Citrix发布NetScaler高危漏洞CVE-2026-107406补丁
Citrix发布NetScaler高危漏洞补丁。该漏洞CVSS评分9.5，涉及内存溢出，可导致远程代码执行或拒绝服务，主要影响配置为SAML的ADC及Gateway版本。
网络安全
漏洞、数据泄露、隐私与安全攻防
奥尼尔代言NordVPN推广网络安全
奥尼尔代言NordVPN推广网络安全。调研显示74%美国人无法辨别假网址，但71%认为常识足以应对威胁。该品牌借此推动从单一VPN向综合安全套件转型。
Anthropic 推 OSS Scanner 免费扫描开源漏洞
Anthropic推出OSS Scanner，免费扫描开源漏洞。该工具利用Claude Mythos模型定期检测代码隐患，虽无人工审查可能存误报，但旨在为开发者提供早期预警，保障数字生态安全。
IBM高管：2026年漏洞将超6.6万，AI加剧维护负担
IBM高管预测2026年漏洞将超6.6万个。AI虽加速发现，却致低质量报告泛滥，令Curl、Google暂停奖励计划。攻击利用时间缩至29分钟，防御窗口急剧压缩。
身份验证“收费站思维”失效，转向动态心跳机制
身份验证正从一次性检查转向动态心跳机制。传统“收费站思维”易被会话劫持等攻击绕过，新方案通过持续监测打字节奏、设备行为等信号比对基线，在检测到异常时分级响应，以平衡安全与客户体验。
银行网站隐私合规调查：第三方脚本泄露敏感财务数据
欧美14家银行网站被曝泄露财务数据。第三方脚本在用户拒绝同意后仍追踪，将贷款金额、税号等敏感信息发送至Google Analytics等平台，暴露出严重的隐私合规漏洞与责任归属争议。
地下室老计算机故障致污水系统停摆
地下室老旧计算机故障导致污水系统停摆，引发办公楼严重异味。两位资深专家介入后指出，该设备仅用于水位监测，可用标准控制器替代并实现无线报警，无需依赖原有PC架构。
日本政府发布网络安全预警：攻击复杂度与频率双升
日本政府发布网络安全预警，指出攻击复杂度与频率双升。官方要求各部门强化系统更新、强密码及供应链防护，并警示AI介入使漏洞利用更隐蔽。近期多家企业数据泄露，其中Times Car约660万用户信息遭窃。
Anthropic推网络任务计划助修漏洞
Anthropic推出网络任务计划，协助修补Glasswing项目漏洞。该计划联合埃森哲、CrowdStrike等伙伴保护关键基础设施，并免费为高影响力开源项目提供基于最强模型的定期安全扫描服务。
FBI查封七域名指控中国公司支持黑客攻击
FBI查封七域名，指控中国公司支持黑客攻击。美英澳等七国联合警告，相关团伙利用僵尸网络扫描全球关键基础设施，窃取敏感数据，CISA已将五个漏洞列入已知被利用目录。
Let’s Encrypt证书有效期将缩短至64天
Let’s Encrypt宣布证书有效期将缩短至64天。该调整定于2027年2月实施，旨在提升互联网通信安全性。依赖手动更新的用户需在冬季前完成系统升级，测试窗口将于2026年10月开启。
Nvidia GPU监控服务存高危漏洞，数千台服务器暴露公网
Nvidia GPU监控服务存高危漏洞。扫描发现约2100台服务器暴露公网，涉及1.2万个GPU UUID及近亿美元资产。攻击者可致服务崩溃干扰AI负载，官方已发布修复补丁。
Shai-Hulud蠕虫感染Tensorlake SDK窃取凭证
Shai-Hulud蠕虫感染Tensorlake SDK。恶意版本在npm存活仅11分钟，该SDK周下载量约1.2万次。变种ChainDrop可窃取凭证并监控令牌撤销，触发删除用户主目录以阻碍恢复。
恶意软件PoEllM借GitHub诗歌隐藏C2地址
PoEllM恶意软件借GitHub诗歌隐藏C2地址。攻击者解码诗中特定词汇获取指令，部署矿工并扫描漏洞。该活动已感染超3000台设备，同时针对多个AI服务，具备极高基础设施迁移灵活性。
前CIA官员伪造履历窃取1.94亿美元联邦资金
前CIA官员拉什伪造履历窃取1.94亿美元联邦资金。他利用最高机密权限虚构项目，将巨款用于购买房产、豪车及298根金条。FBI已没收相关资产，拉什面临最高20年监禁。
IPVanish转型综合数字安全供应商，集成防病毒功能
IPVanish转型综合数字安全供应商。其集成防病毒功能，采用VIPRE引擎，恶意样本检测率达99.91%。新订阅分三层，完整层两年期月费3.09美元，提供全面设备保护。
Asos确认数据泄露：黑客入侵Snowflake实例窃取客户信息
英国时尚零售商Asos确认数据泄露。黑客入侵其Snowflake实例，窃取姓名、地址等敏感信息，并滥用应用通知系统施压。Asos拥有约1700万客户，具体泄露量待查，疑似凭证被冒充获取。
FBI：AI钓鱼攻击致损失增274%，传统检测失效
FBI数据显示AI钓鱼攻击致损失增274%。生成式AI消除了语法错误等传统检测信号，让低成本、高精准的大规模攻击成为可能。防御方正转向上下文分析以应对这一威胁。
攻击者劫持三国顶级域名伪造HTTPS证书
攻击者劫持三国顶级域名伪造HTTPS证书。Google已撤销相关证书并警告用户，此次事件波及数千网站及多个全球知名品牌，Chrome用户无需额外操作即可受保护。
CrowdStrike发现韩金融攻击AI日志含攻击者简历
CrowdStrike发现韩金融攻击AI日志含简历。调查揭示攻击者利用开源工具渗透五家银行，暴露目录中中文指令指向香港服务器。新韩银行约2.5万客户受影响，警方正追查涉事个人或组织。