Infosec 简报：CA 支持台沦陷、内核提权与 ATT&CK 战术重组#
本期覆盖 DigiCert 支持门户入侵与 EV 代码签名吊销、MOVEit 在野利用信号、cPanel 认证绕过、Linux「Copy Fail」本地提权、AI 代理删库警示、Musk 蒸馏作证、犹他州年龄验证与 VPN 立法、诊室 AI 病历争议、MITRE ATT&CK v19 拆分，以及 Mitchell Hashimoto 迁出 GitHub。各节标注证据边界。
信任链被社工击穿：DigiCert 支持门户#
发生了什么。 SecurityWeek 转述 DigiCert 事件报告：4 月 2 日攻击者经客户聊天渠道投递伪装为截图的恶意载荷，感染支持人员终端后进入内部支持门户，利用分析师代客操作获取 initialization codes，为已批准订单签发约 60 张 EV Code Signing 证书（其中 27 张明确关联威胁行为者）；社区报告称 11 张用于签署 Zhong Stealer。第二台终端 4 月 14 日才被发现，厂商归因于终端上安全产品故障（malfunctioning security solutions）。4 月 17 日前相关证书已吊销。ZIP 内 .scr 投递细节见于节目讨论，SecurityWeek 正文未写扩展名（待核实是否见于 DigiCert 原文；厂商新闻页本次未能抓取正文）。
技术含义。 EV 代码签名主要改善静态信誉与落地阶段；不等于可跳过 EDR 行为检测——「进门证件」之后仍应监控进程与网络。
工程师应对。 审计本组织 EV/代码签名证书链；对支持渠道附件做隔离沙箱；签名样本仍走行为检测。
热门文件传输与托管面板：补丁优先级#
发生了什么。 节目称 MOVEit 再次出现在野利用，厂商已发布补丁且尚无公开 PoC；浏览器标签 OCR 为「Progress warns of critical MO…」。本轮具体 CVE 编号与 Progress 公告正文本次未能从 NVD/CISA/厂商站核实（unable to verify）。cPanel/WHM 侧，CVE-2026-41940 为登录流认证绕过（CWE-306），CVSS 9.8，未授权远程访问控制面板；CISA KEV 于 2026-04-30 列入。
技术含义。 热门 SaaS 与托管面板常成「影子 IT」——市场部门多年前买的站仍暴露 cPanel，与企业 LDAP/密码复用叠在一起。MOVEit 细节待厂商 primary 补齐前，有部署即应跟踪 Progress 安全频道。
工程师应对。 有 MOVEit 实例：立即查 Progress 安全公告并打补丁。资产清点 cPanel/WHM（含 GoDaddy 等代建站）；升级至厂商 2026-04-28 安全更新所列修复版本。
内核逻辑缺陷：Copy Fail（CVE-2026-31431）#
发生了什么。 社区称 Copy Fail；CVE-2026-31431 源于 Linux 内核 crypto: algif_aead 就地优化引入的逻辑缺陷，经 AF_ALG / splice 路径可对 page cache 产生可控写，实现本地提权（oss-security、copy.fail）。copy.fail 称 PoC 约 732 字节、no race；CISA KEV 2026-05-01 列入。NVD CVSS 7.8（AV:L）。
技术含义。 修复需内核包更新并重启；仅装 unattended-upgrades 而不重启，暴露窗口会被拉长（运维推断，非统计结论）。
工程师应对。 对照发行版 stable 公告打内核补丁；维护窗口内重启；云单机亦纳入提权面评估。
AI 代理权限：PocketOS 删库与 Musk 蒸馏作证#
发生了什么。（删库） The New Stack 报道（2026-04-25，第三方叙述）：汽车租赁 SaaS PocketOS 的 Cursor 编码代理在不足十秒内删除生产库，且卷级备份与生产处于同一 blast radius；根因包括 Railway CLI token 权限过宽、代理未先征得人工确认。节目对「创始人甩锅 AI」持怀疑（人为 rm、营销等，演讲者观点）；即便属实，风险在 God-mode OAuth/MCP 与无隔离备份。
发生了什么。（蒸馏） TechCrunch 报道：Musk 在诉 OpenAI 非盈利使命违约案中作证，被问及是否用 distillation 在 OpenAI models 上训练 Grok 时，先称行业普遍，追问下回答 「Partly.」（报道原文引号）。
工程师应对。 AI 代理：只读/分环境凭证、plan mode 审阅、备份与生产隔离。模型供应链：把 API 输出蒸馏视为与权重窃取同级的威胁建模输入（厂商公开反对第三方蒸馏与诉讼证词并存，动机解读为演讲者观点）。
年龄验证立法与 VPN：犹他州 SB 73#
发生了什么。 据节目屏摄 Tom’s Hardware 等 secondary 报道（官方法条全文本次未能抓取核实）：Utah Online Age Verification Amendments（Senate Bill 73） 拟于 5 月 6 日生效；用户在犹他州物理位置即视为本州访问，不得向 covered websites 提供如何用 VPN 绕过年龄检查的教程。NordVPN 称 unresolvable compliance paradox、liability trap；EFF 警告可能封禁已知 VPN IP 或对全球访客强制年龄验证。网站侧难以可靠区分 VPN 与真实地理位置（报道论点）。
技术含义。 合规压力可能外溢为 IP/ASN 封禁或全球年龄门，与隐私工具生态冲突；检察官若要证明用户「用 VPN 违法」举证路径仍极难（演讲者观点）。
工程师应对。 在美运营且触达犹他用户的产品：做法务与地理合规评估；勿假设仅 IP 库即可区分 VPN。
诊室 AI 病历与 ATT&CK v19#
发生了什么。（病历） Emily M. Bender 与 Decca Muldowney 在 buttondown.com 发文（节目屏摄，精确 URL 待核实），标题大意 Why you should refuse to let your doctor 使用 AI scribing，列举九条理由建议患者拒绝同意第三方录音转病历（隐私、同意、自动化偏见、disparate impact 等）。节目辩论：隐私/HIPAA 是独立合规议题，临床医生亦依赖转录检索（多方观点，非单一结论）。
发生了什么。（ATT&CK） ATT&CK v19（2026 年 4 月）将原 Defense Evasion 拆为 Stealth — TA0005（继承编号，hide and conceal）与 Defense Impairment — TA0112（削弱防御）；T1562 退役，由 T1685 Disable or Modify Tools 承接；新增 T1687 Exploitation for Defense Impairment 等。
工程师应对。 医疗场景：知情同意与数据用途写清，勿默认 opt-in。蓝队：按 MITRE transition 材料重映射检测规则与标注（节目玩笑称用 Claude 填表，非运维建议）。
开发托管可用性：Ghostty 迁出 GitHub#
发生了什么。 HashiCorp 联合创始人 Mitchell Hashimoto（2026-04-28）发文：近月几乎每日因 GitHub outage（含 GitHub Actions）影响工作，称 GitHub「no longer a place for serious work」，将把终端 Ghostty 主开发迁出；GitHub 只读镜像与个人项目仍保留。文内将 4 月 27 日 Elasticsearch 大规模中断与自己所抱怨的中断明确区分（非同一事件）。The Register 同期报道细节本次未二次抓取。
技术含义。 争议在可用性/CI 中断而非隐私；Git 分布式仍保留本地克隆恢复路径（节目讨论）。
工程师应对。 关键私有仓评估第二托管或自托管（如 GitLab）；对 Actions 依赖做降级与镜像预案。
整理自公开来源与节目讨论；Claude 侧栏报道、Trellix 源码库闲聊等无技术锚点话题从略。
