Sploitus 收录的 GitHub 项目公开了 CVE-2026-104935 的利用工具 cve_2026-104935.py，该漏洞影响 Ivanti Connect Secure 与 Pulse Secure VPN 网关，无需认证即可 root 执行命令。
为什么值得看：公开工具把认证绕过与 TOCTOU 上传串成完整利用链，并附检测与排查清单，可对照自查暴露的 VPN 网关。
Sploitus 收录了针对 NetScaler ADC 与 NetScaler Gateway 内存溢出漏洞 CVE-2025-7775 的 Nuclei 检测模板，该漏洞可导致远程代码执行和/或拒绝服务。
为什么值得看：材料给出针对 NetScaler ADC 与 Gateway 的 Nuclei 检测模板，运维可据此排查自身实例是否已打补丁。
CISA 与 FBI、USSS 及德国、英国执法机构联合发布通告，称 SafePay 勒索团伙自 2024 年 8 月以来已入侵至少 600 家关键基础设施机构，涉及北美、南美、欧洲和澳大利亚。
为什么值得看：联合通告给出 SafePay 的初始访问渠道与备份破坏手法，并附 IOC 与 TTP，可用于对照自查。
Sploitus 收录的 GitHub 项目给出 Check Point CVE-2024-24919 的复现材料，包含 CVE-2024-24919.yaml 的 nuclei 模板。
为什么值得看：材料给出了针对 Check Point 网关的 nuclei 模板与 curl 请求，可用来验证目标是否存在路径穿越读取 /etc/shadow。
Palo Alto Networks 旗下 Unit 42 警告，Qilin 和 INC 勒索团伙正在扩大利用 GlobalProtect 门户的认证绕过漏洞 CVE-2026-0257，该漏洞 CVSS 评分为 7.8，攻击者可借此建立未授权的 VPN 连接。
为什么值得看：披露约五个月后，该认证绕过漏洞已成为勒索团伙进入内网的稳定入口，文中还给出攻击者转向虚拟化层的手法。
Rapid7 披露一起 Citrix NetScaler ADC 设备被入侵事件，攻击者串联 CVE-2026-88771（免认证日志投毒/RCE）与 CVE-2026-88779（SAML 解析崩溃）取得 root 代码执行。
为什么值得看：复盘把两个漏洞的串联顺序、重启后重复执行与 HA 持久化讲清楚，并给出可落地的排查路径。
Mandiant 与 Google Threat Intelligence Group 披露，疑似中国政府支持的间谍组织 Armory Castle（原 UNC5221）利用 BeyondTrust Remote Support 的零日漏洞 CVE-2026-102764 攻击客户，最早可追溯到 8 月下旬。
为什么值得看：BeyondTrust 与 Mandiant 披露了 CVE-2026-102764 的在野利用时间线，并说明攻击者轮换基础设施使溯源只能依赖行为。
Google Threat Intelligence Group 报告称，被追踪为 Armory Castle 的疑似中国关联黑客自 8 月底起利用 BeyondTrust Remote Support 的零日漏洞 CVE-2026-102764 开展间谍活动。
为什么值得看：报道披露 BeyondTrust Remote Support 零日漏洞被疑似中国关联组织自 8 月底起用于间谍活动，并给出补丁与 CISA KEV 截止时间。
Ivanti 披露 Ivanti Connect Secure 有限版本中存在一个漏洞，披露时已确认存在有限在野利用，并正与受影响组织直接沟通。Ivanti 建议运行受影响版本的用户立即行动，查看安全公告并尽快升级到修复版本，同时定期运行 Integrity Checker Tool。
为什么值得看：Ivanti 披露 Connect Secure 有限版本漏洞时已确认存在有限在野利用，运行受影响版本的用户可据此判断是否需要立即升级。
Unit 42 称 Citrix 通告中的 CVE-2026-88771 和 CVE-2026-88772 已被在野利用，攻击者借此投放 Web Shell 建立初始访问与持久化。
为什么值得看：材料把两条 NetScaler 0day 的投放链拆到命令级，并给出可落地的日志狩猎查询，适合防守方复盘检测思路。
watchTowr Labs 分析 Citrix 在 CTX697096 中修复的 CVE-2026-88772，这是 NetScaler ADC 与 NetScaler Gateway 的 DTLS 内存溢出漏洞，CVSS 4.0 评分 9.5，可导致远程代码执行或拒绝服务，且已在野作为 0day 利用。
为什么值得看：文章从补丁对比一路走到 ROP 调用 mprotect 执行 shellcode，完整展示了这条 DTLS 溢出链的可行路径。
watchTowr 分析 Citrix NetScaler 免认证命令注入 CVE-2026-88771，该漏洞影响默认配置，CVSS 4.0 评分 9.5，已在补丁发布前作为 0day 在野利用。
为什么值得看：文章完整还原了 NetScaler 日志解析到 shell 命令注入的链路，并给出补丁对比与检测脚本，便于自查暴露面。
Citrix 已确认 NetScaler ADC 与 NetScaler Gateway 的两个零日漏洞 CVE-2026-88771（输入校验不当，CVSSv4 9.5）和 CVE-2026-88772（内存溢出。
为什么值得看：汇总了三个已在野利用的 NetScaler 漏洞的编号、评分、修复版本与狩猎线索，便于运维一次性核对处置。
watchTowr Labs 分析 F5 BIG-IP APM 的 CVE-2026-94127，通过补丁对比发现 OAuth 流程中 Authorization 头长度未校验即被 memcpy 进 0x4100 大小的堆缓冲区，发送超过 0x4100 字节的头即可触发崩溃。
为什么值得看：文章从补丁对比还原出 Authorization 头缺少长度校验的堆溢出，并演示了绕过 SELinux 的利用路径。
watchTowr Labs 分析 NetScaler 13.1 在 SAML 规范化 SignedInfo 时把攻击者可控的 PrefixList 拷入固定大小缓冲区，溢出到相邻 nsb 块头部，形成写任意地址原语并最终控制 RIP。
为什么值得看：watchTowr 从 63.18 补丁的差异入手，完整还原了 SAML SignedInfo 堆溢出到 RIP 控制与绕过 pitboss 重启的利用链。
watchTowr 披露 Citrix NetScaler 的 CVE-2026-8451，Citrix 将其描述为输入校验不足导致内存越界读取，CVSS 评分 8.8，需将设备配置为 SAML IdP 才可触发。
为什么值得看：研究公开了可运行的检测脚本，并说明该内存越界读取在 SAML IdP 配置下可稳定泄露少量内存字节。