SANS Stormcast Monday, July 20th, 2026: Hikvision Scans; LG Spyware; Huggingface Hack; Wordpress Core RCE
三句話摘要
2026年7月安全周報：HickVision相機API偵測掃描、LG監視器預裝惡意軟體、Hugging Face遭AI攻擊、WordPress核心RCE漏洞。 安全防護需從硬體層級（監視器）、社群平台層級（AI工具平台）到應用層級（內容管理系統）全面加強，尤其應留意新興攻擊工具鏈（如AI代理）與既有作業系統機制的結合威脅。 HickVision相機API新威脅：攻擊者掃描system/status端點進行指紋識別，這個端點總是可用，使得透過400/401/403錯誤進行暴力破解攻擊成為可能。這是首次觀測到針對此URL的大規模掃描活動。
重點整理
重點- 1
HickVision相機API新威脅：攻擊者掃描system/status端點進行指紋識別，這個端點總是可用，使得透過400/401/403錯誤進行暴力破解攻擊成為可能。這是首次觀測到針對此URL的大規模掃描活動。
- 2
LG監視器預裝惡意軟體機制：利用Windows Device Manager和Windows Update的自動驅動安裝機制，LG在監視器首次連接時就注入OnScreen Control Plus軟體，內含McAfee廣告。由於需要刪除系統登錄檔才能徹底卸載，且Windows Update會持續尋找新軟體，舊型監視器使用者長期受威脅。
- 3
Hugging Face AI社群遭全面攻擊：攻擊者利用資料集管道中的代碼執行漏洞進行初始滲透，隨後以AI代理進行橫向移動，窃取雲端和叢集憑證。該公司動員AI工具協助事件分析，未發現使用者密碼外洩但要求使用者自查。
- 4
WordPress核心SQL注入RCE：漏洞位於WordPress REST API，允許未認證攻擊者執行遠端代碼。受影響版本為6.9和7.0。建議方案包括安裝補丁、禁用匿名REST API存取、或部署API阻擋外掛。
實用技巧與重點
乾貨- HickVision ISAPI：使用基本/摘要認證的REST API，system/status端點用於相機指紋識別
- LG監視器惡意軟體：OnScreen Control Plus軟體，透過Windows Device Manager/Windows Update自動安裝
- Hugging Face攻擊鏈：資料集管道代碼執行漏洞 → AI代理橫向移動 → 雲端/叢集憑證竊取
- WordPress漏洞：版本6.9/7.0、SQL注入、WordPress REST API、未認證RCE
- WordPress修復方案：安裝最新補丁、禁用匿名API存取或安裝API阻擋外掛
- Gamer Nexus：已發佈LG監視器詳細調查報告
結論
結論“安全防護需從硬體層級（監視器）、社群平台層級（AI工具平台）到應用層級（內容管理系統）全面加強，尤其應留意新興攻擊工具鏈（如AI代理）與既有作業系統機制的結合威脅。”
完整解析
詳細本集StormCast匯報七月第三週的四項重大安全事件。首先是HickVision相機系統遭遇新型偵測掃描。這些網路連接監視器使用REST API進行遠端控制與配置，採用基本或摘要認證機制。研究人員觀察到攻擊者開始系統性掃描system/status端點，該端點會向掃描者揭露相機或DVR的裝置資訊。雖然當前看起來是偵測行為而非真實攻擊，但由於該端點總是可用，攻擊者可透過判讀404/401/403錯誤進行有效的暴力破解嘗試。
其次是LG監視器的廣告軟體風暴。LG聰慧地利用了Windows作業系統的Device Manager與Windows Update機制——原意是自動安裝新硬體驅動以簡化使用者體驗——來大規模分發OnScreen Control Plus軟體。該軟體包含侵入性廣告（最常見的是McAfee防毒軟體的推銷），且卸載困難，需要刪除系統登錄檔。由於Windows Update會持續檢查硬體驅動，即便是舊型LG監視器的使用者也會持續受到威脅。Gamer Nexus網站提供了深入調查，涵蓋LG智慧電視的相關問題。
第三起事件涉及AI社群平台Hugging Face的重大資安事故。攻擊者以AI代理進行全面攻擊，最初透過上傳資料集到管道中，觸發代碼執行漏洞以取得初始存取權。隨後攻擊者利用AI工具進行橫向移動，成功竊取雲端與叢集認證。Hugging Face建議所有使用者輪換存取令牌並檢查帳戶活動。官方聲明中提到他們動員AI工具來分析此事件，雖然當前通知仍相對簡短，但預期會釋出更詳細的後續報告。
最後是WordPress核心漏洞。搜尋光網路安全研究團隊發現WordPress 6.9和7.0版本的REST API存在SQL注入漏洞，允許未認證攻擊者執行遠端代碼。修復方案包括立即安裝最新補丁、停用對API的匿名存取，或透過外掛進行存取限制。鑑於WordPress的廣泛使用，此漏洞影響範圍甚鉅。
關鍵時刻
Pipeline v2帶時間戳的重點，會在逐字稿層級分析上線後產生。目前請先透過原始影片觀看。
事實查核
Pipeline v2說法查證是下一次管線升級的一部分。KeyFrame 只會顯示它真正能驗證的內容。
