Qt Core的QXmlStreamReader存在拒绝服务漏洞CVE-2026-16762，影响Qt 4.3.0至6.8.8及6.9.0至6.11.1，QtXml/QDomDocument不受影响。攻击者提供特制XML可致解析时CPU过度消耗、应用无响应，无需认证或交互，不涉及数据泄露或代码执行，CVSS 4.0评分8.7。建议限制不可信XML大小与属性数量并设解析超时，或升级至Qt 6.8.9、6.11.2、6.12.0及以上并应用补丁。
绿盟科技发布通告，披露PHP两个高危远程代码执行漏洞（CVE-2026-109618、CVE-2026-109619，CVSS评分9.2）：一是内存耗尽（OOM）时longjmp提前跳出请求初始化流程，二是worker全局状态未复位导致释放后使用（UAF）。未认证攻击者可构造multipart请求触发内存破坏，导致进程崩溃，在mod_php等运行形态下可执行任意代码。漏洞细节及部分PoC已公开，并已发现在野利用。受影响版本为PHP ≤8.5.11、8.4.26、8.3.35、8.2.34，波及WordPress等应用。建议升级至8.5.12、8.4.27、8.3.36、8.2.35，或采取关闭会话上传进度、设置pm.max_requests=1、部署WAF拦截等临时缓解措施。
绿盟科技发布通告，PHP Core因longjmp()处理OOM错误存在内存管理缺陷，可导致释放后重用。未认证攻击者可构造特制multipart请求触发内存破坏，造成进程崩溃，甚至以PHP服务账户权限执行任意代码，CVSS评分9.2。漏洞影响PHP 8.2至8.5多个版本及WordPress等应用，建议升级至8.5.12、8.4.27、8.3.36、8.2.35及以上版本，或采取临时缓解措施。
DigitalOcean警告PHP存在两个严重远程代码执行漏洞（CVE-2026-109618、CVE-2026-109619），影响PHP 5及以后所有版本，攻击者可执行任意代码并完全控制服务器，且已有公开利用代码。唯一彻底防护是升级至已修复版本（8.5.12、8.4.27、8.3.36、8.2.35），8.1及更早版本无补丁需尽快升级。用户须自行检查并更新Droplets、DOKS、App Platform及Marketplace镜像中的PHP，更新后重启PHP-FPM或Apache。Cloudways等托管服务由平台自动修补。
Qt Network模块的QNetworkAccessManager存在空指针解引用漏洞（CVE-2026-96432），影响Qt 6.8.0–6.8.9及6.9.0–6.11.2。恶意或受损服务器可触发该漏洞，导致应用崩溃，CVSS 4.0评分为2.1（低危）。缓解措施为禁用HTTP/2；修复方式是应用补丁或升级至Qt 6.8.10、6.11.3或更高版本。
Qt框架VectorImage QML类型存在拒绝服务漏洞CVE-2026-105923，影响Qt 6.8.0至6.8.8及6.9.0至6.11.2版本。处理特制SVG可致应用崩溃，CVSS评分4.0。建议避免加载不可信SVG，并升级至Qt 6.8.9、6.11.3或6.12.0以上版本或应用补丁。
Qt Core模块的QJsonDocument及Qt 5兼容模块QBinaryJson在JSON解析时存在越界读取漏洞（CVE-2026-101201），影响Qt 5.0至6.8.8及6.9.0至6.11.2版本，可导致崩溃，CVSS 4.0评分为4.3（中危），目前暂无缓解措施。建议应用补丁或升级至Qt 6.8.9、6.11.3或更高版本。
Qt SVG模块（QtSvg）存在拒绝服务漏洞CVE-2026-8168，影响Qt 4.1.0至6.8.8及6.9.0至6.11.1。应用加载元素嵌套过深的SVG文件时，解析与渲染过程递归遍历文档树且无深度限制，导致调用栈耗尽、程序崩溃，CVSS 4.0评分7.1（高危）。建议仅加载可信来源的SVG并校验内容，或升级至Qt 6.8.9、6.11.2、6.12.0及以上版本并应用相应补丁。
安全研究人员公开Linux内核高危漏洞PwnEscape（CVE-2026-99999，CVSS 9.3），攻击者可通过特制IPv4数据包从VPS逃逸至宿主机并获取root权限，已在KVM测试环境验证。漏洞已在内核5.10至7.3各分支修复，VPS用户需等待服务端更新内核并备份数据。该漏洞由Paulos Yibelo借助AI工具在三天内发现，获Vercel 5万美元奖金，API成本约700美元。
URI::PackageURL 2.26 发布，实现 PURL 和 VERS 规范。主要更新 cpan 类型：命名空间改为可选，作者用 author 限定符，新增 distpath 限定符，解决发行版作者变更导致的标识不一致问题，利于 CVE 漏洞数据。PURL 默认启用验证，新增 is_purl 工具，支持 UTF-8，性能提升 39%。VERS 新增 is_vers 和多种比较器，支持自定义比较器，并修复若干问题。
绿盟科技通告，GitLab存在远程代码执行漏洞CVE-2026-97229，CVSS评分10.0。因CI/CD配置正则验证不足，未认证攻击者可触发整数溢出，以Git账户执行任意代码。影响GitLab CE/EE多个19.x版本，官方已修复，建议升级至19.2.8、19.3.5或19.4.2以上，或限制访问。
Postgres 19 多项功能被回退，发布推迟约一月。作者核查 12 次回退后认为仅 4 次与 AI 相关，多数源于人工审查。回退数量与往年相当，但时间异常集中在 9 月。真正原因是 AI 带来大量安全报告，资深开发者忙于处理 CVE，导致稳定期审查减少。
Qt Core 的 QXmlStreamReader::readElementText() 存在栈耗尽拒绝服务漏洞（CVE-2026-78253），影响 Qt 5.0 至 6.8.8 及 6.9.0 至 6.11.1。解析深层嵌套 XML 可导致栈溢出崩溃，CVSS 评分为 2.3。建议限制嵌套层级，并升级至 Qt 6.8.9、6.11.2 或更高版本。
Qt Quick 的 Context2D.path 和 PathSvg.path 属性存在越界读取漏洞（CVE-2026-79616），影响 Qt 5.10 至 6.8.8、6.9.0 至 6.11.1。解析路径字符串时可能越界读取内存，导致段错误、解析失败或渲染乱码。CVSS 4.0 评分 0.6（低危）。建议避免将不可信来源的路径字符串传入这两个属性，并升级至 Qt 6.8.9、6.11.2 或更高版本。
WordPress 存在高危漏洞 CVE-2026-87902，评分 9.2，攻击者无需登录即可远程执行代码。漏洞源于页面模板路径遍历，需主题包含以 page- 开头的目录等条件。影响 4.7 至 7.1.1 版本，涉及多个主题及服务器配置。官方已修复，建议立即升级至 7.1.2 并开启自动更新。
MinIO 宣布将于 2026 年 9 月删除 Docker Hub 仓库，并已逐步停止社区版维护。作者冯若航将 MinIO 社区版 fork 为 Silo，借助两个 AI 模型对抗式协作，修复了 8 个 CVE 及十余项安全缺陷，同时保持 S3 接口与数据格式兼容。Silo 已被多个项目采用，为存量 MinIO 部署提供持续安全维护的替代方案。
Qt框架QtNetwork模块的HTTP Cache-Control响应头解析存在越界读取漏洞（CVE-2026-76151），影响Qt 6.0.0至6.8.8及6.9.0至6.11.1。恶意HTTP服务器可返回超大Cache-Control头，导致客户端QNetworkAccessManager异常终止。该漏洞仅影响客户端，不涉及32位构建，为只读越界，无信息泄露或代码执行，仅造成拒绝服务，CVSS 4.0评分4.6。建议更新至6.8.9、6.11.2或更高版本，或应用官方补丁。
GitLab 修复了 CVSS 10.0 的漏洞 CVE-2026-85706：commits API 未鉴权且信任客户端文件路径，导致未登录即可读取服务器任意文件。补丁发布次日即遭在野探测，后被列入 CISA KEV。文章从补丁差异分析鉴权缺失与路径可控两个根因及官方修复思路。
Qt 的 QDomNode 析构函数存在无界递归漏洞（CVE-2026-19248），影响 Qt 2.2.0 至 6.8.8、6.9.0 至 6.11.1。解析不可信 XML 可导致崩溃，CVSS 4.0 评分为 7.1。建议改用 QXmlStreamReader、限制解析深度或增大栈，并升级至 Qt 6.8.9、6.11.2 或更高版本。
Qt NFC模块（qtconnectivity）的QNdefNfcTextRecord类存在越界读取与整数下溢漏洞（CVE-2026-13326）。恶意NFC标签可声明超出实际负载的语言代码长度，Qt未做边界检查，导致剩余文本长度计算下溢并读取超出缓冲区。攻击需近距离接触且用户点击，最坏可致应用崩溃（拒绝服务），并可能泄露相邻内存。影响Qt 5.2.0至6.11.1多个版本。建议勿读取不可信标签，并升级至Qt 6.8.9、6.10.4或6.11.2及以后版本。
完成下面两步后，将自动完成登录并继续当前操作。
