程调用微软未公开的Windows安全中心（WSC）API，实现直接禁用Windows Defender核心防护功能。该工具突破传统第三方杀软注册机制，绕开微软保密协议限制，利用WSC服务接口将自身注册为合法防病毒方案，迫使系统自动停用Defender以避免 "冲突 "。与依赖第三方代码的 "NoDefender "等旧工具不同，defennot采用更底层交互方式，通过精准模拟杀毒软件注册流程触发系统防护降级。

据外媒报道，近日，黑客组织WaterPlum升级了其恶意软件OtterCookie至v4版本，新增凭证窃取和沙盒检测功能。该恶意软件是BeaverTail和InvisleFerret的后续变种，由NSJ SOC分析师于2024年12月首次披露。最新版本v3（2025年2月）和v4（2025年4月）已从最初的文件抓取工具发展为跨Windows和macOS的多模块窃取程序，攻击目标包括全球金融机构、加密货币平台和金融科技公司。黑客通过虚假招聘诱骗受害者下载恶意载荷，持续开展 "传染性访谈 "长期攻击行动。

网络安全研究人员近日曝光Linux内核nftables子系统的重大安全漏洞CVE-2024-26809，漏洞根源在于nft_pipapo_destroy()函数处理脏标志时存在逻辑缺陷，当同一集合元素同时存在于match与clone结构体时，系统会错误地对重叠内存区域执行两次释放操作，导致内核内存管理机制崩溃。该漏洞存在于net netfilter模块的pipapo集合销毁流程中，允许本地攻击者通过构造恶意请求触发双重释放（Double-Free）漏洞，最终实现权限提升至Root级别。受波及系统涵盖Linux内核6.1-rc1及以上版本及5.15.54以上长期支持分支。

美国司法部联合荷兰警方近日开展跨国执法行动，成功摧毁依托Anyproxy.net与5socks.net构建的超级僵尸网络，查封相关域名并起诉四名外籍主犯。该网络通过感染全球逾70万台老旧废弃路由器，将其转化为匿名代理服务器在黑市出租，订阅费每月9.95至110美元不等，目前已证实犯罪活动持续超20年。

2025年5月，博通作为VMware母公司实施激进许可政策，要求永久许可证到期客户强制回滚非高危安全更新，否则将面临法律诉讼。该政策仅允许保留CVSS评分9.0以上补丁及零日漏洞修复，迫使企业重新暴露于已知漏洞风险中。网络安全专家警告，此举可能重演 "永恒之蓝 "漏洞被WannaCry勒索软件大规模利用的灾难，黑客可轻易扫描定位已回滚的脆弱系统。

近日据外媒报道，德国联邦刑事警察局联合荷兰金融犯罪调查局于2025年4月30日突击关闭加密货币交易所eXch（exchange.cx），扣押价值3400万欧元的加密资产及8TB关键数据，创德国史上第三大加密资产查没案。调查显示，该平台自2014年起通过明暗网提供匿名交易服务，完全规避身份验证及反洗钱监管，涉嫌为黑客组织等犯罪集团洗钱超19亿美元。

2022年，司法部长帕克斯顿起诉谷歌非法跟踪和收集用户的私人数据，包括地理位置、匿名搜索和生物识别数据。经过多年的激烈诉讼，司法部长帕克斯顿近日同意和解，谷歌将向德克萨斯州支付近14亿美元，以了结诉讼。