Revolut 误信伪造政府邮件，交出护照、自拍与比特币交易全量记录
数字银行 Revolut 于 9 月 12 日确认数据泄露：攻击者使用政府机构官方域名下未授权邮箱提交信息调取请求，因邮件通过域名认证而获批，护照复印件、验证自拍与比特币交易记录被交出。
卫方智能
EtherHiding+ClickFix 大规模投递：5400 个中小企业站点被植入区块链载荷
Netskope 威胁实验室披露，超过 5400 个中小企业网站被攻陷并用于投递 ClickFix 载荷，恶意配置存放在 BNB 智能链合约中，新变种改走 WebRTC 数据通道建立加密隐蔽 C2，几乎不留磁盘痕迹。
CVE-2026-70416：戴尔 ObjectScale 反序列化漏洞满分，未认证即可接管存储集群
戴尔安全公告 DSA-2026-393 披露 ObjectScale 与 ECS 多个漏洞，其中 CVE-2026-70416 为不可信数据反序列化，CVSS 10.0，未认证攻击者可远程执行代码并完全接管对象存储环境。
CVE-2026-78006：The Events Calendar 未认证 PHP 对象注入，CVSS 9.8 可 RCE
WordPress 活动日历插件 The Events Calendar 6.17.4 及以下版本被披露未认证 PHP 对象注入漏洞 CVE-2026-78006，CVSS 9.8。攻击者只需在活动页提交一条评论即可触发反序列化并执行代码。
网站被CC攻击打挂怎么应急？降级与错误页实战
CC 攻击不会一次打崩服务器，而是用大量看似正常的请求慢慢耗死动态页面。本文用 8 个问答讲清 CC 应急的正确顺序、服务降级的思路、Nginx 限速与静态兜底配置，以及 503 友好错误页 + Retry-After 的写法。
域名被DNS泛解析攻击怎么办？解析层防护实战
域名解析被打是最容易被忽略的 DDoS 形式：攻击者不打服务器，只把海量 DNS 查询砸向你的权威 DNS，全站就解析超时打不开。本文用 8 个问答讲清 DNS Flood 与泛解析攻击的区别、如何判断解析层故障、BIND 限速配置与托管云解析的选型。
Fail2ban 防 SSH 爆破实战：jail 配置详解
Fail2ban 防 SSH 爆破配置全流程：systemd 日志后端选择、jail.local 中 maxretry/findtime/bantime 阈值调优、mode=aggressive 规则集、ipset 高性能封禁动作、ignoreip 白名单防自锁、封禁解封验证命令，以及与 sshd 禁用密码登录的配合要点和四类排查。
Nginx 日志攻击溯源实战：Access Log 分析
Nginx 访问日志分析是攻击溯源第一手证据。本文给出可复用流程：自定义 forensic log_format 补齐耗时与 XFF、TOP IP 与 404 统计、SQLi/路径遍历/扫描器特征识别、单 IP 时间线还原、ipset 与 map 封禁落地、Fail2ban 对接及自动化日报脚本与验证方法。
SSTI 模板注入防御实战：Jinja2 沙箱配置
SSTI 模板注入把用户输入当模板源码渲染，危害等同 RCE。本文给出完整防御链：Flask 最小复现、Jinja2 与 Twig/Freemarker 引擎识别、SandboxedEnvironment 沙箱改造、输入白名单与渲染分层、ModSecurity 定界符拦截规则、代码审计 grep 与配置验证方法。
荷兰电信 Odido 639 万客户数据泄露：警方公开嫌疑人通话录音，黑客扬言再攻击
荷兰电信 Odido 因一起冒充 IT 人员的电话诈骗泄露 639 万客户数据，含 IBAN 与证件号。荷兰警方 9 月 7 日公开嫌疑人通话录音，ShinyHunters 承认成员身份并威胁发动新一轮数据窃取。
CVE-2026-62103：WordPress 表单插件 Everest Forms 未认证 PHP 对象注入，CVSS 9.8
Everest Forms 3.6.0 及更早版本存在未认证 PHP 对象注入漏洞 CVE-2026-62103，CVSS 9.8。攻击者无需登录即可提交恶意序列化数据，配合站点内已有 POP 链可致代码执行。
Plesk 两个漏洞组合可致服务器 root 提权：CVE-2026-68487/68488 共享主机最危险
Plesk for Linux 备份额管理器被披露两个漏洞：CVE-2026-68487 路径遍历可写入任意 root 文件，CVE-2026-68488 符号链接竞态可本地提权，任意客户账户即可利用。