身份层：每日260万次攻击、一个CVSS 10.0的漏洞与涉及10,218,802人的数据泄露

同一天，两种不同的尺度

2026年9月16日成为四项彼此独立的记录落在同一天的日子。台湾数字发展部部长林宜敬在华盛顿的会晤中表示，台湾每天面临约260万次网络攻击。美国网络安全与基础设施安全局（CISA）把思科Identity Services Engine产品中编号CVE-2026-76460的漏洞，以CVSS满分10分中的10分列入“已知被利用漏洞”目录。个人数据保护局以第2026/2039号决定公布了12家公司的数据泄露通报；在能够确定人数的11家公司中，共有10,218,802人受影响。CloudSEK则报告称，针对中东的勒索软件活动从2025年4月的17条威胁情报记录增至2026年6月的357条，即增长超过20倍。

这四个数字并不站在同一尺度上。260万是一个规模尺度；它依据的是该部自身的测量，并未获得第三方证实。由于规模也包含自动扫描流量，它可以成为安全预算的理由，却不能显示断裂点。而CVSS 10.0则是一个结构性尺度：它意味着未经身份验证的远程攻击者可以用一个精心构造的请求绕过基于网页的管理界面的身份验证，并以根权限执行命令。10,218,802人的合计同样是一个越过阈值的尺度：这个汇总在单一决定中的数字，把事件从一起技术事故变成了一份监管卷宗。

目标如今是身份本身

CVE-2026-76460源自思科ISE中特权API的错误使用。据BleepingComputer报道，3.1、3.2、3.3、3.4与3.5版本以及ISE Passive Identity Connector受到影响；修复随3.1 Patch 12、3.2 Patch 11、3.3 Patch 12、3.4 Patch 7与3.5 Patch 4发布。没有临时缓解方案；SecurityWeek写道，在补丁完成之前可以通过基础设施访问控制列表阻止远程利用。思科的产品安全事件响应团队PSIRT确认存在活跃利用，但未指明攻击者。CISA在同一则通告中还把Acronis Backup产品中编号CVE-2026-87886的默认权限配置错误漏洞列入目录。

这里的差别在于产品的功能。ISE是企业网络中决定谁可以访问哪些资源的中枢组件；它被攻陷意味着落入攻击者手中的不是一台服务器，而是整个访问决策。同一周的其他记录也指向这一层：KVKK的通报中记载部分公司泄露了摘要形式的登录与口令信息，CloudSEK所审视的九个漏洞平均CVSS评分为9.2，台湾一侧的议程则转向后量子密码学与身份验证议题。攻击面正从终端转移到身份与访问层；在这一层，单一疏漏会让整个边界防御失去意义。各信源在日期上出现分歧：CISA的通告标注为9月16日，而SecurityWeek把思科公告与KEV收录都记为9月17日；这一分歧无法独立核实。

土耳其：既是受害者，也是集中点

KVKK名单上最大的一起泄露发生在经营Eve Kozmetik品牌的Yeni Mağazacılık A.Ş.：6,263,305名客户的姓名、电子邮箱与电话信息受影响。其后是涉及2,298,726人的Shaya Mağazacılık与涉及1,271,096人的Deniz Deniz Butik Tekstil；名单其余部分由从133,991人降至695人的较小通报构成，而İnternet Tekstil的人数尚未确定。通报中突出的共同原因，是第三方软件库中漏洞被利用。这12起事件是否属于同一场行动的一部分无法独立核实；但共同原因的反复出现表明，单一组件可以同时让数十家公司暴露。

区域图景指向同一方向。在CloudSEK覆盖2025年4月至2026年8月31日的报告中，以色列以7,112条记录居首；土耳其第二，其后是伊朗、阿拉伯联合酋长国与沙特阿拉伯。阿联酋录得2,588条、沙特阿拉伯录得1,880条活动指标；区域黑客行动主义活动中有37.8%以以色列为目标。据The National报道，土耳其在勒索软件目标排名中位居区域首位；突出的行业为制造、建筑、国防与物流。也就是说，土耳其在威胁总量上排第二，在以经济利益为目的的加密攻击上排第一。这一分化表明，攻击者与其说把土耳其视为政治目标，不如说视为具备支付能力的工业网络。活动总量最密集的月份是2026年3月，共2,245条记录。

防御按机构能力分化

真正的断裂不在威胁的分布，而在防御的分布。CISA要求联邦民事行政机构在3天内修补该漏洞；这一期限来自BOD 26-04指令，且只约束联邦机构。对于运行同一产品的能源、医疗、电信与金融运营商，则没有具约束力的时间表。KVKK名单上的公司处在尺度的另一端：以零售与纺织为主，从涉及695人的通报到涉及630万人的通报，大多是没有自有安全团队的中型企业。同一类漏洞，按机构能力的不同，被以三天到数月不等的修补时间来应对。

而攻击一侧的成本正在下降。CloudSEK报告称，MuddyWater在开发攻击工具时使用了谷歌的Gemini模型，APT42在生成钓鱼信息时使用了人工智能；林宜敬也表示攻击者已开始利用人工智能提高攻击效率。阿联酋的每日入侵尝试从战前的200,000次升至约800,000次，并有一名攻击者向一家私营公司索要超过500万美元的赎金。准备成本下降而修补成本保持不变；剪刀差正在这两条曲线之间张开。台湾试图在国家层面弥合这一差距：与OpenAI讨论了漏洞检测，与Meta讨论了身份验证与反欺诈，与Amazon讨论了卫星通信。但两个信源都没有提到具约束力的协议；具体的谅解文本无法独立核实。

应关注什么

三项指标具有决定意义。第一，被列入KEV目录的身份与访问管理产品漏洞的数量；这一序列将显示CVE-2026-76460是个别案例，还是某一类漏洞的首个样本。第二，KVKK随后的公开通报中是否重复出现第三方软件库这一原因；若重复出现，10,218,802这一数字将不是上限而是下限。第三，区域月度勒索软件记录相对于2026年6月357这一水平的走向。本报告未就网络事件的直接经济成本给出任何估算；公开可见的数据是滞后且局部的。