Dell RecoverPoint for Virtual Machines 突顯出來的 CVSS 3.1 滿分零日漏洞 CVE-2026-22769，牽動眾多資安關注焦點。此篇文章揭露的核心要點，可概括為三個層次的風險與攻擊演進：首先是漏洞本身的技術成因與立即風險，其次是攻擊者的入侵流程與工具鏈，以及再進一步的演變與跨虛擬化環境的影響，最後是產業與企業層面的因應策略與緩解措施。文章指出，Dell RecoverPoint for Virtual Machines 內建的 Apache Tomcat Manager，其預設管理員帳號與密碼被寫死在設定檔，這使得任何取得該組帳密的攻擊者，得以透過 Tomcat Manager 的部署端點上傳惡意的 WAR 檔，並以 root 權限執行任意指令。此情境使得攻擊者能在受害環境內快速建立初步執行能力，並於後續部署持久性存取機制，形成長期影響。文章強調，漏洞並非單一事件，而是結合了前端的認證硬編碼與後續的自動啟動與持續執行機制，造成風險的累積效應。
根據調查，UNC6201 這個疑似與中國相關的駭客組織，自 2024 年中起便已開始利用此漏洞於受害環境中實作橫向移動與持久性存取，同時部署多款惡意程式。文章特別描述，Mandiant 與 Google 威脅情報小組於 2025 年的報告中，揭示該組織先以寫死帳密的 TOMCAT 管理介面作為初步入侵入口，接著上傳包含 SLAYSTYLE 網頁後門的惡意 WAR，取得設備上的初步指令執行能力；再以 Brickstorm 後門作為中繼，並修改裝置自動開機啟動的合法腳本以確保重啟後仍能存續。此處可見，攻擊者並非僅取得一次性存取，而是透過多階段的存取與隱蔽性變化，維持長期存在。文中也提到 Dell 已就此漏洞發布了安全公告 DSA-2026-079，說明受影響產品與緩解方法，強調用戶應依官方指引進行修補與配置檢視。
在攻擊工具與變種方面，此篇文章描繪了一條由 Grimbolt 延伸的演化路徑。2025 年 9 月，Grimbolt 以 C# 編寫，採用 .NET Native AOT 技術與 UPX 加殼，與先前的 Brickstorm 相較，更難以進行動態分析，且在靜態分析方面的難度顯著提升。此舉顯示攻擊者力求在受害設備上提升執行效能並降低被偵測的機率，同時維持遠端指令執行能力。文章提到，Grimbolt 的設計重點在於早期就直接產生機器碼，不再依賴一般的 CIL 中繼資料，這樣的結構改變對資安研究人員的分析工作造成更大挑戰，也意味著企業在偵測與封鎖上需調整策略。除此之外，該報告還披露在 VMware 虛擬化層面的新手法，包含幽靈網卡（Ghost NICs）與單封包授權（Single Packet Authorization，SPA）。此篇文章說明，Ghost NICs 允許攻擊者在 ESXi 上的虛擬機建立臨時網路介面，作為橫向移動的跳板；而 SPA 技術則讓受害 vCenter 的連線受控於特定來源 IP 與字串，進一步提升隱蔽性和存取門檻。此篇文章最後指出，UNC6201 的手法在多個環境層面呈現高度協同與前瞻性，且與 Silk Typhoon 組織（UNC5221）出現重疊但不等同，顯示跨組織協同與技術共用的現象。此篇文章也提醒， Dell 的公告與緩解措施是企業立即可落實的第一步，尤其是在虛擬化與容器化並存的現代資料中心中，防護需涵蓋應用層與虛擬機管理層的雙重防線，並加強對預設或硬編碼帳號的審查與改良。文章呼籲企業參照官方公告，並在第一時間完成漏洞修補、受影響系統的檢視與加固，以降低可能造成的長期風險。
