PHP官方修复两个高危远程代码执行漏洞（CVSS 9.2），影响PHP 8.1及更早版本，可致进程崩溃或任意代码执行。绿盟科技更新NF、WAF、IPS、NAVG四类防护产品及UTS、RSAS、TVM、WVSS四类检测产品规则。处置分四步：查PHP版本、升级PHP或临时缓解、更新规则包、复扫验证并监控异常。规则仅争取补丁窗口期，不能替代升级。

Node.js 发布 v26.12.1 安全更新版，修复安全漏洞，提供多平台安装包、二进制文件、源码和文档下载，并附 SHA256 校验值与 PGP 签名供验证完整性。

Node.js 发布 v22.23.4 安全更新，修复 Brotli 解码器相关漏洞。

OpenSIPS 3.6.8及4.0.1之前版本存在越界读取漏洞（CWE-125），位于rtpproxy模块的rtpproxy_offer/rtpproxy_answer函数，可被远程未认证触发，导致信息泄露或服务中断。建议升级至3.6.9或4.0.2，升级前限制SIP流量，必要时禁用该模块。

cURL发布8.23.0版，修复HTTP/2上传中的释放后使用高危漏洞CVE-2026-92392，影响8.12.0至8.22.0版。恶意服务器可在客户端上传文件时触发内存错误，甚至远程代码执行，但利用条件苛刻，更可能仅致崩溃。升级即可修复，无法升级可禁用HTTP/2，命令行加--http1.1参数。

Next.js 发布安全更新，修复三个漏洞：use cache 函数返回类型化数组可致未认证远程代码执行（严重）；SVG 图像优化 API 存在内存漏洞可致远程代码执行（严重）；Server Actions 可被构造请求耗尽 CPU 导致拒绝服务（高危）。建议升级至 16.4.1 或 15.5.28。

Docker Hub账户转组织流程存在高危漏洞CVE-2026-105445，评分9.4。个人访问令牌转移后密钥未撤销，攻击者可利用原令牌以新组织身份访问仓库，影响期为2024年8月26日至2026年9月30日。Docker已在服务端修复，用户无需操作，并审查约30.4万次推送，未发现恶意利用，自10月8日起批量停用相关令牌。

Chainguard推出AI安全工具Harness，利用受限的Claude Mythos 5.1等前沿模型发现并修复传统扫描器遗漏的漏洞，已在高危代码库中查出严重问题。同期发布Workspaces、Checks及扩展的Libraries，将防护延伸至代理运行环境与CI验证。调查显示超半数安全负责人有时明知高危漏洞仍未修补。

Jean Lilly为B2B珠宝店铺提供3D设计平台，研发团队二十多人但无专职安全工程师。传统外部渗透测试需2～4周、费用5～15万元，难以跟上发布节奏。采用AWS Security Agent后，开发团队可按需发起测试，将验证缩短至数小时，并通过授权、范围、凭据和成本上限的可重复流程，优先修复有证据的高危漏洞。

作者提交的Omarchy插件被安全机器人发现漏洞，Codex以安全理由拒绝分析，而离线GLM 5.3 Flash用5分钟确认漏洞比issue所述更严重，给出完整修复方案和补丁，并自动完成安全攻防测试。作者认为离线GLM在漏洞修复上强于GPT，因GPT线上安全策略拒绝服务，并断言AI时代属于线下推理。

Django发布6.1.2、6.0.9和5.2.18安全更新，修复多个漏洞：语言代码处理可致拒绝服务（低危）；parse_header_parameters()存在二次时间复杂度问题（中危）；空间查询接受bytes栅格值可能触发外部请求；模型表单集可被伪造POST数据越权删除或创建实例。建议尽快升级。

Next.js 发布安全更新 v16.3.8 和 v15.5.27，修复多个漏洞：图像优化中的服务端请求伪造（高危）、自托管 SSG/ISR 页面缓存投毒、根级 catch-all 页面缓存投毒、App Router 元数据图像路由信息泄露、嵌套 use cache 缓存键错误导致跨根参数泄露、Draft Mode 内容经 use cache 泄露至普通响应，以及开发服务器 MCP 端点信息泄露。建议尽快升级。