Capcom 确认其会员服务 CAPCOM ID 遭黑客入侵，超过 1170 万个账号的邮箱地址及相关信息被泄露。泄露数据还包括账号创建日期、最后登录时间、登录次数和最后登录所用 IP 地址；43 个账号的出生日期、性别、昵称和国家也被暴露，另有 196 个账号的登录密码被攻击者修改，公司已重置。
为什么值得看：事件披露了 CAPCOM ID 被入侵的账号规模与暴露字段范围，可对照自身账号体系的日志留存与通知流程。
php2shell-guard 开源工具用于检查和部署 AWS WAF 对 PHP2Shell（CVE-2026-109618 与 CVE-2026-109619）的缓解规则，这两个免认证 PHP RCE 已在 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35 中修复。
为什么值得看：工具把 PHP2Shell 的 WAF 缓解规则做成可检查、可回滚的脚本，补丁空窗期可先验证覆盖范围。
印度 CA 机构 eMudhra 宣布自愿退出全球 SSL/TLS 证书业务，此前其 8 张中间证书的私钥被发现在 2025 年 4 月的签发仪式中生成得过弱，Firefox、Apple 和 Chrome 已封禁这些证书。
为什么值得看：事件暴露证书信任链的软件供应链长尾问题，旧容器与嵌入式设备可能长期继续信任已吊销的中间证书。
Railway 在检测到存储客户环境变量的系统出现可疑活动后发布紧急警告，称调查显示未授权第三方可能访问了加密环境变量，并对其中的部分变量取得了明文内容。
为什么值得看：云托管平台环境变量存储系统遭未授权访问，波及面与凭据轮换范围是开发者最需要确认的部分。
LiteLLM 项目的发布流水线于 10 月 21 日被入侵，攻击者向 PyPI 和 Docker 仓库推送了 1.107.0 版本，其中包含窃取凭据并加载远程代码执行工具的编译恶意代码。
为什么值得看：复盘列出了被投毒的 PyPI wheel 与 Docker 镜像标签及存活时间窗，可据此排查自己是否装过受影响版本。
Amazon 威胁情报团队确认，在 PHP2Shell 漏洞公开披露前四天（10 月 17 日）就已在 MadPot 蜜罐中观测到利用尝试，涉及 CVE-2026-109618 与 CVE-2026-109619，这两个漏洞可对近十年发布的 PHP 版本（最早至 5.4）实现免认证 RCE 与服务器接管。
为什么值得看：PHP2Shell 在补丁发布前四天就出现利用尝试，披露后数小时内 PoC 与扫描量级迅速放大，可据此判断暴露面优先级。
微软披露，中国国家关联组织 Storm-0940 是近期 ConnectWise Cloud Backup 供应链入侵的实施者，其在攻击中用 Go 编写的代理式 AI 渗透测试框架 ARTEX 加速扫描侦察、密码喷洒和 OAuth 应用滥用。
为什么值得看：微软披露 Storm-0940 借 ConnectWise Cloud Backup 供应链入侵，用 AI 代理把跨租户密码喷洒推到每分钟 2900 次。
OpenSSF 恶意包库新增记录，指出 2026-10-21 上传至 PyPI 的 litellm 1.107.0 含上游源码中不存在的凭据窃取程序与远程代码执行后门，系在构建或上传环节注入。
为什么值得看：记录披露了投毒 wheel 中三个额外文件的具体路径与哈希，可用于排查本地是否装过该版本并定位残留。
GMO Internet 旗下 Onamae.com 确认 Onamae Desktop Cloud 遭第三方未授权访问，部分客户服务器环境被植入恶意程序，受影响服务器最多达 26,739 台。
为什么值得看：事件披露了入侵确认、服务器关停与恢复时间未定等处置细节，可了解云服务商在客户环境被植入恶意程序后的应对方式。
Mozilla 与 Chrome Root Program 于 10 月 20 日确认 eMudhra 八个中间 CA 证书的私钥已被攻破，Chrome 与 Firefox 在收到报告后数小时内封锁了这八张证书。
为什么值得看：八个中间 CA 私钥因密钥仪式缺陷可被公开推算，事件串起浏览器、Go、Linux 发行版与证书信任链的连锁处置。
A2A Java SDK 的 `org.a2aproject.sdk:a2a-java-sdk-server-common` 推送通知投递存在 SSRF（CWE-918）。
为什么值得看：公告给出了从创建推送配置到服务端 POST 打到元数据端点的完整复现路径，并附有按解析后 IP 校验的修复思路。
ApostropheCMS 的 uploadfs 在 Azure 后端并启用 sas: true 时，createContainer() 用内嵌完整 SAS 查询串的 URL 构造 BlobServiceClient，getUrl() 返回的 baseUrl 因此带有 ?
为什么值得看：披露了 uploadfs Azure 后端把容器级 SAS 令牌拼进公开附件 URL 的成因，并附离线 PoC 复现该行为。
GHSA-953h-535j-jg2v 通告指出，agent-router 的 MCP 代理在会话 ID 中内嵌调用者 JWT 的 sub 声明用于防劫持，但会话恢复路径从不校验该声明，任何拿到会话 ID 的客户端都能恢复该会话并调用 tools/call、resources/read 等方法。
为什么值得看：公告指出会话恢复路径未校验会话 ID 内嵌的 subject，且 Helm 默认种子为公开固定值，可据此判断多租户部署的会话隔离风险。
ConnectWise 的 Cloud Backup 服务因一个高敏感 API 密钥被威胁行为者获取而遭供应链攻击，该密钥可让客户把厂商应用与 Microsoft 365 环境连接。
为什么值得看：事件披露了多租户应用凭证泄露后攻击者如何绕过 MFA 并在租户内留后门，可供使用第三方 SaaS 备份的团队排查。
Check Point 表示观测到 CVE-2026-85102 和 CVE-2026-93616 两个 CVSS 9.8 的免认证漏洞正被实际利用，二者影响 Security Gateway 与 Security Management 产品，可导致远程代码执行，修复程序已发布。
为什么值得看：Check Point 自述观测到两个 9.8 分免认证漏洞被实际利用，并同时给出 F5 BIG-IP 与 WordPress 的在野利用进展。
The DFIR Report 发现一台暴露的攻击服务器，其上的 Bissa scanner 围绕 React2Shell（CVE-2025-55182）扫描数百万个目标，日志显示确认 900 余次成功利用。
为什么值得看：报告基于一台暴露的攻击服务器还原了从大规模扫描、命中评分到凭据归集与优先排序的完整流水线，可看到攻击方如何用 AI 工具编排作业。