泛微e-cology remarkOperate远程命令执行漏洞

墨菲安全联合公安三所、国泰海通证券发布《漏洞及投毒情报应用实践指南》2026版，指南指出企业安全面临组件选型风险、告警误报多、影响范围错误、漏洞细节缺失四大痛点，亟需提升情报应用能力。

《安全度量最佳实践2026版》为企业安全治理提供系统化解决方案。该实践基于ESSF框架，提出CSI、SAI、SII三类核心指标，将传统“问题清单”升级为可量化的“风险指数”。报告包含7大章节，从需求调研到常态化运营，完整覆盖安全度量建设路径，重点解决管理层决策难、跨部门协同弱、成效评估模糊等痛点。通过建立统一的安全度量语言，实现风险可视化、责任可追溯、治理可闭环，推动企业安全建设从经验驱动转向数据驱动。该实践整合多行业头部企业经验，为企业提供可落地的量化治理方案。

《开源安全治理最佳实践2026版》发布，揭示开源安全严峻态势：2025年新增漏洞42万+，恶意组件5.9万+，53%企业存在许可证冲突。报告指出企业面临资产不清、漏洞难修、风险难防三大痛点，提出覆盖全生命周期的七大治理方案，包括现状分析、技术选型、组织推动等关键环节。报告强调开源治理需建立SBOM管理、前置拦截等五项核心能力，并提供从认知到落地的完整方法路径。该报告由墨菲安全联合中国电信研究院及行业专家共同编制，基于数百家企业实践，旨在帮助企业构建可持续的开源安全治理体系。

企业安全团队在年中汇报时常陷入“数据丰富但价值模糊”的困境，管理层更关注安全投入的实际效果而非过程数据。核心矛盾在于缺乏统一语言量化风险水平、比较行业差距、定位薄弱环节及优化预算分配。墨菲安全SGP平台通过AI驱动的安全治理框架（ESSF），将专业数据转化为可理解的指标（如CSI），从整体水位、风险变化、能力覆盖等维度提供科学度量，帮助安全团队用经营视角回答管理层关切的五大核心问题，实现从“成本中心”到“价值证明”的转变。

以某头部汽车电子企业真实安全治理实践，探讨SCA（软件成分分析）在复杂软件场景中的流程化落地。企业面临的痛点包括组件资产不透明、漏洞响应低效、第三方系统治理盲区等。解决方案并非单点工具部署，而是构建覆盖开发到运营的全流程组件安全管理体系，重点包括： 流程嵌入：将墨菲安全SCA接入代码仓、流水线、镜像仓等关键环节，实现风险前置； 多场景覆盖：治理源码、镜像、私有组件库及存量系统，减少盲区； 应急支撑：通过资产底座快速定位漏洞影响范围，提升响应效率； 策略分层：分场景设置合理阻断规则，平衡安全与研发效率。

出海智能制造企业面临开源安全治理新挑战，风险边界已从组件漏洞扩展到供应链攻击、恶意投毒等新场景。这类企业因涉及固件、嵌入式软件等多环节，风险影响更复杂，且海外监管日益严格。墨菲安全研究院联合涂鸦智能、安克创新发布《出海智能制造开源安全治理最佳实践》，针对SBOM、许可证合规等核心问题，提供从风险识别到持续改进的治理方案，助力企业将安全治理转化为长期能力。

AI Skill安全风险引发供应链安全新挑战。随着AI Agent功能扩展，各类 Skill 虽提升效率，却暗藏安全隐患：恶意Skill可能窃取SSH私钥、环境变量等敏感信息，或通过隐蔽指令泄露数据。墨菲安全SCA推出Skills检测模块，从代码、提示词、操作指令等多维度分析风险，提供具体证据而非笼统警告。建议企业在引入Skill前进行安全审查，平衡效率与安全，避免“有用但危险”的Skill进入生产环境。

供应链投毒攻击正在从开源组件仓库扩散到 CI/CD、IDE/浏览器插件和 AI 生态。墨菲安全“供应链投毒风险治理方案”，帮助企业建立“感知-检测-阻断”一体化治理思路。

墨菲安全与超聚变深度合作，共同打造FusionOS26 AI原生操作系统安全方案，获评“聚智·同行伙伴”。双方围绕软件供应链安全展开合作，推动安全能力从单点防护向原生融合演进。墨菲安全通过AI技术重构漏洞治理效率，将安全能力工程化，并构建平台化安全协同体系，实现从风险识别到价值量化的转变。同时，墨菲安全持续扩展AI生态安全能力，覆盖新型风险场景。未来，安全行业将聚焦构建具备持续风险理解与治理能力的AI原生系统，墨菲安全将继续深化与行业伙伴合作，推动安全能力成为企业核心能力。

企业安全治理面临SCA工具效率低下的痛点：传统产品仅提供漏洞信息而非行动方案，导致安全、研发、法务多角色沟通成本高。墨菲安全SCA4.0通过AI原生重构实现三大突破：1、AI自动输出可执行结论，让研发无需安全背景即可完成修复；2、将单漏洞处置时间从数小时缩短至分钟级；3、扩展检测范围至AI生态（如Skills供应链安全）。该方案颠覆了“信息交付”模式，通过AI驱动全流程决策，真正实现低成本高效治理。

墨菲安全推出AI原生安全治理平台(SGP)，基于企业安全治理框架(ESSF)实现科学度量和高效治理。SGP通过动态更新的开源框架统一安全度量标准，让企业管理者、业务部门和安全团队都能清晰理解安全水位。平台利用墨思AIAgent重构安全问题处置流程，实现300倍效率提升，包括智能研判、优先级排序和一键处置等功能。SGP核心价值在于“让安全价值被看见”和“让问题处置更高效”；旨在改变安全部门长期面临的“背锅”困境。产品经过2年打磨和头部企业试点，现正式开放体验通道，创始人将全程支持试用过程。

《2025软件供应链投毒风险报告》揭示攻击边界正从传统组件仓库向IDE插件和AI工具链扩展。报告指出，VSCode、Chrome等插件因高权限和用户信任成为新型攻击载体。AI生态更出现“幻觉投毒”新手法。软件供应链安全边界正在消失，企业必须将防御范围扩展到研发终端和AI风险领域。

《2025年软件供应链投毒风险研究报告》显示，软件供应链投毒风险呈现三大致命演变：攻击精准化，从随机钓鱼转向针对特定目标的定制化攻击；传播自动化，Shai-Hulud蠕虫式攻击在2天内感染500多个NPM组件，波及2万多个GitHub仓库；危害直接化，攻击目标转向直接获利，如TrustWallet因投毒损失850万美元。表明软件供应链投毒已从边缘风险升级为核心安全威胁，亟需升级防御策略。

2025年开源软件供应链投毒威胁显著加剧，全年投毒包总量达59,000个，较2024年增长超50%。攻击呈现三大新趋势：定向精准狩猎取代广撒网式攻击；蠕虫式传播（如Shai-Hulud事件）导致大规模感染；目标转向可直接变现的高价值凭据。墨菲安全研究院发布《2025年度软件供应链投毒风险研究报告》，提出自动化检测、终端管控等系统性治理建议，为企业安全团队提供应对方案。

高权限AI代理（如OpenClaw）正面临严重安全风险，包括提示词注入攻击和恶意Skill扩展。研究发现约10%的第三方Skill存在投毒行为，通过文档引导、分阶段投放等方式执行恶意操作，导致数据泄露和权限获取风险。企业应隔离不可信输入、严格审查第三方Skill，并限制代理权限范围。文章提供了相关IOC指标和恶意Skill清单，建议采取沙箱运行、最小权限等防护措施。

近日，网络安全垂直领域的产业研究机构——数说安全，发布了备受瞩目的《2025年中国网络安全新势力30强》榜单。墨菲安全凭借在软件供应链安全领域的突出表现与持续创新，连续第二年荣耀登榜，这不仅是对墨菲安全技术实力与产品化能力的持续认可，也印证了公司在产品创新、服务落地与行业贡献方面的长期价值。

2025年11月24日，墨菲安全实验室检测到数小时内NPM仓库中超过300个组件被相同的方式投毒，这些包在NPM仓库中发布的新版本仿冒引入Bun运行时，引入 preinstall: node setup_bun.js，以及混淆的 bun_environment.js 文件。

NPM组件@capacitor-bmo/biometric等多个包存在高危投毒漏洞，安装后会窃取主机名、用户名、IP地址并发送至攻击者服务器。影响ember-lts-4.4、gannache、solana-pump-test等50余个组件特定版本，无修复版本。利用成本低、可能性中，建议立即排查卸载受影响包，删除依赖重装，检查系统异常通信及敏感凭证安全，加强依赖管理。

【高危】NPM组件投毒漏洞影响@mz-codes/const等多个包，安装后会窃取主机名、用户名、IP等敏感信息并发送至攻击者服务器。受影响版本多为特定版本（如@mz-codes/const@1.1.3、orion-ui@0.1.0-9.2.2等），目前无最小修复版本。利用成本低，可能性中。建议立即排查并移除恶意包，删除node_modules和package-lock.json后重装依赖，检查系统安全，加强依赖管理，仅用官方源并定期审计。

CVE-2025-9132是Google Chrome V8引擎高危越界写入漏洞，影响V8<14.1.58（对应Chrome<141.0.7355.0）。因V8解析C风格for循环内await using声明时存在逻辑缺陷，生成错误字节码，JIT编译器处理时触发越界内存写入，可破坏内存结构导致浏览器渲染器进程执行任意代码。修复通过修改解析函数，强制将相关变量模式视为常量以确保异步资源释放正确处理。建议升级V8至14.1.58+或Chrome至141.0.7355.0+。