OpenCode 修复 MCP 服务器在登录时执行代码的漏洞
OpenCode 的 AI 编码代理存在缺陷，恶意或被劫持的 MCP 服务器可在开发者登录时于 Windows 或 WSL 机器上执行代码，且以开发者自身权限运行。OpenCode 背后的公司 Anomaly 已在 9 月发布的 1.18.33 版本中修复该问题。
为什么值得看：OpenCode 在登录阶段信任 MCP 服务器返回内容，使用该 AI 编码代理的开发者可据此判断是否需要升级。
#Windows
The Hacker News精选AI 评分5858 GitHub 安全公告库 (GHSA)AI 评分4040 Electron 修复 HID 与 USB 权限检查归属错误来源问题
Electron 修复了 hid 和 usb 权限检查可能归属错误来源的问题：从 iframe 发起检查时，session.setPermissionCheckHandler 收到的是顶层框架的 origin 和 details，而非发起请求的框架。
Rapid7 研究与公告精选AI 评分9090 PHP 修复 CVE-2026-109618 与 CVE-2026-109619 两个可致免认证 RCE 的漏洞
PHP 项目于 2026 年 10 月 21 日发布安全更新，修复 CVE-2026-109618（OOM 处理中的内存破坏）与 CVE-2026-109619（跨请求残留状态的 use-after-free），两者 CVSSv4 均为 9.2，可让攻击者以 Web worker 权限实现免认证 RCE。
为什么值得看：PHP 同时修复两个可导致免认证 RCE 的缺陷，通告给出了受影响版本区间、修复版本与临时缓解配置。
Red Hat CVE 数据库AI 评分3838 launch-editor 在 Windows 上因参数转义不当导致任意代码执行
launch-editor 在 Windows 上存在因参数转义不当导致的任意代码执行漏洞。Red Hat CVE 数据库收录了该问题，具体受影响版本区间与修复版本尚未在通告中给出。
GitHub 安全公告库 (GHSA)AI 评分5050 launch-editor 在 Windows 上的 fs.existsSync() 存在性检查可被绕过
GitHub 安全公告指出，launch-editor 在把传入路径交给编辑器命令前会调用 fs.existsSync(fileName) 做检查，而在 Windows 上，攻击者可以用以 \\..:line:column 结尾的构造路径绕过该检查，从而不再需要预先放置恶意文件名。
GitHub 安全公告库 (GHSA)AI 评分3232 launch-editor 的 escapeCmdArgs() 在 Windows 上遗漏 % 转义
launch-editor 的 escapeCmdArgs() 在 Windows 上未转义 `%`，当环境变量含恶意值时可能导致内容被执行。受影响需同时满足：用户使用 Windows、攻击者可放置含 `&` 或 `%` 的恶意文件名，并能注入恶意环境变量或为该文件添加 NTFS 备用数据流。
微软 MSRC 安全更新AI 评分4242 CVE-2026-102204：Windows Subsystem for Linux 提权漏洞
微软更新 CVE-2026-102204，说明该提权漏洞位于 Windows Subsystem for Linux 产品中。微软建议使用该产品的客户安装最新版本以获得防护。
微软 MSRC 安全更新AI 评分00 CVE-2026-83782 Windows Shell 远程代码执行漏洞
微软 MSRC 更新了 CVE-2026-83782 Windows Shell 远程代码执行漏洞的安全公告，本次仅修改致谢信息，属信息性变更。
微软 MSRC 安全更新AI 评分1919 CVE-2026-83839 Windows Hyper-V 提权漏洞
微软更新了 CVE-2026-83839 Windows Hyper-V 提权漏洞的安全通告，仅调整致谢信息，属信息性变更。该通告未披露漏洞类型细节、受影响版本区间或修复状态。
微软 MSRC 安全更新AI 评分1818 CVE-2026-96913 Windows 内核提权漏洞
微软 MSRC 更新了 CVE-2026-96913 Windows Kernel 提权漏洞的安全通告，仅调整致谢信息，属信息性变更。该通告未披露漏洞类型细节、受影响版本区间、CVSS 分数及修复版本。
Infosecurity MagazineAI 评分6767 Pillar Security 披露 OpenCode 1.0.137 至 1.18.32 存在 RCE 漏洞，1.18.33 已静默修复
Pillar Security 研究人员 Eilon Cohen 披露，开源 AI 编码工具 OpenCode 1.0.137 至 1.18.32 存在远程代码执行漏洞，影响 Windows 与 WSL。
Trend ZDI 已发布公告AI 评分3434 ZDI-26-779：(0Day) Sparx Systems Enterprise Architect XSLT Debugger XXE 信息泄露漏洞
ZDI 披露 Sparx Systems Enterprise Architect 的 XSLT Debugger 存在 XXE 信息泄露漏洞（ZDI-26-779），远程攻击者可通过构造指定 URI 的文档使 XML 解析器读取该 URI 并将内容嵌入文档，从而在当前进程上下文中泄露敏感信息。
绿盟科技技术博客AI 评分3232 微软10月安全更新修复1413个漏洞，含Windows Shell等在野利用漏洞
微软10月安全更新修复1413个安全问题，涉及Windows、Office、SQL Server、Azure等产品，其中关键（Critical）漏洞75个、重要（Important）漏洞1336个。
Trend ZDI 已发布公告AI 评分4040 ZDI-26-778：Adobe Photoshop DICOM 图像数据解析整数溢出远程代码执行漏洞
Adobe Photoshop 的 DICOM 图像数据解析存在整数溢出漏洞（ZDI-26-778），攻击者可借此在当前进程上下文中执行任意代码。利用需用户交互，目标须访问恶意页面或打开恶意文件。Adobe 已发布更新修复该漏洞，通告于 2026-10-15 协调公开。
Krebs on SecurityAI 评分2929 Microsoft 修复逾 1,400 个安全漏洞，含 Windows Shell 零日 CVE-2026-96951
Microsoft 发布更新修复 Windows 及其他软件中超过 1,400 个安全漏洞，规模远超 9 月近 1,000 个的纪录。其中仅 CVE-2026-96951 一个 Windows Shell 安全功能绕过漏洞被认定为零日、已在野利用，影响 Windows 10、11 及部分 Server 版本。
Zero Day Initiative 博客AI 评分2222 Zero Day Initiative 发布 2026 年 10 月安全更新综述，涵盖 Windows、Office、Azure 等产品漏洞
Zero Day Initiative 发布 2026 年 10 月安全更新综述，汇总 Microsoft 本月修复的多个漏洞。其中 Azure App Service、Microsoft Dataverse、Microsoft Office Outlook 等存在 CVSS 9.8 的 RCE 漏洞，Microsoft Partner Center 提权漏洞评分达 10。
Cisco Talos 情报博客AI 评分2828 Cisco Talos 披露 Adobe、Apple、Foxit Reader 与 Microsoft 多个漏洞
Cisco Talos 披露 Adobe Photoshop、Apple macOS、Foxit Reader 及 Microsoft Windows 的多个漏洞，相关厂商均已发布补丁。
Zero Day Initiative 博客AI 评分2222 Zero Day Initiative 发布 2026 年 9 月微软安全更新综述
Zero Day Initiative 发布 2026 年 9 月安全更新综述，梳理微软本月修复的漏洞清单。其中 CVE-2026-85880（Windows ALPC 提权，CVSS 7.8）与 CVE-2026-81963（Windows Update Stack 提权，CVSS 7.8）已被标记为在野利用。