美国网站托管与域名服务商DreamHost被攻击 涉及多种敏感数据泄露
内容提要
DreamHost确认其网页文件管理器漏洞遭利用，攻击自2026年8月持续至10月23日被发现。攻击者窃取用户FTP/SFTP凭据和会话令牌，可绕过密码直接访问账户及服务器文件，甚至篡改网页植入恶意脚本；部分网页邮箱登录凭证亦泄露。公司正联系受影响用户，建议立即更换所有密码、检查网站文件及邮箱转发规则。
延伸解读
漏洞利用的连锁风险
攻击者利用网页文件管理器漏洞，不仅窃取FTP/SFTP凭据，还获取会话令牌，从而绕过密码直接访问账户。这意味着即使密码未泄露，攻击者也能以用户身份操作服务器文件。对于托管网站的用户，攻击者可能导出源文件和数据库配置，甚至篡改网页植入恶意脚本，导致访客面临风险。这种连锁效应放大了数据泄露的后果。
三个月攻击窗口的潜在影响
攻击从2026年8月持续到10月23日被发现，长达约三个月。在此期间，攻击者可能已多次访问用户账户和服务器，窃取或篡改数据。由于DreamHost在发现异常后才关闭文件管理器，用户需假设自己的账户在窗口期内可能被入侵。潜在危害包括敏感文件泄露、网页被植入恶意代码，以及邮箱内容被窥探，具体影响取决于用户在此期间是否登录过文件管理器。
用户应采取的紧急措施
DreamHost建议用户立即轮换所有密码，并检查网站文件是否有陌生脚本、新增文件或未经授权的修改。同时，应检查网页邮箱的转发规则和过滤器，确认邮件未被转发到陌生地址。这些措施有助于发现和阻断攻击者的持续访问。由于攻击者可能已获取会话令牌，仅改密码可能不足，还需留意账户异常活动，并遵循服务商的进一步指引。
Q&A
DreamHost 这次被攻击是怎么回事？
DreamHost 确认其网页文件管理器存在安全漏洞，攻击者利用该漏洞访问运行该工具的服务器，窃取了部分客户的 FTP/SFTP 凭据、会话令牌和网页邮箱登录凭证。攻击活动从 2026 年 8 月左右持续到 10 月 23 日，DreamHost 在 10 月 23 日发现异常后才关闭文件管理器并展开调查。
攻击者是怎么绕过密码直接访问用户账户的？
攻击者窃取了用于保持登录状态的会话令牌。有效的会话令牌可以绕过账号和密码验证，直接以用户身份访问 DreamHost 上的相关资源和服务。
DreamHost 用户哪些数据可能已经泄露？
泄露的数据包括：部分用户的 FTP/SFTP 用户名和密码、用于保持登录状态的会话令牌、部分网页邮箱系统的登录凭证。此外，用户服务器上的网站源文件、数据库配置信息等敏感文件也可能被攻击者导出。
攻击者拿到 FTP/SFTP 凭据后能做什么？
攻击者可以直接连接用户的服务器，导出服务器上的所有文件，例如网站源文件和数据库配置信息。由于拥有修改权限，攻击者还可以修改网页源文件，添加远程恶意脚本，使其他访问该网站的用户也面临攻击风险。
DreamHost 建议用户采取哪些应急措施？
DreamHost 建议用户立即轮换所有密码，并检查网站文件，留意陌生脚本、新增文件和未经授权的修改；同时检查网页邮箱中的转发规则和过滤器，确认邮件没有被转发到陌生地址。
这次攻击持续了多久？为什么危害难以估量？
攻击活动从 2026 年 8 月左右持续到 10 月 23 日，约 3 个月。由于攻击者拥有修改权限，可以在网页源文件中植入恶意脚本，期间造成的潜在危害难以估量。
