以色列资安公司Dream Security说，研究人员10月25日发现了一次大规模攻击留下的文件：黑客利用PHP的两个漏洞，再接上Linux内核的一个漏洞，取得了美国、日本、台湾和韩国共25台防火墙和服务器的最高权限。被攻破的是Palo Alto Networks公司的PAN-OS防火墙，黑客打的是这些防火墙开在互联网上的管理网页。黑客先用中国的网络资产搜索引擎FOFA在全球找到约1万9000台这类防火墙，最后选定美日台韩四地的240台作为目标。最后有24台防火墙被拿到最高权限，加上美国一个与政府有关的机构的一台内部管理服务器，一共25台。
数据：以色列资安公司Dream Security 10月26日发布、29日更新的报告
受影响的是把这类防火墙的管理网页开在互联网上、又还没修补的机构和企业。Dream说，被攻破的防火墙里有两台属于美国一个与政府有关的机构，黑客从那里架起通往内网的隧道，连到了域控制器；另外22台防火墙上仍留着黑客的后门。韩国国内有没有设备受害，目前还不清楚。
Dream说，不把这次攻击归给任何有名字的黑客组织，但列出了几项迹象：黑客只挑美日台韩四地的设备，用中国的FOFA找目标，攻击机器的时钟是中国标准时间，攻击平台的记录里有中文指令，平台还配置了中国的DeepSeek和Kimi模型。Dream也说，攻击者的机器上装了Anthropic的Claude Code，但没有直接证据证明是AI工具写出了攻击程序。Dream说，Palo Alto Networks的威胁研究团队Unit 42已经独立核实了攻击者的工具和战果，Palo Alto Networks正在为受影响的版本发布修补版本。
美国网络安全和基础设施安全局10月26日把两个PHP漏洞列入已知被利用漏洞目录，处理期限定在10月29日；28日又列入Linux内核的那个漏洞。台湾数位发展部资安署10月29日晚发新闻稿说，资安署和资安院初步研判，这类设备的管理界面通常不对互联网开放，攻击者难以直接从外网连入；但管理界面已经对外开放、又没有修补的设备仍有被入侵的风险，各机关和企业应尽快检查设定、完成修补。
- 2026年10月8日按Dream的时间线，攻击者开始做准备
- 2026年10月24日按Dream的时间线，攻击者这一天进行入侵后的后续操作
- 2026年10月25日Dream的研究人员发现这次攻击留下的文件
- 2026年10月26日Dream发布报告；美国网络安全和基础设施安全局把两个PHP漏洞列入已知被利用漏洞目录
- 2026年10月28日该局把Linux内核的那个漏洞列入目录
- 2026年10月29日两个PHP漏洞的处理期限；Dream更新报告；台湾资安署晚间发新闻稿
- 2026年10月31日Linux内核那个漏洞的处理期限
数据：Dream Security的报告，美国网络安全和基础设施安全局的已知被利用漏洞目录，台湾数位发展部资安署的新闻稿
茉莉花观察
这一节是茉莉花的看法，依据是上文的事实。
我们的分析我们认为，这次攻击最可能出自与中国有关的黑客。这是因为，黑客只挑美日台韩四地，用的是中国的搜索引擎和中国的AI模型，机器时钟是中国标准时间，攻击平台的记录里有中文的用户消息；这几项分属目标、工具、时区和语言，却指向同一边。
不同看法Dream自己说，不把这次攻击归给任何有名字的黑客组织。我们同意现在还说不出是哪一个组织，但这不改变我们的看法。这是因为，说不出组织的名字，不等于说不出来自哪里：Dream说，Unit 42也把这批活动归给一个说中文、在东八区的攻击者。
后续走向美国政府会不会公开说这次攻击和中国有关。我们判断，到2026年12月31日，美国网络安全和基础设施安全局谈到这次攻击的公告和指令，都不会写攻击者来自哪个国家。这是因为，这个机构2024年1月就Ivanti设备、2025年9月就思科防火墙被大规模入侵发出紧急指令时，都只写“威胁行为者”，没有写来自哪国；思科那份到2026年4月更新，也还是没写。黑客在全球找到约1万9000台把管理网页开在互联网上的防火墙；资安署说，这类网页本来通常不对外开放。
综合中央通讯社、中央社、以色列资安公司Dream Security、美国网络安全和基础设施安全局 CISA报道
数据：美国网络安全和基础设施安全局 CISA
