群晖曝出无需账号密码即可获取权限的漏洞，作者因DSM小版本不在修复范围内，将黑群晖升级至7.4，重启后卡在RR引导界面。因旧引导不支持新版本，他下载新版RR，但在线更新无效，强制关机后失联。遂用balenaEtcher重做SD引导卡，重选SA64000型号并输入原SN和MAC，经SFTP上传PAT后编译成功，数据未丢失。登录提示序列号无效，检查发现编译时SN和MAC被改为随机值，改回后恢复正常。

绿盟科技发布Linux内核IPv4 TCP释放后重用漏洞CVE-2026-98432通告，CVSS评分9.8，漏洞细节与PoC已公开。该竞争条件漏洞可导致信息泄露、内存损坏和拒绝服务，特定条件下可实现远程代码执行。受影响版本为4.4至7.3-rc。建议升级内核；无法升级时可关闭MPTCP、禁用请求套接字迁移、过滤带options的IPv4 SYN包并加强访问控制。

Cloudflare推出公开漏洞情报平台Zero Wire，汇总互联网软件漏洞，提供漏洞说明、受影响组件、处置建议、参考证据和更新记录，并区分需关注与参考资料两类。平台还提供AI提示词，供用户让智能体对资产做只读排查并生成报告，并附Cloudflare网络观察数据。

Ubuntu LTS针对高危内核漏洞CVE-2026-98432的修复补丁已进入测试阶段，首批覆盖22.04、24.04和26.04，其他旧版本仍在等待移植。该漏洞位于IPv4 TCP处理过程，评分9.8，可被远程攻击者利用执行任意代码。补丁目前仅在测试仓库，尚未推送正式渠道，建议生产环境暂勿部署测试版内核。

Pillow 修复严重漏洞：特制 EPS 文件可致代码执行，13.0.0 版已解决。CPython 实验性 JIT 将按 PEP 836 从主分支移除。Google 采用 Pyrefly 做类型检查，显著提速并降低构建资源。Polars 2.0 默认流式处理、类型更严格。另有 Django 静态站点构建、Python 与 Go 对比、2026 类型调查等文章及多个开源项目发布。

TeamViewer发布安全公告，修复高危漏洞CVE-2026-111585（CVSS 8.8）。该漏洞位于远程画面处理组件，被控端可发送异常画面尺寸引发整数溢出和越界写入，反向攻击主控端，导致崩溃或以主控端权限执行任意代码。攻击者控制被控端或使其感染恶意软件即可利用，IT运维人员风险较高。受影响版本为15.83之前的Windows、Linux、macOS客户端及安卓应用，官方要求立即升级至15.83或更高版本。

埃及、马来西亚和巴西多块户外LED广告屏遭黑客攻击并播放色情视频，受影响运营商和系统各异，并非同一品牌漏洞。黑客组织Leakers$声称负责，称通过约两小时自动化扫描发现大量广告屏暴露公网、部分管理页面缺乏基本安全保护，取得权限后可直接推送内容；其目的仅为提醒系统漏洞，未勒索或牟利，并表示将继续寻找其他地区存在问题的广告屏。

OpenAI大幅提高安全漏洞赏金，中高危漏洞奖励平均提高逾三倍，ChatGPT等核心产品的严重漏洞最高可达3万美元，特别严重者含奖金可达17.2万美元。新增高质量报告奖励倍数、五级忠诚度奖金和优先活动奖金。已提交未发奖的报告适用新标准，过去30天已发奖金将补差额。

Anthropic披露Claude发现的Linux内核TCP握手UAF漏洞CVE-2026-98432（CVSS 9.8），可无认证远程获取root权限。Go 1.24起默认启用MPTCP监听，使Go服务易满足该PoC条件。Go团队建议升级内核，或用GODEBUG=multipathtcp=0临时关闭MPTCP，但这不修复底层漏洞。社区正讨论是否取消默认启用。

AI模型已能大规模发现开源软件漏洞，从披露到被利用的时间由2021年约一年缩短至2026年一天，预计2027年仅一分钟。开源维护者多为志愿者，难以应对漏洞洪流。企业应转向有厂商支持的专业开源，通过内部代理控制依赖来源并自动屏蔽已知漏洞版本，无需改变开发者习惯，并尽快调整安全策略。

加州45号提案旨在加快“必要”基础设施的环评审批，但环保人士警告，其“宽带互联网接入”条款可能被数据中心开发商利用，以规避公众监督。提案规定环评报告期限为365天、法律挑战须在270天内解决、公众评论期仅45天，并限制法院全面叫停项目。支持者称该提案有助于缓解住房和电力需求，反对者则担忧其削弱社区参与和环境保护。

Log4Shell四年后生产环境仍存在漏洞实例，根源在于现代应用依赖大量开源组件，难以快速清点与修复。AI辅助漏洞研究缩短了攻击者开发利用的时间，安全团队需同时应对多起高危事件。补丁仍是根本方案，但补丁空窗期风险突出。eBPF可在不改代码和内核的情况下于内核层观测并实时阻断漏洞利用，成为补丁落地前的有效补偿控制；Cilium/Tetragon等已展示该方向，但仍处早期。

Canonical披露LXD高危漏洞CVE-2026-112816，CVSS评分10.0。攻击者仅凭受信任客户端的公开证书即可伪造证书链绕过认证，无需私钥或密码，便可能获取LXD集群管理权限，控制容器和虚拟机，甚至取得宿主机root权限。该漏洞影响Ubuntu服务器上的LXD及MicroCloud用户，普通桌面用户及Docker、PVE用户不受影响。Canonical已发布LXD 6.10.1、5.21.9、5.0.11、4.0.15及MicroCloud 3.4.1、2.1.5修复版本，Snap用户可执行refresh命令升级。

安全研究员披露安卓“死亡短信”漏洞：特制WAP Push短信可致电话服务崩溃，连发20条可使设备反复崩溃甚至恢复出厂设置，重置后运营商重投消息仍会触发。谷歌曾称非安全问题，修复已进入AOSP，预计11月推送，目前多数设备尚未修复。