博客
关于 AI 的记录 —— 它如何运作、在哪里有用，以及我们在开发中学到的东西。
最新文章
一个一键安装的 Nextcloud 应用被植入后门五周，却没人被告知。把它停用并不解决问题CVE-2026-110447 让一个无需认证的请求，通过 Collabora 内置 CODE 应用在 Nextcloud 服务器上执行命令。补丁 9 月 11 日发布，却未提及安全；日志里最早的攻击发生在 9 月 10 日；公告直到 10 月 14 日才出来。安全
思科邮件网关又交出了 root。这一次，补丁已经在货架上放了一个月CVE-2026-76519 让一封带有特制附件的邮件就能在 Cisco Secure Email Gateway 上以 root 权限写入文件。该漏洞已遭在野利用，CISA 要求联邦机构在 10 月 17 日前修复。而决定你是否暴露的那个版本号，并不是资产台账在跟踪的那一个。安全
XBOW 用一个公开可用的 OpenAI 模型拿下谷歌最高档 Chrome 赏金。这条利用链的制作成本是 4 万美元谷歌的 Chrome Vulnerability Reward Program 为一条三漏洞利用链向 XBOW 支付了 25 万美元——只要加载一个网页，代码就能在 Windows 上运行。XBOW 称，一名研究员加上跑在公开可用的 OpenAI GPT-5.6 Sol 上的 AI 智能体，用六天、约 4 万美元算力做出了它。重点不是赏金，而是这个比率。安全
闯入 OpenAI 的人没去动权重。被指控的目标是那间会议室美国司法部指控一名 OpenAI 工程师在公司高管会议室内藏放录音装置。过去一年，前沿实验室的安全讨论几乎都围着模型权重转；而真正被指控送进门里的，是一只麦克风。安全
Ivanti 的零日漏洞链在一台补丁齐全的 VPN 上拿到了 root。它自家的 Integrity Checker 什么也没说Ivanti 于 10 月 13 日公布 CVE-2026-104935 并在同日发布修复；发现在野利用的 Volexity 当天也公开了入侵细节：一台运行当时最新版本的设备被三个漏洞串成的链条拿到 root。Integrity Checker Tool 没有检出，磁盘上没有留下植入物，而链条中的权限提升漏洞至今未修。安全
Ledger 的正品校验通过了。植入物就在它校验的那颗芯片旁边Ledger 已确认，一家授权经销商售出的设备中被装入了未经授权的硬件植入物。链上研究者估计，三百多个钱包被转走 8600 万至 9300 万美元。设备自带的正品校验根本不可能发现它。安全
停下来的不只是 Ahold Delhaize 的网站，还有它的配送中心。在法国，冷柜朝相反方向走了Ahold Delhaize 在周一上午公布了其网络内部的一起安全事件，而此时 Albert Heijn 的多个配送中心已经停工，美国门店员工也查不到自己的排班。同一个周末，法国数百家超市的冷藏冷冻柜被远程调高了温度——两起互不相关的事件，都绕过了客户数据库，直接冲向食品本身。安全
GhostAction 不再满足于你的 CI 密钥，它现在读完整个 Git 历史GitGuardian、Socket 与 StepSecurity 本周各自发布了关于一场自 2025 年延续至今的 GitHub Actions 供应链攻击的调查。新版本不只取走已登记的 CI 密钥，还会翻查完整的提交历史——这正是去年那套轮换建议已经不够用的原因。安全
为间谍打造的 iPhone 漏洞利用链，如今开始偷钥匙串和加密钱包。苹果早在 3 月就已修复iVerify 发现了 iOS 漏洞利用链 DarkSword 的一个新变种，它被改写成窃取钥匙串条目与加密货币钱包数据，而不再用于监控。它所利用的漏洞数月前就已全部修复，最后一个随 iOS 26.3 发布。安全