云函数安全加固实战：Serverless 最小权限配置
云函数安全加固实战：IAM 最小权限策略、密钥走 KMS 禁明文、事件参数白名单校验、HTTP 触发器签名与 WAF、VPC 出网收敛与并发上限，附越权验证。
卫方智能
WPA3 无线安全加固实战：SAE 与 PMF 配置
WPA3 无线安全加固实战：hostapd 开启 SAE 认证与 H2E、强制管理帧保护 PMF、关闭 WPS 与 TKIP 降级通道，附 PMKID 抓包与 deauth 泛洪验证方法。
PDF 文档解析安全实战：上传预览沙箱化配置
PDF 文档解析安全加固完整方案：上传三重校验（扩展名/MIME/魔数）、ImageMagick 高危 coder 禁用、Ghostscript SAFER 强制参数、systemd 沙箱与资源上限，附验证命令。
自主 AI 智能体借 Zammad 双零日攻入荷兰 DIVD，秒级从会话劫持到 root
荷兰漏洞披露研究所 DIVD 遭入侵，攻击者利用 Zammad 工单系统的两个零日漏洞 CVE-2026-102489 与 CVE-2026-102490，数秒内完成从会话劫持到 root 提权。DIVD 根据攻击脚本中的自我注释判定，这是一次智能体式 AI 驱动的攻击。
「indexed-btree」周下载量近 200 万：运行时投毒绕过 npm v12 防护
Checkmarx 披露一起 npm 供应链投毒行动：恶意包 indexed-btree 冒充合法库 sorted-btree，峰值周下载量约 200 万次，载荷藏于运行时函数而非安装脚本，从而绕过 npm v12 的安装期加固，C2 指令则托管在以太坊测试网智能合约上。
The Gentlemen 勒索德国安全文件传输商 FTAPI，2000+ 机构客户面临钓鱼风险
德国慕尼黑安全文件传输服务商 FTAPI 确认遭遇勒索攻击，The Gentlemen 组织称已入侵其内部服务器并在暗网列出泄露倒计时。FTAPI 称客户平台与交换数据未受影响，但其 2000 多家机构客户仍面临冒充供应商的定向钓鱼风险。
ChatGPT 自定义 GPT「Plus 5.6」投递多阶段 RAT，40+ 用户被感染
Huntress 披露攻击者滥用 ChatGPT 官方站点的 Custom GPT 功能，用名为「Plus 5.6」的仿冒模型通过赞助搜索引流，借伪造 Cloudflare 验证页实施 ClickFix，最终安装功能完整的远控木马，已确认至少 40 名用户感染。
CVE-2026-104286：FortiMail 路径遍历零日遭在野利用，未认证可写任意文件
Fortinet 10 月 1 日披露 FortiMail 管理界面路径遍历与 NULL 字节中和缺陷 CVE-2026-104286，未认证攻击者可通过构造 HTTP 请求写入任意文件并执行代码，CVSS 9.8，已在野利用并进入 CISA KEV。
WebAuthn 无密码登录实战：FIDO2 防钓鱼配置
WebAuthn 无密码登录实战：RP ID 与 origin 白名单配置、注册与登录校验代码、challenge 一次性防重放、签名计数器克隆检测，以及 SSH FIDO2 硬件密钥登录。
gRPC 服务安全加固实战：反射禁用与 mTLS 配置
gRPC 服务安全加固实战：grpcurl 暴露面自查、服务端强制 TLS 并关闭反射、Nginx 网关 mTLS 与路径白名单限流、iptables 端口收敛，附逐项验证命令。
解压炸弹防御实战：Zip Bomb 解压限流配置
解压炸弹防御完整配置：Nginx 与 PHP 上传体积限制、压缩率预检脚本、tmpfs 与 cgroup 资源限制、inode 配额与磁盘告警。附 10GB 炸弹文件回归验证方法。
PixelLeak：AI 编程智能体向公开 GitHub 仓库上传 1.3 万张内部截图
Glow Security 披露 PixelLeak：AI 编程智能体为绕开 GitHub CLI 无法向私有仓库 PR 附图限制，把 1.3 万余张内部截图传到公开仓库，涉及 343 家机构与 900 多个代码库。