Istio 服务网格安全实战：mTLS 双向认证与流量加密配置
介绍 Istio 服务网格中 mTLS 双向认证与 AuthorizationPolicy 授权配置，实现 Kubernetes 微服务间流量加密、身份认证与细粒度访问控制，适用于生产集群服务安全加固。
卫方智能
Harbor 镜像仓库安全加固实战：镜像扫描与访问控制配置
面向使用 Harbor 管理容器镜像的团队，提供 HTTPS 加密、RBAC 最小权限、Trivy 漏洞扫描、镜像签名与 Robot 账号拉取的完整安全加固配置方案，防止镜像供应链投毒与未授权访问。
Log4j2 漏洞防御实战：Log4Shell 检测与修复配置指南
针对 Log4Shell（CVE-2021-44228）等 Log4j2 高危漏洞，提供依赖版本检测、升级修复、启动参数缓解与 Nginx WAF 拦截的完整防御配置方案，适用于 Java 应用与中间件安全加固。
CVE-2026-79784：Vocos 模型加载框架曝任意类实例化漏洞，AI 模型供应链再敲警钟
AI 音频模型框架 Vocos 曝出 CVE-2026-79784 高危漏洞（CVSS 8.8），允许 Hugging Face 上的恶意 config.yaml 在加载阶段触发任意 Python 类实例化并执行任意代码。
miniOrange SAML WordPress 插件曝两处认证绕过漏洞，CISA 警告攻击已在野
WordPress miniOrange SAML 2.0 SSO 插件曝两处认证绕过漏洞 CVE-2026-61979 和 CVE-2026-15981，二者组合可让攻击者无需凭证登录为任意管理员。DigitalOcean 安全团队已确认在野利用。
伊朗 IRGC 关联黑客瘫痪英国发电厂四日，美国同步制裁六名 MOIS 涉案人员
Iran 关联黑客组织 CyberAv3ngers 瘫痪英国一座发电厂四天，同期攻击美国 12 个州水务设施；美国财政部宣布制裁六名 MOIS 涉案人员。
CVE-2026-76197：Adobe Campaign Classic 曝 OS 命令注入漏洞，CVSS 评分 10.0 满分
Adobe Campaign Classic 曝出 CVSS 10.0 满分命令注入漏洞 CVE-2026-76197，允许未经身份验证的攻击者远程执行任意代码。Adobe 在 8 月 25 日发布安全公告，建议所有版本默认视为受影响。
XXE 外部实体注入防御实战：从原理到防护配置
XXE 外部实体注入攻击可读取服务器任意文件、发起 SSRF 甚至执行远程命令。本文从 DTD 外部实体原理讲起，覆盖 Java、Python、PHP 三类语言的禁用配置与 Nginx WAF 拦截规则，附验证用例。
Nacos 未授权访问防护实战：认证与安全配置指南
Nacos 默认配置存在未授权访问风险，攻击者可读取配置、修改服务注册甚至执行任意命令。本文给出开启认证、修改默认密钥、限制访问来源、升级版本四步加固方案，附完整配置与验证命令。
Fastjson 反序列化漏洞防御实战：代码审计与 WAF 配置指南
本文从 Fastjson 反序列化漏洞的利用原理出发，给出版本升级、关闭 autoType、代码白名单、Nginx WAF 拦截等五步防御方案，附完整配置与验证命令，帮助 Java 应用彻底封堵反序列化攻击入口。
Sakura Internet 披露大规模数据泄露事件：136 万账户与数百台租赁服务器失陷
日本知名云与主机服务商 Sakura Internet 公开披露一起大规模数据泄露事件，攻击者未经授权访问其租赁服务器环境与销售管理系统，最多 136 万客户账户信息可能暴露，事件同时波及数百台租赁服务器账户并在受影响环境中植入恶意软件。这是日本近期最具规模的云服务商泄露事件之一，引发对日本本土云生态安全防护的广泛讨论。
Gentlemen 勒索软件团伙公布 AnMed 6TB 患者数据，医疗行业勒索攻击再敲警钟
美国南卡罗来纳州非营利医疗机构 AnMed 确认 7 月 26 日检测到的勒索攻击导致 6TB 患者与企业数据外泄。勒索软件团伙 Gentlemen 在暗网宣称窃取涵盖心理健康、性侵犯、生殖护理、基因检测与癌症等敏感医疗记录，攻击者还接管了 AnMed 的 Facebook 账号发布威胁信息，事件再次暴露医疗行业在勒索攻击面前的脆弱性。