Fortinet 发布通告，指出 FortiSandbox GUI 存在 CWE-288 认证绕过漏洞，远程未认证攻击者可通过构造 HTTP 请求绕过认证。FortiSandbox 5.0.0 至 5.0.6 需升级到 5.0.7 或以上，4.4.0 至 4.4.9 需升级到 4.4.10 或以上，5.2 不受影响，FortiSandbox PaaS 4.4 全部版本需迁移到已修复版本。
为什么值得看：通告列出 FortiSandbox 各分支的受影响版本与对应修复版本，运维可据此判断是否需要升级。
Fortinet 发布 FG-IR-26-179 通告，指出 FortiSandbox 与 FortiSandbox Cloud API 存在硬编码加密密钥问题 CWE-321，无需认证的攻击者可通过特制 HTTP 请求访问部分端点。
为什么值得看：通告列出了 FortiSandbox 与 FortiSandbox Cloud 各分支的受影响版本区间和对应修复版本，运维可据此判断是否需要迁移或升级。
Check Point Research 汇总 10 月 12 日当周情报，丹麦中央人口登记系统因第三方供应商访问权限被利用，约 880 万人的姓名、地址和身份证件号码等信息可能暴露。
watchTowr Labs 公开 PaperCut NG 26.0.4-PO build 76508 上的免认证 RCE 链，由认证绕过 WT-2026-0143 与 Post-Auth RCE CVE-2026-82077 组合而成。
为什么值得看：梳理 PaperCut 多轮补丁被连续绕过的过程，并给出免认证 RCE 链的完整构造与检测思路。
Cisco Talos 发现 UAT-11985 针对台湾研究机构相关人员发起鱼叉式钓鱼，冒用 Taiwan European Union Centre、NCCU Institute of International Relations 和 Taiwan Research Institute 等机构名义发送邀请邮件，并附上被篡改二维码的活动海报。
ESET 披露一起针对 YouTube 创作者的品牌合作骗局，攻击者冒充 Hollyland 等品牌发送个性化赞助邮件，诱导创作者登录 joinmatchy[.]com 等伪造合作平台，再跳转至仿冒 Google 登录页窃取密码与一次性验证码，进而接管账号。
Google 表示，攻击者劫持 .gh、.sl、.as 三个国家代码顶级域，并修改其中部分域名的权威 DNS 记录，借此通过自动化域名控制验证，为“多个 Google 域名”以及“多家全球知名品牌和广泛使用的在线服务”取得未授权 TLS 证书。
Check Point Research 发布 10 月 5 日当周威胁情报周报，汇总多起攻击事件与漏洞动态。
为什么值得看：周报把多起攻击与漏洞条目压缩成一段段摘要，其中 Cisco 与 Apple 的条目明确写到已被利用且部分无补丁。
Patchstack 披露 Elementor Website Builder 4.3.0 与 4.3.1 存在无需认证的 CSRF 提权问题，CVSS 8.8，影响超过 1000 万个站点。
为什么值得看：文章拆解了 Elementor 在 4.3.0 与 4.3.1 中绕过 REST nonce 校验的成因，并给出 4.3.2 的修复写法，便于开发者对照自查。
Zero Day Initiative 发布 Apple 2026 年 9 月安全更新综述，Screen Sharing Server 的 CVE-2026-65400（CVSS 9.8）可让网络攻击者无需有效凭据完成认证，且已列入 KEV。
Jenkins 发布安全通告，修复 Script Security、Pipeline: Groovy Libraries、Robot Framework 等 13 个插件的 20 个漏洞，涉及 CVE-2026-92122 至 CVE-2026-92141。
为什么值得看：通告集中列出 Script Security 等 13 个插件的修复版本，其中多个沙箱绕过可导致 Jenkins controller JVM 内任意代码执行。
2026 年 1 月至 6 月，TrendAI 识别出 35,538 个含 "fifa" 或 "worldcup" 关键词的恶意及可疑站点，其中来自日本的访问约 148 万次。这些站点分为售卖假冒商品的假商店、几乎完全克隆官方票务页面的钓鱼站，以及从不播放比赛的假直播页三类。克隆票务站危害最大，会实时窃取信用卡信息和一次性密码，从而绕过基于一次性密码的多因素认证完成欺诈支付。
Trend Micro 分析设备码钓鱼如何滥用 OAuth 2.0 设备授权授予流程，攻击者以自己的服务器发起真实设备码请求，诱导受害者在真正的 Microsoft 页面输入代码并完成 MFA，令牌随后被签发到攻击者服务器。
Jenkins 项目发布 2026-06-24 安全通告，披露 Script Security、Git client、Pipeline: Groovy 等 19 个插件中的漏洞，共涉及 22 个 SECURITY 编号。
Jenkins 发布安全通告，修复 Jenkins core 中的七个漏洞，涉及 weekly 2.567 及更早版本、LTS 2.555.2 及更早版本，修复版本为 2.568 与 2.555.3。
为什么值得看：通告列出七个安全问题的影响版本与修复版本，并说明反序列化问题需要 Overall/Read 权限才能触发。
Jenkins 发布安全公告，修复 7 个插件中的漏洞，涉及 CVE-2026-42519 至 CVE-2026-42525。
Progress 已在 ShareFile 5.12.4 中修复 Storage Zones Controller（SZC）组件的认证绕过漏洞 CVE-2026-2699 和远程代码执行漏洞 CVE-2026-2701。
为什么值得看：watchTowr 披露的两处漏洞可串联成免认证 RCE，文中给出暴露实例规模与修复版本，便于判断自身风险。
Jenkins 发布安全通告，修复 Jenkins 2.554 及更早、LTS 2.541.2 及更早版本中的三个漏洞，修复版本为 2.555 与 LTS 2.541.3。
为什么值得看：通告列出三个漏洞的影响版本与修复版本，并说明符号链接解压与 DNS rebinding 的具体触发条件，便于管理员核对升级。