Weaxor九月报告提示ERP风险：漏洞排查与复产检查

发布时间：2026-10-17

ERP服务器出现异常登录、陌生程序或文件被加密时，企业应同时处理入侵入口与数据恢复。只恢复数据库、没有查清ERP漏洞是否仍可利用，可能留下再次受损的条件。360于2026年10月10日发布的九月勒索月报提及Weaxor利用ERP类软件漏洞的活动。下面依据公开信息，整理企业可执行的排查与复产检查。

月报说明了什么，哪些结论不能扩大？

据360《2026年9月勒索软件流行态势分析》公开信息，Weaxor在该月存在大量利用ERP类软件漏洞的活动，报告对其中一款产品使用了隐去部分名称的表述。这是该来源的观察，不等于所有ERP产品都存在相同漏洞，也不能据此推定某家企业已经被入侵。

本文不猜测被隐去的厂商名称，不补写未经确认的CVE编号。企业需要以自己的产品、版本、组件和厂商公告核对风险。月报统计来自其服务样本，不能直接外推为全国企业感染比例。本文是对九月观察的风险解读，并非今天新增攻击或解密突破的通报。

排查的起点不是盲目扫描，而是确认自己实际运行了什么。由系统负责人记录ERP名称、完整版本、补丁号、部署主机、访问域名，以及相关数据库、文件共享和备份位置。停用但仍能访问的旧实例、测试环境、供应商维护入口也应纳入清单。

检查应获得系统负责人的授权，在生产环境优先采用配置与日志核查。不要为了验证漏洞而在业务服务器上运行来源不明的攻击脚本。

若已经出现加密、勒索信或明显的恶意进程，应立即隔离感染主机，停止相关共享访问，限制风险继续扩散。记录发现时间、受影响系统和隔离操作。保留勒索信、原始加密文件、可疑样本及系统、ERP、远程登录和安全设备日志，优先由专业人员制作磁盘镜像。

不要格式化原磁盘、反复重装系统或继续大量写入数据；不要直接修改加密文件、删除勒索信。解密和恢复测试应在副本上进行。对仍可运行的系统，修复前也应保全相关日志，避免只剩下“打过补丁”的记录而无法还原入侵过程。

排查时可把异常时间与新建账户、权限变化、陌生计划任务、可疑外联和文件变化放到同一时间线。单项异常并不必然证明是Weaxor，文件后缀也不能替代样本鉴定。应区分已确认事实、待核实线索和没有发现证据的检查项。

以下为企业复产检查建议，不是360月报披露的具体受害案例。补丁用于降低已知入口风险，数据恢复用于恢复业务内容，两项工作应分别验收。

从备份恢复前，应核实备份生成时间与疑似入侵时间的关系。文件能打开或数据库能启动，只是基础检查；业务负责人还需确认关键记录完整、关联关系正确。建议先在隔离环境验证，再按业务优先级逐步恢复连接，并观察安全告警与异常访问。

截至本文核验时，目前尚未找到可信公开证据证明存在适用于所有WEAX样本的通用免费解密器。No More Ransom公开工具目录可用于核对已公开工具及适用条件，但目录没有某个名称不等于能够证明所有样本永远无法恢复。

恢复应区分可用备份还原、特定样本解密和数据结构修复。个别文件测试成功，不代表整台服务器、全部数据库或不同受害者文件均能恢复。不要在原盘上直接运行声称“万能解密”的未知程序，也不要向未知网站上传业务数据。

指定ERP补丁负责人和检查周期；限制非必要的公网入口；为支持的远程访问启用多因素认证；减少服务账户权限，并将备份管理身份与日常运维身份分开。保留离线或隔离的备份副本，定期验证还原结果，而不是仅查看备份任务是否显示成功。

广州捷越网络科技有限公司提供勒索病毒分析、数据库及服务器数据恢复、安全排查等服务，并提供免费测试与24小时在线咨询。测试用于评估具体样本和恢复路径，不构成全部数据可恢复的承诺。企业应先保护原始数据，再明确测试范围、交付内容和验收标准。

360：《2026年9月勒索软件流行态势分析》，2026年10月10日，https://www.360.cn/n/13054.html 。
CISA：#StopRansomware Guide，https://www.cisa.gov/stopransomware/ransomware-guide 。用于一般处置与备份建议，不作为九月攻击活动的独立证明。
No More Ransom：Decryption Tools，https://www.nomoreransom.org/en/decryption-tools.html 。用于核对公开解密工具，核验日期2026年10月17日。

上一个：勒索病毒恢复服务怎么选？解密承诺与交付验收清单

下一个：AI能解密勒索文件吗？ARES研究与恢复边界

返回列表