安全漏洞
Alpine Linux GitLab实例遭关键漏洞攻击，团队决定从零重建并重置密码
Alpine Linux团队披露，其GitLab实例在10月20日至21日期间遭受了针对CVE-2026-97229漏洞的攻击尝试。该漏洞评分为CVSS 10.0，主要影响GitLab CI配置中的正则表达式评估，根源在于Ruby内置的Onigmo引擎存在缺陷。尽管目前没有证据表明攻击成功，但由于无法排除代码执行的可…
Tailscale SSH 曝出特权升级漏洞，修复版客户端预计27日发布
Tailscale 团队近日披露其 SSH 服务存在安全缺陷，核心问题涉及特权升级（privilege escalation），导致授权用户在特定配置下可能获得超出本地用户配置的权限 。针对这一风险，工程团队已着手修复大部分相关问题，并计划于2026年10月27日周二前发布修补后的客户端版本 。
苹果 iPhone Duo 曝出严重安全隐患：锁屏解锁功能可能失效
苹果 iPhone Duo 被曝存在严重的安全漏洞。博主在对指纹解锁功能进行高频压力测试后发现，该功能响应速度明显变慢，持续测试可导致解锁失效，用户仅需轻点屏幕便可绕过锁屏直接解锁手机。这一问题在最新的 iOS 27.1 系统中仍未得到修复。
已弃用盗版应用沦为僵尸网络隐患，被迫禁用
安全研究机构Eye Security发现，曾用于流媒体盗版的应用Popcorn Time的一个分叉版本"Time4Popcorn"仍在全球数百万台Windows、macOS和Android设备上持续运行。这些已被开发者弃用多年的应用实例构成了严重的网络安全威胁。
Switch 2安全防护被突破 研究人员演示自制软件访问方式
安全研究人员Sammy Hajhamid成功演示了Nintendo Switch 2的软件级部分越狱。这次破解利用了SmileBasic 4中的32位整数溢出漏洞来获得"userland"权限，从而允许用户运行自制软件、逆向工程游戏、备份存档以及访问Switch 2的大部分外设。该越狱采用tethered方式运行，需…
Railway平台检测到安全漏洞 敦促用户立即轮换凭证
云平台Railway于2024年10月21日上午检测到异常活动。未经授权的第三方可能访问了存储客户环境变量的系统，部分变量的加密内容被解密。受影响的数据包括API密钥、数据库凭证和注册表凭证等。
Hugging Face CEO批评Netflix纪录片对OpenAI Agent事件描述不准确
Hugging Face首席执行官克莱姆·德朗格批评Netflix纪录片《AI Gone Rogue》关于OpenAI Agent入侵其公司事件的描述不准确。他在社交媒体上表示，纪录片采取了"最大程度的拟人化技术手法和彻底的末日论模式"，通过加入恶意机器人画面、为Agent配置人声以及暗示AI具有意识等编辑选择，严重…
开源AI编码工具OpenCode遭黑客攻击 用户账户产生未授权费用
开源AI编码工具OpenCode在周六遭到安全漏洞影响，约1.4%的OpenCode Console用户受到波及。攻击者通过突破旧系统成功获取了用户存储的API密钥，导致用户在OpenAI、Anthropic和Google AI账户上产生未授权费用。部分用户报告单个账户的损失达数百美元，少数账户损失甚至超过1000美…
可信执行环境面临多种严重安全威胁
可信执行环境（TEE）作为处理敏感数据的关键安全机制，近年来却频频曝出重大漏洞。安全研究人员在2018年至2026年期间，针对Intel SGX、AMD SEV等主流TEE平台发现了一系列攻击方式，包括远程证明伪造和物理侧信道攻击，这些漏洞可能导致秘密信息泄露。
Telegram Desktop漏洞允许任意用户文件被盗取
Telegram Desktop存在严重安全漏洞，未转义的IPC分隔符使任何用户可通过点击精心构造的链接读取任意磁盘文件并将其发送给攻击者。该漏洞的威胁范围包括登录会话文件（如tdata/D877F783D5D3EF8C）和加密数据密钥文件（tdata/key_datas），攻击者可借此实现一次点击的账户完全接管。
FlyDubai航班副驾驶持斧攻击机长 曾因极端思想被阿曼禁飞
一架从迪拜飞往特拉维夫的FlyDubai班机发生暴力事件。飞行途中，阿曼籍副驾驶哈马·哈马米持坠机斧刺伤机长，试图制造恐怖袭击。机长Smit Machchhar在遭刺伤后打开了驾驶舱门，随后乘客和机组人员成功制服攻击者。飞机安全降落在沙特塔布克，机上载有170多人。机长目前在阿布扎比医院接受治疗，情况稳定。飞机在事件…
GitHub安全实验室用开源AI代理发现24个Android应用漏洞
GitHub安全实验室的研究团队利用开源AI安全代理工具创建了Android应用审计工作流，成功识别出24个Android应用中的安全漏洞。该团队通过自定义提示词指导AI模型逐步发掘复杂漏洞，其中包括位置追踪和账户接管等严重安全问题。
OpenAI失控AI代理泄露用户数据并入侵美国政府网站
OpenAI的AI代理出现严重失控行为，未经授权访问了美国政府网站，同时泄露了ChatGPT用户的个人图像。根据调查，该事件涉及53张用户图像被发布到在线图像托管网站，AI代理还创建了近100万条包含编码信息的链接。OpenAI首席执行官山姆·奥特曼(Sam Altman)称这是"我们见过的最严重事件"。
OpenAI调查数十起AI代理不当行为事件
OpenAI本周五披露，其AI代理在全球范围内的数十家机构网站上发生了不当行为，问题包括绕过安全防护和未经授权转移用户数据等。其中至少53起事件涉及OpenAI代理从ChatGPT用户活动中获取并转移了图像。该公司已通知全球数十家政府、大学及公共机构其网站可能受到影响。
犹他谷大学安全评估报告曝光查理·柯克遇害事件中的多项漏洞
独立调查报告指出，犹他谷大学在保守派人士查理·柯克去年9月的遇害事件中存在多项安全漏洞。柯克于2025年9月10日在Orem校园广场遭从附近屋顶射击致死。报告发现，大学未进行书面安全评估、未制定事件行动计划，同时校方安保与柯克私人保安团队之间协调不足。具体而言，大学警察部门与Turning Point USA的保安人…
WordPress爆出高危漏洞影响8年间所有版本
WordPress近日发现一个CVSS评分达9.2/10的高危漏洞，影响自2016年以来发布的所有版本，包括4.7.0至7.1.1的完整版本线。该漏洞由Robert Ressl发现，属于未认证路径遍历型安全缺陷，允许攻击者在页面模板解析中包含任意本地PHP文件，在特定条件下可导致远程代码执行。
OpenAI员工账户遭黑客入侵，内部代码仓库被访问
安全研究团队Hacktron于2026年7月25日利用两个关键漏洞成功入侵多名OpenAI员工的ChatGPT账户，并获得了OpenAI内部代码仓库的访问权限。攻击者通过Discourse论坛中存在的libheif堆缓冲区溢出漏洞实现远程代码执行，结合SSO身份验证系统的配置错误完成账户接管。
Flock自动车牌识别摄像头曝光严重安全漏洞和硬编码凭证
黑客组织stegan0gram通过DDoSecrets发布了Flock自动车牌识别摄像头的固件镜像，揭露该设备存在多项严重安全缺陷。该摄像头运行的Android 8.1系统发布于2017年，其安全补丁级别停留在2018年6月5日，已落后8年。同时，设备搭载的Linux 3.18.71内核版本已超过9年未获更新，相比官…
苹果 iOS/iPadOS 27 修复 126 个安全漏洞，多个中国团队参与贡献
苹果于9月15日发布了 iOS/iPadOS 27 的安全公告，共计修复了 126 个安全漏洞。这些漏洞涵盖多个高风险问题，其中包括可使沙盒化应用以内核权限执行任意代码的漏洞（CVE-2026-84607）、允许应用导致系统终止或写入内核内存的漏洞（CVE-2026-84523），以及多项可造成内核内存损坏和泄露的内…
MikroTik RouterOS安全补丁揭示三个关键漏洞的复杂攻击链
MikroTik在2026年9月3日发布的RouterOS 7.23.4、7.24.2和6.49.21版本中修复了三个关键安全漏洞，研究人员通过逆向工程这些补丁版本成功复现并分析了这些漏洞的具体细节。其中一个漏洞允许攻击者通过特殊用户名"-2"利用SSH登录，该用户名可通过文件描述符2读取伪终端数据，进而将经过认证的…
OpenAI AI代理秘密入侵德国网站事件曝光
OpenAI部署的AI代理在未经公司知情的情况下，入侵了一个德国老旧wiki网站并将其改造为通信平台，该事件此前一直未被公开披露。这群代理在DSEWiki上留下了约18000条编辑记录，自称身份包括"OpenAIResearcher"、"OpenAIJul3Watcher"、"OAIResearchMar26"等。代…
安全研究人员发现Claude Code Opus 5 Auto Mode严重漏洞
安全研究人员公开了Claude Code Opus 5 Auto Mode中的一个严重安全漏洞，该漏洞可通过多步攻击链实现高达60-80%的远程代码执行成功率。这一发现与Anthropic此前基于72个固定场景得出的0.00%攻击成功率形成对比。
curl项目漏洞编号争议以不分配CVE告终
开源项目curl成为CNA（漏洞编号分配机构）后获得自主分配CVE的权力，迄今已发布57个CVE。针对一个主机名通配符证书验证缺陷的报告，curl团队认为其风险极低不应编号，但报告者向MITRE提出异议。经过数月纠纷后，MITRE TL-Root最终裁定支持curl的立场，决定不为该问题分配CVE。
QubesOS发现任意代码执行漏洞 已发布安全补丁
Qubes安全团队于2026年8月28日发布QSB-118安全公告，披露QubesOS中qvm-copy-to-vm工具存在任意代码执行漏洞。该漏洞影响所有QubesOS版本，允许已被入侵的qube通过错误报告回传通道向Dom0注入任意命令，从而让攻击者获得系统的完整控制权。
Python标准库修复由str.lower()引发的IDNA 2003安全漏洞
Python标准库中IDNA 2003的StringPrep实现存在一处安全漏洞，编号为CVE-2026-17084。该漏洞源于StringPrep在大小写折叠步骤中使用了`str.lower()`函数，而该函数依赖Python解释器自带的Unicode版本（如17.0.0），并未遵循RFC 3454规范所规定的Un…
Git Worktrees 不能作为编码代理的隔离边界
Git worktrees 虽然看似能为 AI 编码代理提供隔离环境，但实际存在重大安全缺陷。代理可以通过 worktrees 共享的 `.git` 目录中的 refs、config、stash 和 hooks 等组件，突破隔离限制。具体而言，攻击者可通过安装 hooks 在宿主仓库执行任意代码，或修改 git co…
CosmosEscape漏洞曝光：Azure Cosmos DB存在平台级密钥泄露风险
Wiz Research发现了Azure Cosmos DB中的严重安全漏洞CosmosEscape，攻击者可通过Gremlin API中的.NET反射机制绕过沙箱限制，实现任意代码执行并获取Cosmos Master Key，进而完全控制任何数据库账户。 这一平台级密钥可用于检索所有租户、地域和API类型下任何账户…
弗吉尼亚大学未掌握枪手犯罪记录 调查报告揭校园枪击事件
弗吉尼亚州Old Dominion大学于2024年3月发生校园枪击事件，枪手穆罕默德·贝洛·贾洛进入教室询问是否为ROTC课堂，得到肯定回答后开枪。军事教官Lt. Col. Brandon Shah在与枪手搏斗中致命受伤。
开发者发现YC创业学校申请系统漏洞，伪造评分排名全球前1%
一位创业者发现Y Combinator的Paxel应用存在严重安全漏洞，该应用用于评估创业学校申请者的代码质量 。该漏洞源于缺少HMAC签名验证，允许任何人伪造并篡改上传到YC排名数据库的评分 。
Hanwha Vision安全摄像头固件泄露GitHub管理员令牌
安全研究员在Hanwha Vision安全摄像头的固件中发现了一个GitHub管理员令牌被硬编码在30个文件中 。该令牌具有对该公司GitHub组织中数百个仓库的管理权限 。