編碼與加密 · 2026-09-28
Citrix 修補兩個遭積極利用的 NetScaler RCE 零時差漏洞，並揭露 Cloudflare 與 Oracle 堆疊中浮現的編碼層缺陷
重點結論
Citrix 於 9 月 27 日確認 NetScaler ADC 與 Gateway 遭受到遠端程式碼執行攻擊，並釋出兩個零時差漏洞及其他六個漏洞的修補程式，其中包含一個會影響所有部署（包括預設組態）的漏洞。數天前，ShinyHunters 透過對酬載進行 URL 編碼以躲避與 CVE-2026-35273 綁定的 WAF 規則，恢復了對 PeopleSoft 的攻擊利用；此外，Cloudflare 修復了 Workers Containers 中的一個跨租戶資料外洩問題。
一句話總結：值得關注的工具：用於 WAF 規則測試的百分號編碼解碼器、用於安全性酬載的 URL 編碼視覺化工具、容器殘留資料清理檢核清單、AMD 驅動程式簽章查詢輔助工具（供端點防禦者使用）、以及 AI 市場適用的連接器安全性審查工作表。
來源報導了什麼
Citrix NetScaler 零時差漏洞影響預設組態
Citrix 於 9 月 27 日證實，兩個先前未修補的 Citrix NetScaler ADC 與 NetScaler Gateway 漏洞允許遠端程式碼執行，且已在野外遭利用。廠商同時針對這兩個漏洞以及其他六項缺陷發佈修補程式。其中一個重大漏洞影響所有執行受影響版本的部署，包括採用預設組態的部署，這縮短了尚未完成分段或強化的團隊可應變的時間窗口。此漏洞在一家安全公司公開其研究結果的後一天被揭露。
URL 編碼繞過手法重啟 Oracle PeopleSoft 攻擊
ShinyHunters 正利用一種 URL 編碼手法，使惡意酬載得以繞過旨在緩解 CVE-2026-35273 的網頁應用程式防火牆規則，從而讓該組織得以恢復對有漏洞的 Oracle PeopleSoft 伺服器的大規模利用。這項技術凸顯一個熟悉的編碼層弱點：以解碼後字串建立特徵的防禦者，如今正遭到武器化編碼機制本身（而非其下的酬載）的攻擊者繞過。在 PeopleSoft 前面部署 WAF 的團隊應將編碼器正規化視為一等公民的控制機制，並驗證其規則集在向上游轉發前會檢查百分號編碼形式。
Cloudflare 修補 Workers Containers 中的跨租戶資料外洩漏洞
Cloudflare 修補 Containers 與 Sandboxes 中的一項漏洞，該漏洞讓擁有 Workers Paid 帳戶的客戶得以從共用同一台實體主機的其他客戶容器中，恢復殘留資料。對於透過容器邊界隔離租戶的團隊而言，此事件提醒：殘留資料的清理與主機層級的清理，是編碼與序列化合約的一部分，而非另一個獨立議題。受影響的帳戶應確認在曝光期間有哪些容器映像與快取物件處於運作狀態。
一個四階段的 MaaS 竊取程式濫用 AMD 驅動程式來關閉防禦機制
Lunex 竊取程式隸屬於 Psychedelic Stealer 惡意程式即服務平台，目前透過遭入侵的烏克蘭網站進行散布，並使用仿冒 Cloudflare CAPTCHA 的 ClickFix 風格頁面。一個四階段的攻擊鏈最終利用 AMD 驅動程式來停用安全監控，再從使用烏克蘭語的使用者身上竊取瀏覽器憑證。這裡的編碼切入點在於社交工程外殼：偽造的驗證頁面在受害者端將多階段下載流程「正常化」，並透過已簽署驅動程式的濫用來模糊遙測資訊。
Anthropic 將 AI 工具整合進單一的 Claude Marketplace
Anthropic 推出 Claude Marketplace，將外掛、連接器、代理程式與相關 AI 工具集中於單一處，總計超過 2,000 個項目。對於要把編碼或雜湊後資料整合進模型管線的實務工作者而言，該市集提供單一的散布點，可在採用任何連接器之前，先對其密碼學處理、簽章與傳輸安全性進行稽核。
實務工作者待辦後續檢查
- 立即套用 9 月 27 日的 Citrix NetScaler 修補程式，並稽核修補前遭利用的指標，特別是採用預設組態的設備。 - 針對鎖定 CVE-2026-35273 的酬載，針對其百分號編碼變體重新測試 WAF 規則覆蓋率，並確認上游解碼器在特徵比對前先完成正規化。 - 與 Cloudflare 確認哪些 Workers Containers 或 Sandboxes 工作負載曾於受影響主機上執行，並輪替任何可能外洩的金鑰、權杖或快取酬載。 - 將烏克蘭語網路流量的政策比照憑證竊取流量的方式處理，並留意會透過已簽署驅動程式濫用來升級攻擊的 ClickFix 風格 Cloudflare CAPTCHA 假冒行為。 - 清點自新 Claude Marketplace 引入的任何連接器或代理程式，並在授予其正式環境資料存取權之前，檢視其傳輸、簽章與身分模型。
對工具的意義
- 用於 WAF 規則測試的百分號編碼解碼器
- 用於安全酬載的 URL 編碼視覺化工具
- 容器殘留資料清理檢核表
- 端點防禦者適用的 AMD 驅動程式簽章查詢工具
- AI 市集連接器安全審查工作表
站內相關工具
- SHA1 雜湊產生器產生一個 SHA-1 訊息摘要，來自精確的 UTF-8 文字或本機檔案位元組，並明確警告碰撞攻擊的風險。
- Gzip 壓縮與解壓縮將 UTF-8 字元的文字壓縮為包裝 RFC 1952 的 Base64-wrapped gzip 位元組，或解壓縮 gzip Base64 回到嚴格有效的 UTF-8 文字。
- Base64 到 十六進位轉換器將 RFC 4648 Base64 轉換為精確的小寫十六進位位元組，或將嚴格的十六進位位元組轉回 Base64。
- 文字轉為十六進位將文字編碼為精確的 UTF-8 十六進位字串，支援連續、間隔或 0x 預設輸出格式，並明確顯示 Unicode 替換警告。
AI 顧問觀點
以下討論由 AI 生成並翻譯為繁中；標註「AI-generated」，非真人作者。
Ellis Pryce
Frontend Performance Engineer · AI-generated · 2026-09-28
從前端的角度來看，編碼層（encoding-layer）這個主題最令我擔憂，因為成本會直接反映在客戶端。當防禦方在比對之前先將百分比編碼（percent-encoded）的形式進行標準化時，我們的應用程式就不必為了遙測而反覆往返重新編碼酬載（payload），工作者執行緒（worker）也不用在主執行緒上反覆解碼再重新填充大型緩衝區。Cloudflare 的事件是一個很有參考價值的對照：快取容器物件中殘留的資料，其行為非常類似於一種租戶已離開卻仍存活的服務工作者（service worker）快取，而輪替之後出現的 LCP 退步，通常是防禦方最先注意到的警訊。 我想補充一個簡報中沒有的部分，那就是一個瀏覽器端的編碼預算（encoding budget）。Claude Marketplace 的條目超過 2,000 個，而一個會在客戶端重新編碼或將酬載以雜湊包裹（hash-wrap）處理的連接器（connector），可能在安全審查啟動之前，就已經悄悄地在低階 Android 裝置上成為影響 INP 的主因。
Viktor Salz
Backend Data Engineer · AI-generated · 2026-09-28
從後端資料的角度來解讀 PeopleSoft 的切入點，WAF 繞過其實是一個偽裝成編碼技巧的交易邊界失敗。一條規則只對解碼後的酬載進行簽章比對，但從未將編碼器情境與紀錄一併保存，這使得百分編碼的變體得以溜過並向下游提交，因此同一個請求可以被 WAF「拒絕」、同時被應用程式「接受」，卻沒有任何一方指出不一致之處。若將編碼器的選擇視為請求真實性封包的一部分，並在解碼後的邏輯值與儲存值不同時予以拒絕，即可消除這個落差。9 月 27 日的 Citrix 修補日只會讓這種不對稱更加擴大，因為即使設備團隊修補了零時差漏洞，只要上游的 WAF 持續重新編碼它們剛剛阻擋下來的同一批酬乘，一切仍是徒勞。
Evidence資料來源（5）
- Warning: Two Unpatched Citrix NetScaler RCE Zero-Days Under Active Exploitation2026-09-27
- Lunex Stealer Abuses AMD Driver to Disable Security Monitoring and Steal Browser Credentials2026-09-26
- Cloudflare fixes Containers cross-tenant flaw exposing customer data2026-09-27
- Anthropic turns Claude into an AI marketplace with 2,000+ plugins and connectors2026-09-27
- ShinyHunters uses WAF bypass trick in Oracle PeopleSoft attacks2026-09-26
本頁分析由 Lizely AI 產生，內容以所連結的公開證據為根據；參與者為虛構的編輯角色，並非真人作者。