aiohttp server 缺少初始请求/请求头超时机制
aiohttp server 的 keepalive 超时未覆盖请求的初始阶段，攻击者可在不发送任何数据的情况下无限期保持空闲连接。官方建议的规避方案是使用带合理 keepalive 限制的反向代理，这也是所有生产部署的推荐做法。
全部漏洞动态
GitHub 安全公告库 (GHSA)AI 评分3838 Red Hat CVE 数据库AI 评分2222 pillow 存在通过构造 PDF 在追加操作期间触发拒绝服务漏洞
pillow 存在拒绝服务漏洞，攻击者可通过构造 PDF 在追加操作期间触发该问题。目前该漏洞的具体 CVE 编号、影响版本区间及修复版本尚未在通告中明确。
Red Hat CVE 数据库AI 评分2525 pillow 存在通过特制多帧图像转换触发的拒绝服务漏洞
pillow 被披露存在拒绝服务漏洞，攻击者可通过特制多帧图像转换触发。Red Hat CVE 数据库收录了该问题，原始通告未给出 CVE 编号、受影响版本区间及修复版本。
Red Hat CVE 数据库AI 评分3838 Pillow 字体渲染期间无效指针释放导致拒绝服务漏洞
Pillow 存在拒绝服务漏洞，在字体渲染过程中释放无效指针可触发崩溃。Red Hat CVE 数据库收录该漏洞，具体 CVE 编号、影响版本区间与修复版本尚未在通告中给出。
Red Hat CVE 数据库AI 评分3131 Pillow TIFF 解码越界读取导致拒绝服务漏洞
Pillow 的 TIFF 解码存在越界读取问题，可导致拒绝服务。该漏洞编号与受影响版本区间尚未在通告中给出，暂无补丁与缓解措施信息。
Red Hat CVE 数据库AI 评分3434 pillow 图像转换期间双重释放导致拒绝服务漏洞
pillow 存在双重释放漏洞，在图像转换过程中可触发拒绝服务。该漏洞编号与受影响版本区间尚未在通告中给出，暂无补丁与利用状态信息。
Red Hat CVE 数据库AI 评分3333 pillow 存在零宽图像越界内存访问导致的拒绝服务漏洞
pillow 存在拒绝服务漏洞，攻击者可利用零宽图像触发越界内存访问。该漏洞可导致服务不可用，具体受影响版本区间与修复版本尚未在通告中明确。
Red Hat CVE 数据库AI 评分2222 pillow：rank filters 处理零尺寸图像导致拒绝服务
pillow 存在拒绝服务漏洞，源于 rank filters 处理零尺寸图像时的缺陷。Red Hat CVE 数据库收录该通告，具体 CVE 编号、影响版本区间与修复版本尚未在原文中给出。
Red Hat CVE 数据库AI 评分2222 pillow 存在通过构造 GIF 注释触发拒绝服务的漏洞
pillow 被披露存在拒绝服务漏洞，攻击者可通过构造的 GIF 注释触发。该漏洞编号与受影响版本区间尚未在通告中明确，暂无补丁或缓解措施信息。
Patchstack WordPress 漏洞库精选AI 评分8888 UpdraftCentral 密钥泄露致 WordPress 站点被植入后门插件
攻击者利用窃取的 UpdraftCentral 仪表盘私钥，通过 UpdraftPlus 的远程管理通道下发 plugin.upload_plugin 命令，在已连接的 WordPress 站点上安装并激活后门插件，活动集中在 10 月 18 日 15:32 至 19 日 09:23。
为什么值得看：材料给出按能力而非用户名排查后门账号的 SQL 与日志特征，并说明删键前先清后门的处置顺序。
GitHub 安全公告库 (GHSA)AI 评分2222 GitHub 撤回重复通告：ip-address 10.7.4 前 Address6 因区域标识符匹配呈二次复杂度可致进程停滞
ip-address 10.7.4 之前版本存在拒绝服务漏洞，Address6 构造函数在匹配区域标识符时呈二次时间复杂度，输入中包含大量 % 字符即可耗尽 CPU 并导致应用停滞。该通告已被撤回，因与 GHSA-rxp7-6hxx-x8q5 重复，仅保留以维护外部引用。
Debian 安全公告 (DSA)AI 评分4242 Debian 发布 DSA-6571-1 安全更新修复 xen 漏洞
Debian 发布 DSA-6571-1 安全更新，修复 xen 中的安全问题。公告未在提供内容中说明具体 CVE 编号、受影响版本区间及修复版本，建议用户参照 DSA-6571-1 通告及时更新。
Debian 安全公告 (DSA)AI 评分1818 Debian DSA-6567-2：cifs-utils 回归更新
Debian 发布 DSA-6567-2，对 cifs-utils 进行回归更新，修正此前更新引入的问题。公告未在正文中给出具体漏洞编号、受影响版本区间或修复版本信息。
Debian 安全公告 (DSA)AI 评分4242 Debian 发布 DSA-6570-1：haproxy 安全更新
Debian 发布安全公告 DSA-6570-1，为 haproxy 提供安全更新。公告未在正文中披露具体 CVE 编号、受影响版本区间及漏洞类型，仅说明此次为安全更新。
Debian 安全公告 (DSA)AI 评分3030 Debian 发布 DSA-6568-1 linux 安全更新
Debian 发布安全公告 DSA-6568-1，为 linux 软件包提供安全更新。公告未在提供内容中说明具体漏洞编号、受影响版本区间及修复版本。
Debian 安全公告 (DSA)AI 评分2222 Debian 安全更新 DSA-6565-1 修复 spip 漏洞
Debian 发布安全公告 DSA-6565-1，为 spip 软件包提供安全更新。公告未披露具体 CVE 编号、漏洞类型及受影响版本区间，建议用户尽快升级至修复版本。
Debian 安全公告 (DSA)AI 评分2222 Debian 发布 DSA-6566-1：expat 安全更新
Debian 发布安全公告 DSA-6566-1，为 expat 提供安全更新。公告未在正文中披露具体 CVE 编号、受影响版本区间及漏洞类型细节。
Debian 安全公告 (DSA)AI 评分4242 Debian 发布 DSA-6569-1：apache2 安全更新
Debian 发布安全公告 DSA-6569-1，为 apache2 软件包提供安全更新。公告正文未披露具体漏洞编号、受影响版本区间及修复版本等细节。
Debian 安全公告 (DSA)AI 评分2222 Debian 安全更新 DSA-6567-1 修复 cifs-utils 漏洞
Debian 发布安全公告 DSA-6567-1，更新 cifs-utils 软件包以修复安全漏洞。公告未在提供内容中披露具体 CVE 编号、受影响版本区间及漏洞类型，建议用户参照公告升级至修复版本。
Drupal 安全公告AI 评分4242 Drupal core 修复 Navigation 模块 XSS 漏洞 SA-CORE-2026-016
Drupal core 发布安全通告 SA-CORE-2026-016，修复 Navigation 模块因未充分过滤特定属性导致的 XSS 漏洞。攻击者需具备可输入含特定 data 属性 HTML 标签的角色权限或 administer menu 权限才能利用。
Drupal 安全公告AI 评分4848 Drupal core Link 模块 XSS 漏洞 SA-CORE-2026-015 修复通告
Drupal Security Team 发布 SA-CORE-2026-015，指出 Drupal core 的 Link 模块在某些情况下未充分过滤特定标记，可导致 XSS 漏洞。
Drupal 安全公告精选AI 评分7878 Drupal core Field UI 模块修复远程代码执行漏洞 CVE-2026-108097
Drupal 安全团队发布 SA-CORE-2026-014，指出 Drupal core 的 Field UI 模块存在远程代码执行漏洞 CVE-2026-108097，仅靠核心无法直接利用，但配合贡献模块存在多条严重利用路径，其中至少一条已知路径无需认证。
为什么值得看：通告给出了受影响版本区间、修复版本和卸载 field_ui 的临时缓解办法，运维可据此判断升级或临时处置。
Ivanti 安全公告精选AI 评分6767 Ivanti 披露 Connect Secure 认证绕过漏洞 CVE-2026-104935 存在有限在野利用
Ivanti 在 10 月安全更新中披露 Connect Secure 的认证绕过漏洞 CVE-2026-104935（CVSS 8.6），并表示已知存在有限在野利用。
为什么值得看：Ivanti 自家通告确认 Connect Secure 认证绕过存在有限在野利用，并给出各代码线修复版本与 22.x 停止支持时间。
Ivanti 安全公告精选AI 评分7878 Ivanti 披露 Ivanti Connect Secure 漏洞，称存在有限在野利用
Ivanti 披露 Ivanti Connect Secure 有限版本中存在一个漏洞，披露时已确认存在有限在野利用，并正与受影响组织直接沟通。Ivanti 建议运行受影响版本的用户立即行动，查看安全公告并尽快升级到修复版本，同时定期运行 Integrity Checker Tool。
为什么值得看：Ivanti 披露 Connect Secure 有限版本漏洞时已确认存在有限在野利用，运行受影响版本的用户可据此判断是否需要立即升级。
Fortinet PSIRT 公告精选AI 评分6060 Fortinet 修复 FortiAnalyzer 与 FortiManager SQL 注入漏洞 CWE-89
Fortinet PSIRT 发布 FG-IR-26-178 通告，FortiAnalyzer、FortiManager 及其 Cloud 版本存在 SQL 注入漏洞 CWE-89，低权限用户可能通过构造请求执行任意命令。
为什么值得看：通告列出 FortiAnalyzer 与 FortiManager 各分支的受影响版本区间和对应修复版本，运维可据此核对部署并安排升级。
Fortinet PSIRT 公告AI 评分2222 FortiOS、FortiProxy 与 FortiSwitch 修复 newcli 守护进程双重释放漏洞（CWE-415）
Fortinet 通告 FortiOS、FortiProxy 与 FortiSwitch 存在双重释放漏洞（CWE-415），本地已认证攻击者可通过构造 CLI 命令使 newcli 守护进程崩溃。
Fortinet PSIRT 公告精选AI 评分6262 Fortinet 通告 FortiSIEM 路径穿越漏洞，7.5.0 需升级至 7.5.1
Fortinet PSIRT 发布 FG-IR-26-180 通告，FortiSIEM 存在路径穿越问题（CWE-22），无需认证的攻击者可通过特制数据包执行未授权代码或命令。FortiSIEM 7.5.0 受影响，需升级至 7.5.1 或以上；7.6 不受影响，FortiSIEM Cloud 不受影响。临时规避方案为限制 tcp 端口 27918 的访问。
为什么值得看：通告给出受影响版本、修复版本与临时限制端口的规避方案，运维可据此判断 FortiSIEM 部署是否需要升级。
Fortinet PSIRT 公告AI 评分5252 Fortinet 通告 FortiSIEM GUI 缺失授权漏洞 CWE-862，7.5 全版本受影响
Fortinet PSIRT 发布 FG-IR-26-183 通告，FortiSIEM GUI 存在缺失授权漏洞 CWE-862，已认证攻击者可能通过特制 HTTP 请求执行未授权代码或命令。
Fortinet PSIRT 公告AI 评分2222 FortiSandbox 管理配置文件中存在持久性拒绝服务漏洞（CWE-248）
Fortinet 通告 FortiSandbox 存在 CWE-248 未捕获异常漏洞，特权攻击者可借特制 HTTP 请求持久性阻断 GUI 与 CLI 访问。受影响版本为 5.2.0–5.2.1、5.0.0–5.0.6 及 4.4 全部版本，应分别升级至 5.2.2、5.0.7 或迁移至修复版本。目前无虚拟补丁。
Fortinet PSIRT 公告精选AI 评分6262 Fortinet 通告 FortiSandbox GUI 认证绕过漏洞 CWE-288
Fortinet 发布通告，指出 FortiSandbox GUI 存在 CWE-288 认证绕过漏洞，远程未认证攻击者可通过构造 HTTP 请求绕过认证。FortiSandbox 5.0.0 至 5.0.6 需升级到 5.0.7 或以上，4.4.0 至 4.4.9 需升级到 4.4.10 或以上，5.2 不受影响，FortiSandbox PaaS 4.4 全部版本需迁移到已修复版本。
为什么值得看：通告列出 FortiSandbox 各分支的受影响版本与对应修复版本，运维可据此判断是否需要升级。
Fortinet PSIRT 公告精选AI 评分6262 Fortinet 通告 FortiSandbox 与 FortiSandbox Cloud 硬编码密钥认证绕过漏洞
Fortinet 发布 FG-IR-26-179 通告，指出 FortiSandbox 与 FortiSandbox Cloud API 存在硬编码加密密钥问题 CWE-321，无需认证的攻击者可通过特制 HTTP 请求访问部分端点。
为什么值得看：通告列出了 FortiSandbox 与 FortiSandbox Cloud 各分支的受影响版本区间和对应修复版本，运维可据此判断是否需要迁移或升级。
Fortinet PSIRT 公告精选AI 评分6060 Fortinet 通告 FortiOS 管理界面 DoS 漏洞，8.0.0 与 7.6.4 至 7.6.6 受影响
Fortinet 发布 PSIRT 通告，FortiOS 存在 Improper Locking 漏洞 [CWE-667]，具有网络访问权限的免认证攻击者可通过构造 HTTP 请求导致 HTTPS 管理接口拒绝服务。
为什么值得看：通告列出 FortiOS 各分支的受影响版本与升级目标，并给出虚拟补丁名称，运维可据此判断是否需要升级。
Ubuntu 安全公告 (USN)AI 评分2222 USN-8911-1：Linux kernel (OEM) 修复多个子系统漏洞
Ubuntu 发布 USN-8911-1，修复 Linux kernel (OEM) 中多个安全漏洞，涉及硬件加密设备驱动、NVIDIA Tegra 内存控制器驱动、网络驱动、USB 核心驱动、GFS2/OCFS2/SMB 文件系统、IPv4/IPv6 网络、Netfilter、Open vSwitch、SCTP、TIPC 等子系统。
Ubuntu 安全公告 (USN)AI 评分2020 Ubuntu 发布 USN-8887-3：Linux kernel 多子系统漏洞修复（含 CVE-2023-20585）
Ubuntu 发布 USN-8887-3，修复 Linux kernel 在 ARM64、x86、IOMMU、GPU、蓝牙、TPM 等多个子系统中的安全缺陷，攻击者可能借此破坏系统。
Ubuntu 安全公告 (USN)AI 评分2222 Ubuntu USN-8875-2：Linux kernel (NVIDIA) 修复多个漏洞（含 CVE-2022-3114）
Ubuntu 发布 USN-8875-2，更新 Linux kernel (NVIDIA) 修复多个安全漏洞，其中 CVE-2022-3114 为 i.MX 时钟驱动在内存分配失败时引发的空指针解引用，本地攻击者可借此造成系统崩溃（拒绝服务）。该更新还修正了 UAPI、ARM32/ARM64、x86、块层、蓝牙、GPU 驱动等多个子系统中的缺陷。
Ubuntu 安全公告 (USN)AI 评分2020 Ubuntu 发布 USN-8903-2：Linux kernel 多子系统漏洞修复更新
Ubuntu 发布 USN-8903-2，修复 Linux kernel 在 ARM32、ARM64、x86 等多架构及 GPU、USB、网络、文件系统等大量子系统中的安全缺陷。攻击者可能利用这些漏洞入侵系统，更新已提供修正版本。
Ubuntu 安全公告 (USN)AI 评分2222 USN-8905-2：Linux kernel (GCP) 多个子系统漏洞修复
Ubuntu 发布 USN-8905-2，修复 Linux kernel (GCP) 中发现的多个安全漏洞，攻击者可能借此入侵系统。更新涉及 ARM32/ARM64、x86、GPU、USB、网络、文件系统、蓝牙、IPv4/IPv6 等大量子系统。公告未披露具体 CVE 编号、CVSS 分数及利用状态。
Ubuntu 安全公告 (USN)AI 评分4242 Ubuntu 安全公告 USN-8908-1：BlueZ 多个漏洞修复
Ubuntu 发布 USN-8908-1，修复 BlueZ 的多个漏洞，涉及 A2DP 编解码器能力存储导致的栈缓冲区溢出（CVE-2026-19774。
Ubuntu 安全公告 (USN)AI 评分4242 Ubuntu 安全公告 USN-8910-1：libxml2 修复多个漏洞（含 CVE-2026-86138 堆溢出）
Ubuntu 发布 USN-8910-1，修复 libxml2 多个漏洞，涉及 CVE-2026-76781、CVE-2026-86138、CVE-2026-86139、CVE-2026-86142、CVE-2026-86143 和 CVE-2026-86144。
Ubuntu 安全公告 (USN)AI 评分2525 USN-8909-1：libde265 漏洞
Ubuntu 发布 USN-8909-1 安全通告，libde265 未正确校验特制的 H.265 码流，存在 NULL 指针解引用问题。攻击者可利用该问题使 libde265 崩溃，造成拒绝服务。