ClickFix 攻击规模创新高，AI 工具成最具迷惑性的诱饵
ClickFix 攻击在 2026 年 Q2 平均占 Push 检测量的 52%，8 月升至 67%，首次超过 AiTM 与设备代码钓鱼。
BleepingComputerAI 评分4040
The Hacker News精选AI 评分8888 eMudhra 八个中间 CA 私钥被攻破，浏览器与软件紧急吊销
Mozilla 与 Chrome Root Program 于 10 月 20 日确认 eMudhra 八个中间 CA 证书的私钥已被攻破，Chrome 与 Firefox 在收到报告后数小时内封锁了这八张证书。
为什么值得看：八个中间 CA 私钥因密钥仪式缺陷可被公开推算，事件串起浏览器、Go、Linux 发行版与证书信任链的连锁处置。
The Hacker NewsAI 评分2222 Google Chrome 为 Enhanced Protection 用户新增 ClickFix 警告，拦截恶意命令粘贴
Google 在 Chrome 中为启用 Enhanced Protection 的用户新增 ClickFix 防护：用户复制可疑命令后，剪贴板内容会去除个人信息并送 Safe Browsing 分析，判定危险即弹出警告。
BleepingComputerAI 评分2222 攻击者入侵后15分钟内即枚举或窃取数据，Exaforce 分析三类机器速度攻击模式
Exaforce 分析显示攻击者进入环境后 15 分钟内即开始枚举或窃取数据，而本应发现它们的工具未能生效。三类常见模式包括：开发者 OAuth token 被盗后从 GitHub 窃取代码、ClickFix 借 Claude Code 安装指令投递 macOS 窃密程序、以及冒充 IT 的语音钓鱼骗取真实 MFA 认证。
The Hacker News精选AI 评分6363 Node.js 22.x/24.x/26.x 修复 Brotli 解码器越界写 CVE-2026-111497 等 10 个漏洞
Node.js 于 10 月 21 日为 22.x、24.x、26.x 三条支持线发布安全更新，修复 10 个漏洞，其中 Brotli 解码器越界写 CVE-2026-111497 被项目描述为可导致远程代码执行，评级为 high。
为什么值得看：通告列出 10 个修复项与各版本对应关系，并交代 Brotli 漏洞的公开 PoC 仅在削弱构建上达成代码执行。
BleepingComputerAI 评分2222 Google Chrome 借助 Gemini 新增诈骗检测，并对 ClickFix 攻击命令发出警告
Google Chrome 在 Safe Browsing 的 Enhanced Protection 中新增由 Gemini 驱动的诈骗检测，可识别欺骗性网站，并在用户从 ClickFix 攻击中复制可疑命令时发出警告。
OpenSSF 恶意包库AI 评分3434 OpenSSF 恶意包库为 npm 包 @worrisome/reutil 补录 GHSA-4f5p-mp5p-863f 别名
OpenSSF 恶意包库更新 MAL-2026-15604，为 npm 包 @worrisome/reutil 补录别名 GHSA-4f5p-mp5p-863f。
BleepingComputer精选AI 评分5858 Lazarus 在 FlashHole 行动中用后量子加密保护恶意载荷投递
卡巴斯基将针对韩国机构的攻击行动命名为 FlashHole，并归因于 Lazarus Group；该行动自 2025 年 7 月开始，通过钓鱼页面和特制 GitHub 页面投递恶意载荷。
为什么值得看：卡巴斯基复盘 Lazarus 的 FlashHole 行动，其用 ML-KEM 后量子加密保护载荷下发这一手法在恶意软件投递中较为少见。
Red Hat CVE 数据库AI 评分5353 Red Hat 通告 chromium-browser 的 SVG use-after-free 可致任意代码执行 CVE-2026-113339
Red Hat CVE 数据库收录 CVE-2026-113339，chromium-browser 的 SVG 组件存在 use-after-free 问题，可导致任意代码执行。通告未给出受影响版本区间与修复版本信息。
Red Hat CVE 数据库AI 评分2626 Red Hat 通告 chromium-browser 蓝牙信息泄露漏洞（特制 HTML 页面触发）
Red Hat 发布 chromium-browser 安全通告，指出蓝牙组件存在信息泄露问题，可通过特制 HTML 页面触发。通告未在正文中给出 CVE 编号、受影响版本区间、CVSS 分数及修复版本。
Red Hat CVE 数据库AI 评分4848 Red Hat 收录 chromium-browser 沙箱内任意代码执行漏洞 CVE-2026-113105
Red Hat CVE 数据库收录 CVE-2026-113105，描述为 chromium-browser 中通过构造的 HTML 页面在沙箱内实现任意代码执行。该条目未给出受影响版本区间、CVSS 分数与修复版本信息。
Red Hat CVE 数据库AI 评分6262 Red Hat 通告 chromium-browser 存在 CSS 释放后重用导致任意代码执行漏洞 CVE-2026-113203
Red Hat CVE 数据库收录 CVE-2026-113203，指出 chromium-browser 的 CSS 处理中存在释放后重用（use-after-free）问题，可导致任意代码执行。通告正文未给出受影响版本区间、CVSS 分数与修复版本信息。
Red Hat CVE 数据库AI 评分2626 chromium-browser 修复 HID 中的越界读取漏洞
Red Hat 就 chromium-browser 在 HID 中的越界读取问题发布安全通告。原文未披露 CVE 编号、受影响版本区间、CVSS 分数及利用状态等细节。
Red Hat CVE 数据库AI 评分2626 chromium-browser 修复 PerformanceAPIs 中的释放后使用漏洞
Red Hat 通告 chromium-browser 存在 PerformanceAPIs 中的释放后使用（UAF）漏洞。原文未披露 CVE 编号、受影响版本区间、CVSS 分数及利用状态，也未说明修复版本或缓解措施。
Red Hat CVE 数据库AI 评分3636 chromium-browser 修复 Media 组件中的释放后使用漏洞
Red Hat 发布 chromium-browser 安全通告，涉及 Media 组件中的释放后使用（use after free）漏洞。原文未披露 CVE 编号、受影响版本区间、CVSS 分数及利用状态等细节。
GitHub 安全公告库 (GHSA)精选AI 评分5858 Angular HttpClient 修复不完整导致 XSRF Token 经 URL 解析差异外泄（CVE-2025-66035 后续）
GitHub 安全公告指出，@angular/common 的 HttpClient 对 CVE-2025-66035 的修复不完整，xsrfInterceptorFn 使用的正则 /^(?
为什么值得看：公告说明了正则与 WHATWG URL 解析差异导致 XSRF token 外泄的条件，并给出 20.3.34 与 21.0.3 的修复版本。
GitHub 安全公告库 (GHSA)精选AI 评分5858 @angular/router 在 SSR 下因 RouterLink 保留查询参数存在 DoS 漏洞，22.2.1 与 21.2.25 已修复
GitHub 安全公告指出，@angular/router 在 Node.js 上启用 SSR 且 RouterLink 使用 queryParamsHandling: 'merge' 或 'preserve' 时存在 DoS 漏洞，未认证远程攻击者可用并发请求耗尽 Node.js old-space 堆并导致 worker 崩溃。
为什么值得看：通告给出了触发条件、受影响版本区间与修复版本，使用 Angular SSR 的团队可据此判断是否需要升级或加查询串长度限制。
GitHub 安全公告库 (GHSA)精选AI 评分5858 Angular SSR 的 @angular/platform-server 存在开放重定向漏洞，已在 22.2.1、21.2.25、20.3.33 修复
GitHub 安全公告披露 @angular/platform-server 在启用 SSR 时存在开放重定向漏洞，攻击者可用 /.//evil.test 或 /.。
为什么值得看：通告说明了绕过条件与受影响配置，并给出三个修复版本和反向代理侧的临时拦截写法。
GitHub 安全公告库 (GHSA)精选AI 评分5858 Angular 修复 @angular/router 在 SSR 下的拒绝服务漏洞，影响 20.3.33 之前版本
GitHub 安全公告披露 @angular/router 在 Node.js 上启用 SSR 时存在拒绝服务问题，路由匹配未校验 URL 中的辅助 outlet 段是否对应已配置路由。
为什么值得看：通告列出了触发该 DoS 的路由配置条件与受影响版本，并给出中间件拦截正则，便于 SSR 部署方自查。
Ivanti 安全公告精选AI 评分8585 Ivanti 汇总 2026 年 9 月补丁日：Microsoft 修复 973 个 CVE，含两个在野利用零日
Ivanti 在 2026 年 9 月补丁日汇总中称，Microsoft 本次修复 973 个 CVE，其中 119 个为 Critical，并包含两个已确认在野利用的零日 CVE-2026-85880 和 CVE-2026-81963，补丁于 2026 年 9 月 8 日发布。
为什么值得看：汇总本月补丁与在野利用清单，给出受影响版本与修复日期，便于按已确认利用优先排序处置。