F5 紧急发布 NGINX 补丁修复 CVE-2026-15176 等三个 9.2 分漏洞
F5 以带外方式发布 NGINX 安全补丁，修复 CVE-2026-15176、CVE-2026-97205 和 CVE-2026-93479 三个 CVSS 4.0 评分 9.2 的漏洞。
为什么值得看：通告列出三个 NGINX 漏洞的受影响产品与缓解配置，运维可据此判断自身部署是否暴露。
#无需交互
CSO Online精选AI 评分7272 Dark ReadingAI 评分2222 “AdFection”利用广告竞价实现零点击间谍软件投递
间谍软件厂商正滥用数字广告生态中的定向竞价机制，用于识别并追踪特定个人与组织。该手法被命名为“AdFection”，可将广告曝光转化为零点击的间谍软件投递。
Ars Technica 安全精选AI 评分8383 Plex Media Server 已修复漏洞遭在野利用，攻击者串联四个漏洞实现 RCE 并植入恶意软件
研究人员称，Plex Media Server 上月修复的漏洞正被在野利用，攻击成功后会在设备上安装恶意软件，包括挖矿程序和住宅代理软件。Plex 上月修复了四个漏洞，三周后公布的 CVE 编号显示共有五个漏洞，其中一个严重性评分为 8.6。
为什么值得看：Plex Media Server 上月修复的漏洞已被串成利用链用于实际攻击，投递的是挖矿程序和住宅代理软件。
Security Affairs同事件AI 评分8282 Plex2Shell 漏洞链被用于在野攻击，Plex Media Server 服务器遭植入挖矿程序
攻击者利用 Plex2Shell 漏洞链对暴露在互联网的 Plex Media Server 发起在野攻击，植入基于 XMRig 的加密货币挖矿程序和名为 myawesomeproxy 的代理软件。
同一件事，精选收录的是《Plex Media Server 已修复漏洞遭在野利用，攻击者串联四个漏洞实现 RCE 并植入恶意软件》
CyberScoopAI 评分3030 SHARE Foundation 与 Citizen Lab 在塞尔维亚知名批评者设备上发现 Pegasus 间谍软件
SHARE Foundation 与多伦多大学 Citizen Lab 在贝尔格莱德大学校长 Vladan Ðokić 和检察官办公室律师 Rade Bajić 的设备上发现间谍软件。
Patchstack WordPress 漏洞库精选AI 评分8888 UpdraftCentral 密钥泄露致 WordPress 站点被植入后门插件
攻击者利用窃取的 UpdraftCentral 仪表盘私钥，通过 UpdraftPlus 的远程管理通道下发 plugin.upload_plugin 命令，在已连接的 WordPress 站点上安装并激活后门插件，活动集中在 10 月 18 日 15:32 至 19 日 09:23。
为什么值得看：材料给出按能力而非用户名排查后门账号的 SQL 与日志特征，并说明删键前先清后门的处置顺序。
Security Affairs精选AI 评分7575 Broadcom 802.11 实现漏洞可让攻击者在 Wi-Fi 范围内免认证接管路由器
研究员 Quentin Kaiser 在巴黎 Hexacon 会议上披露，Broadcom 自研 802.11 实现中的漏洞自至少 2010 年起就存在于其 SDK 中，Wi-Fi 范围内的攻击者无需知道网络密钥、也无需完成 WPS 配网，即可在受影响路由器上实现受控信息泄露与任意代码执行。
为什么值得看：研究者演示了在 Wi-Fi 范围内无需口令即可在路由器上执行代码，并公开指纹脚本与 YARA 规则用于排查受影响设备。
HackreadAI 评分5858 Claude Code Desktop 预览窗缺陷 SneakPeek 可窃取开发者凭证
Noma Labs 披露 Anthropic Claude Code Desktop 的高危漏洞 SneakPeek（CVSS 8.7），恶意 HTML 文件经预览窗可读取 SSH 私钥、AWS 凭证、GitHub 与 npm token 等本地敏感文件，并通过 navigator.sendBeacon() 外传。
Trend ZDI 已发布公告AI 评分5252 LibreOffice 修复 EMF+ Brush 整数溢出远程代码执行漏洞 CVE-2026-6045
ZDI 发布 ZDI-26-781 通告，指出 LibreOffice 在解析 ODT 文件中的 EMF 图像时缺少对用户数据的校验，在分配缓冲区前可触发整数溢出，攻击者可在当前进程上下文中执行代码。利用需要用户交互，目标须访问恶意页面或打开恶意文件。LibreOffice 已发布更新修复该漏洞，对应 CVE-2026-6045。
Trend ZDI 已发布公告AI 评分5555 ZDI-26-782：LibreOffice 解析 PDF 文件存在堆缓冲区溢出，可导致远程代码执行
ZDI 发布 ZDI-26-782 通告，指出 LibreOffice 在解析 PDF 文件时存在堆缓冲区溢出，攻击者可借此在当前进程上下文中执行代码，但需要目标访问恶意页面或打开恶意文件。
Trend ZDI 已发布公告AI 评分4747 LibreOffice 解析 PDF 文件存在越界写 RCE 漏洞 CVE-2026-63273
ZDI 发布 ZDI-26-783 通告，指出 LibreOffice 在解析 PDF 文件时存在越界写问题，构造的 PDF 数据可触发写入超出已分配缓冲区末尾，攻击者可在当前进程上下文中执行代码，利用需目标访问恶意页面或打开恶意文件。LibreOffice 已发布更新修复该漏洞，对应 CVE-2026-63273，该通告于 2026-10-16 协调公开。
Ars Technica 安全AI 评分5858 Citizen Lab 披露 AdFection 活动：定向广告投递零点击利用，感染 Al Jazeera 45 台设备
多伦多大学 Citizen Lab 披露名为 AdFection 的活动，攻击者将零点击利用植入定向广告，目标只需加载网页或打开已安装应用即被安装间谍软件，无需任何交互。该活动针对 iOS 与 Android 设备，Citizen Lab 确认其在 2024 年和 2025 年感染了国际媒体机构 Al Jazeera 的 45 台设备，并称这可能是首次确认通过定向广告投递零点击雇佣间谍软件。
HackreadAI 评分5858 Citizen Lab 披露广告投放向 Al Jazeera 设备投递 Candiru 间谍软件
Citizen Lab 与广告安全公司 Confiant 披露，无需点击的定向广告被用于向 Al Jazeera 设备投递 Candiru 商业间谍软件，2024 至 2025 年间至少 45 台设备被针对，该手法被命名为 AdFection。
Drupal 安全公告AI 评分4848 Drupal core Link 模块 XSS 漏洞 SA-CORE-2026-015 修复通告
Drupal Security Team 发布 SA-CORE-2026-015，指出 Drupal core 的 Link 模块在某些情况下未充分过滤特定标记，可导致 XSS 漏洞。
SonarSource 安全研究AI 评分2222 Sonar 新 JS/TS 引擎：以语义而非语法追踪真实漏洞
Sonar 推出新的 JavaScript/TypeScript 静态分析引擎，基于抽象解释的数据流分析追踪污点值能否从 source 到达 sink，而非匹配语法树形状。该引擎在分析过程中解析调用目标，可处理解构、跨模块 import、模板字面量插值等真实代码结构。文中以 FlowiseAI 的 routes/oauth2/index.ts 回调为例演示其能力。
Tenable 安全博客AI 评分4040 Microsoft 2026 年 10 月 Patch Tuesday 修复 1407 个 CVE，含在野利用零日 CVE-2026-96951
Microsoft 2026 年 10 月 Patch Tuesday 共修复 1407 个 CVE，其中 69 个为严重级别、1337 个为重要级别，涉及 301 个产品与组件。
Cisco Talos 情报博客AI 评分4242 Microsoft 2026 年 10 月补丁星期二：1415 个漏洞含 CVE-2026-96951 在野利用
Microsoft 发布 2026 年 10 月安全更新，共修复 1415 个漏洞，其中 85 个被标记为“严重”，67 个为 RCE 漏洞。Windows Shell 安全功能绕过漏洞 CVE-2026-96951（CVSS 8.8）已被在野利用。
Ivanti 安全公告精选AI 评分7878 Ivanti 披露 Ivanti Connect Secure 漏洞，称存在有限在野利用
Ivanti 披露 Ivanti Connect Secure 有限版本中存在一个漏洞，披露时已确认存在有限在野利用，并正与受影响组织直接沟通。Ivanti 建议运行受影响版本的用户立即行动，查看安全公告并尽快升级到修复版本，同时定期运行 Integrity Checker Tool。
为什么值得看：Ivanti 披露 Connect Secure 有限版本漏洞时已确认存在有限在野利用，运行受影响版本的用户可据此判断是否需要立即升级。
Fortinet PSIRT 公告AI 评分2222 FortiOS、FortiProxy 与 FortiSwitch 修复 newcli 守护进程双重释放漏洞（CWE-415）
Fortinet 通告 FortiOS、FortiProxy 与 FortiSwitch 存在双重释放漏洞（CWE-415），本地已认证攻击者可通过构造 CLI 命令使 newcli 守护进程崩溃。
Fortinet PSIRT 公告精选AI 评分6060 Fortinet 通告 FortiOS 管理界面 DoS 漏洞，8.0.0 与 7.6.4 至 7.6.6 受影响
Fortinet 发布 PSIRT 通告，FortiOS 存在 Improper Locking 漏洞 [CWE-667]，具有网络访问权限的免认证攻击者可通过构造 HTTP 请求导致 HTTPS 管理接口拒绝服务。
为什么值得看：通告列出 FortiOS 各分支的受影响版本与升级目标，并给出虚拟补丁名称，运维可据此判断是否需要升级。
Patchstack WordPress 漏洞库精选AI 评分5858 WordPress 7.1.3 安全版本修复七处漏洞
WordPress 7.1.3 于 2026 年 10 月 6 日发布，包含七项安全修复和四项缺陷修复，修复已回移至至少 6.6 分支。
为什么值得看：文章逐条说明 7.1.3 修复的七处问题及各自所需权限，便于站点管理员判断升级优先级。
Patchstack WordPress 漏洞库精选AI 评分8888 WordPress 存储型 XSS 活动利用 CVE-2026-93836 与 CVE-2026-94504 植入隐藏管理员
Patchstack 遥测显示，攻击者自 2026 年 10 月 4 日起通过 WPC Product Bundles for WooCommerce 的 CVE-2026-93836 和 Ninja Forms 的 CVE-2026-94504 两个无需认证的存储型 XSS 漏洞，向管理员浏览器投递同一份 imgcdn1.com/fz/x.js 载荷。
为什么值得看：同一植入体经两个不同插件的存储型 XSS 投递，并留下四条互相独立的回访通道，可作持久化检测的参照。
Patchstack WordPress 漏洞库精选AI 评分7878 Elementor 4.3.0/4.3.1 存在 CSRF 提权问题，4.3.2 已修复
Patchstack 披露 Elementor Website Builder 4.3.0 与 4.3.1 存在无需认证的 CSRF 提权问题，CVSS 8.8，影响超过 1000 万个站点。
为什么值得看：文章拆解了 Elementor 在 4.3.0 与 4.3.1 中绕过 REST nonce 校验的成因，并给出 4.3.2 的修复写法，便于开发者对照自查。
Zero Day Initiative 博客AI 评分3434 CVE-2024-0244：Canon MF753Cdw 打印机堆缓冲区溢出漏洞的发现与利用
在 Pwn2Own Toronto 2023 上，Canon MF753Cdw 打印机被披露存在 CVE-2024-0244，这是一个无需认证的堆缓冲区溢出，可导致任意 free()。漏洞源于传真驱动发送的二进制传真负载中目标传真号码长度字段缺乏校验，0xff 长度值即可溢出堆对象中的指针。作者最终借助 BJNP 协议将 shellcode 存放在固定地址实现利用。
Patchstack WordPress 漏洞库精选AI 评分9494 CVE-2026-87902 补丁发布数小时后 WordPress 站点遭探测，已出现借 pearcmd 写文件
Patchstack 观察到 CVE-2026-87902 在 WordPress 7.1.2 发布当天即遭利用，攻击流量已从探测核心文件推进到借 pearcmd.php 的 config-create 向 /tmp 写入攻击者可控的 PHP 文件。
为什么值得看：文章记录了从探测到借 pearcmd 写文件的变化过程，并给出日志与主机侧的排查线索。
Patchstack WordPress 漏洞库精选AI 评分8888 WordPress 7.1.2 修复免认证 LFI 漏洞 CVE-2026-87902
WordPress 于 2026 年 9 月 22 日发布 7.1.2 安全版本，修复页面模板解析中的免认证本地文件包含漏洞 CVE-2026-87902，影响 WordPress Core 4.7.0 至 7.1.1，CVSS 4.0 评分 9.2，归类为 CWE-98。
为什么值得看：通告给出受影响版本区间、利用前提与修复版本，运维可据此判断站点是否暴露在免认证文件包含风险下。
Zero Day Initiative 博客AI 评分4242 Apple 2026 年 9 月安全更新综述：Screen Sharing Server CVE-2026-65400 等漏洞修复
Zero Day Initiative 发布 Apple 2026 年 9 月安全更新综述，Screen Sharing Server 的 CVE-2026-65400（CVSS 9.8）可让网络攻击者无需有效凭据完成认证，且已列入 KEV。
Drupal 安全公告精选AI 评分5858 Drupal core 修复 CKEditor 第三方库 XSS 漏洞 SA-CORE-2026-013
Drupal 安全团队发布 SA-CORE-2026-013 通告，指出 Drupal core 使用的 CKEditor 库存在 XSS 漏洞，受影响版本为 >=10.5.0 <10.6.17、>=11.0.0 <11.3.17、>=11.4.0 <11.4.7。
为什么值得看：通告给出 Drupal core 各分支的受影响区间与对应修复版本，并提示贡献模块可能自带 CKEditor 插件需另行排查。
Trend Micro 研究与公告精选AI 评分8888 CISA 等六家美国机构更新 AA26-097A 通告，警告 PLC 持续遭在野利用
FBI、CISA、NSA、EPA、美国能源部和 U.S. Cyber Command 于 7 月 22 日更新联合通告 AA26-097A，警告攻击者正利用暴露在互联网的 PLC 攻击美国政府设施、水务与能源基础设施。
为什么值得看：六家美国联邦机构更新联合通告，说明攻击者用合法工程软件直连暴露的 PLC 篡改逻辑与操作员画面，并已造成运营中断。
Drupal 安全公告AI 评分3838 Drupal core Layout Builder 模块 XSS 漏洞（CVE-2026-55805）修复，SA-CORE-2026-012
Drupal core 修复 Layout Builder 模块的跨站脚本（XSS）漏洞 CVE-2026-55805，该模块在特定场景下未充分过滤区块标签。利用需攻击者与目标用户均使用 Layout Builder 编辑界面。
Drupal 安全公告AI 评分4242 Drupal core 修复 CVE-2026-55808 文件 MIME 类型校验不当漏洞
Drupal core 发布 SA-CORE-2026-009，修复 CVE-2026-55808：JSON:API 与 REST 模块上传图片时只校验文件扩展名、不校验 MIME 类型，恶意用户可上传非图片文件，部分 Web 服务器配置下会以真实 MIME 类型返回，可能导致 XSS。