ClingSTUN 后门滥用公共 STUN 服务：24 个 IoT 漏洞设备沦为代理节点
FortiGuard 披露 ClingSTUN Linux 后门，利用约 24 个已知漏洞入侵路由与 IoT 设备，滥用公共 STUN 服务隐藏 C2 通信，把受害设备变成可远程控制的代理节点。
安全资讯
追踪全球网络安全最新动态：CVE漏洞预警、零日漏洞、供应链攻击、勒索软件、数据泄露。覆盖Microsoft、Google、Fortinet等主流厂商安全公告，每日更新，面向站长与安全运维人员。
日本连发多起信息泄露：大阪公立大学遭勒索，物语集团超千万用户外泄
日本多家企业与高校接连披露信息泄露：大阪公立大学遭勒索致约 500 台服务器停摆，物语集团约 1078 万人、马克斯先生约 173 万人信息或外泄，涉及零售、餐饮、金融、物流与教育。
丹麦中央人口登记系统遭入侵：约 880 万人身份信息外泄
丹麦中央人口登记系统（CPR）被滥用一家第三方企业的合法访问权限，约 880 万名登记者的姓名、住址与 CPR 号外泄，涉事企业权限已停用，警方介入调查。
CVE-2026-21589：Atlassian 八款 Data Center 产品任意文件读取
Atlassian 披露 CVE-2026-21589，CVSS 9.3。未认证攻击者可读取八款自托管 Data Center 产品 Web 根目录下的指定文件，官方已给出修复版本与临时缓解措施。
MCP 服务器同源 SSRF 漏洞：谷歌、摩根大通与两国政府同期修复
独立研究员 Syed Anas Mohiuddin 披露，同类服务端请求伪造漏洞被谷歌、摩根大通、Weaviate、法国 DINUM 与印尼唐格朗市政府在各自的 MCP 服务器上修复，印证这是协议层的结构性缺陷，另有五个美国联邦 MCP 服务器仍待修补。
ZITADEL 修复 10 个认证绕过漏洞：7 个严重级可账户接管
开源身份提供商 ZITADEL 于 10 月 4 日协调披露 10 个认证绕过漏洞，其中 7 个为严重级。攻击者可在未通过主因素验证的情况下预劫持账户、跨组织注册密钥、绕过 MFA，3.x 分支已停止安全支持。
CVE-2026-86360：戴尔 DSU 路径遍历漏洞可未认证获取 root
戴尔在安全公告 DSA-2026-324 中修复 Dell System Update（DSU）五个漏洞。核心问题 CVE-2026-86360 属路径遍历，未认证远程攻击者可借此以 root 权限执行任意代码，官方建议升级到 DSU 2.3.0.0 或更高版本。
TeamViewer 修复五个高危漏洞：会话控制绕过可致代码执行
TeamViewer 发布紧急更新，修复 Full Client 与 Host 组件在 Windows、Linux、macOS 上的五个高危漏洞。其中 CVE-2026-92370 可绕过远程会话访问控制并可能执行代码，官方建议升级到 15.82 或最新维护版本。
CVE-2026-96940：Exchange Server 授权缺陷可读取他人邮箱
微软带外重发 2026 年 9 月 Exchange Server 安全更新 V2，补上 CVE-2026-96940 授权缺陷。该漏洞 CVSS 8.8，已认证攻击者可在同租户内读取他人邮箱与附件，且已安装 9 月原版更新的服务器不受保护。
CVE-2026-88779：NetScaler SAML 内存越界零日致网关持续瘫痪并入 KEV
Citrix 发布 NetScaler ADC 与 Gateway 紧急补丁修复 CVE-2026-88779：未认证攻击者可借构造请求触发 SAML 认证内存越界，使网关服务持续不可用，该漏洞已被在野利用并列入 KEV。
CVE-2026-105105：NASA AIT-Core 未认证 ZeroMQ 总线可注入航天指令
NASA-AMMOS 开源地面数据系统工具包 AIT-Core 被披露严重漏洞 CVE-2026-105105（CVSS 9.8）：其 ait-server 的 ZeroMQ 总线默认无认证且绑定全部网卡，攻击者可注入航天指令并窃取遥测。
华硕路由器双漏洞：恶意 VPN 配置文件可执行任意命令 CVSS 9.4
华硕修复两个路由器漏洞。CVE-2026-14157 评分 9.4，攻击者可通过构造的 VPN 客户端配置文件在路由器上执行任意命令；CVE-2026-13313 评分 8.9，可绕过安全检查开启 Telnet 并以 root 运行命令。