FreeBuf早报 | Windows内核0Day漏洞遭野外利用提权；虚假NPM软件包窃取GitHub凭证
💡
原文中文，约2300字，阅读约需6分钟。
📝
内容提要
近期全球网络安全事件包括虚假NPM包窃取GitHub凭证、Windows内核高危漏洞、AI企业泄露敏感信息及Chrome修复JavaScript漏洞。攻击者利用新工具进行钓鱼攻击，金融业面临隐性风险，企业需加强安全防护。
🎯
关键要点
- 虚假NPM软件包窃取GitHub凭证，下载量超20万次，凸显软件供应链风险。
- Windows内核高危漏洞CVE-2025-62215已被利用，需立即修补。
- 65%顶级AI企业因创新优先暴露API密钥，面临数据泄露风险。
- Chrome修复V8引擎高危漏洞，建议用户尽快更新。
- GlassWorm蠕虫利用隐形Unicode字符感染开发者，需加强安全审查。
- 新型Quantum Route Redirect工具发起全球钓鱼攻击，影响90国用户。
- Firefox发布安全更新修复15个漏洞，建议立即升级。
- 制造业企业面临云平台和AI服务攻击，需加强防御措施。
- 金融业技术供应商网络安全薄弱，存在高风险漏洞。
- DDI与AI融合提升网络韧性，需防范AI攻击并共享威胁情报。
❓
延伸问答
虚假NPM软件包是如何窃取GitHub凭证的？
虚假NPM软件包伪装成合法组件，下载后执行恶意脚本，专门窃取GitHub令牌。
Windows内核的CVE-2025-62215漏洞有什么影响？
该漏洞允许攻击者提升权限至SYSTEM，影响所有Windows版本，需立即修补。
AI企业面临哪些安全风险？
65%的顶级AI企业因创新优先暴露API密钥，面临模型窃取和数据泄露风险。
Chrome修复了哪些漏洞？
Chrome修复了V8引擎的高危漏洞CVE-2025-13042，建议用户尽快更新。
GlassWorm蠕虫是如何感染开发者的？
GlassWorm蠕虫利用隐形Unicode字符感染VS Code扩展及GitHub仓库，威胁开发者。
金融业的网络安全风险有哪些？
金融业技术供应商的网络安全薄弱，存在高风险漏洞，监控不足导致系统性风险。
➡️
