安全
Go 1.27 在 crypto/x509 中不再信任九个中间证书
Go 1.27 发布分支新增九个硬编码 SPKI 哈希，在 macOS、Windows 系统验证及 Verify 方法中过滤含这些中间证书的证书链。 原文链接
安全分享OVHcloud CLI 多个版本被植入后门，用于窃取开发者密钥
法国云服务商 OVHcloud 警告其开源命令行工具在 GitHub 上遭篡改，0.11.0 至 0.15.0 版本被植入窃取磁盘密钥的恶意程序，公司已封堵并建议受影响用户更换全部密钥。 原文链接
安全分享Fortinet 多个漏洞遭利用，电信机构被植入 PeerStitch 后门
Palo Alto Networks 报告称，疑似国家支持的 UNC5820 利用 FortiManager 等 Fortinet 漏洞入侵一家电信机构，部署内存驻留后门 PeerStitch，CISA 已将相关漏洞列入 KEV 清单。 原文链接
安全分享韩国五大银行行长就接连黑客攻击事件公开致歉
韩国 KB 国民银行、新韩银行、韩亚银行、友利银行和 NH 农协银行五大商业银行行长19日出席国会国政监察会议，就近期黑客攻击造成的客户信息安全风险公开道歉，并承诺增加网络安全投入。 原文链接
安全分享美国以国家安全为由限制进口中国人形与四足机器人
美国联邦通信委员会宣布限制外国产人形机器人和四足行走机器人的新机型在美销售，称其收集的敏感数据可能被用于监视或网络攻击，分析认为此举实际针对优必选、宇树等中国企业。 原文链接
安全分享
SiteGuard 防火墙曝严重命令注入漏洞，已被用于获取 root 权限
日本 WAF 厂商 SiteGuard 的 Server Edition 存在严重 OS 命令注入漏洞 CVE-2026-106931，攻击者可借此以 root 或 SYSTEM 权限执行命令，厂商已确认漏洞遭利用并发布补丁。 原文链接
安全分享npm 遭 Darkroom 攻击：19 个假 dotenv 包将 PowerShell 藏进 JPEG
2026 年 5 月至 10 月，19 个伪装成 dotenv 的 npm 包把 PowerShell 命令藏进同一张 JPEG 照片，在 Windows 上触发后下载并安装 Epsilon Stealer 信息窃取木马，相关包已被 npm 下架。 原文链接
安全分享韩国零售业频发信息泄露：哈利斯276万条会员信息外泄
韩国咖啡连锁哈利斯确认约276万条会员个人信息泄露，时尚平台 29CM、BGF 网络等也接连发生泄露事件，法国约700家超市冷藏设备同期遭网络攻击。 原文链接
安全分享微软十月补丁日修复1413个漏洞，一个 Windows Shell 零日漏洞已被在野利用
微软2026年10月补丁日修复约1413个漏洞，其中 Windows Shell 安全功能绕过漏洞 CVE-2026-96951 已被在野利用，另有 SharePoint 和.NET Framework 两个零日漏洞在补丁发布前已公开。 原文链接
安全分享越南大学生在 WordPress 插件中发现四个漏洞，其中一个获评9.3分严重级
FPT 大学信息安全专业四年级学生阮志庆在 WordPress 插件源码中发现四个 SQL 注入漏洞，其中三个已获 CVE 编号，WP BASE Booking 中的 CVE-2026-103352 评分9.3，攻击者无需登录即可利用。 原文链接
安全分享