CVE-2026-100740：D-Link 路由器 L2TP 越界写 CVSS 9.9 无补丁
D-Link DIR-895L 固件 A1_102b07 的 L2TP 控制通道解析存在越界写漏洞 CVE-2026-100740，CVSS 9.9，公开 PoC 已发布且厂商暂无补丁，建议隔离设备、关闭 L2TP 或更换型号。
Froxlor 三个高危漏洞：CVE-2026-100716 等可致面板 root 提权
Froxlor 2.3.10 及以下版本存在三个高危漏洞，CVE-2026-100716 与 CVE-2026-100717 均为 CVSS 9.9，低权限客户账号即可提权至 root 或注入 Web 服务器配置，修复版本 2.3.12。
CVE-2026-18143：WooCommerce 报价插件未认证文件上传 CVSS 9.8
Request a Quote for WooCommerce 插件 2.9.2 及以下存在未认证任意文件上传漏洞 CVE-2026-18143，CVSS 9.8，攻击者可在可访问目录写入 PHP 文件；官方已发 2.9.3，同时建议禁止 uploads 目录执行 PHP。
OpenClaw 批量披露 79 个 CVE：沙箱逃逸与 ClawHub 技能投毒
OpenClaw 与 ClawHub 于 9 月 26 日集中披露约 79 个漏洞，涵盖沙箱逃逸、授权绕过、命令注入与路径遍历，最高 CVSS 8.8，修复版本为 2026.7.1 与 2026.8.1，技能市场投毒仍是活跃通道。
爬虫抓取配额下降了怎么办？sitemap与410治理
恶意爬虫把源站拖慢，搜索引擎就会砍掉你的抓取配额。本文用 9 个问答讲清抓取配额为什么会掉、怎么从日志判断配额被浪费、404 与 410 该用哪个、sitemap 该怎么建才不浪费抓取次数，以及收窄抓取面的正确顺序。
Nginx限流防CC：limit_req与limit_conn怎么分工
加了 limit_req 还是被 CC 打穿？本文用 9 个问答讲清 Nginx 限流防 CC 的核心分工：limit_req 管速率、limit_conn 管并发，漏桶与令牌桶的差别、rate/burst/nodelay 怎么算、多维度限流 zone 怎么写，以及限流之外必须补的兜底配置。
FTP 服务安全加固实战：vsftpd 加密配置
明文 FTP 属等保高风险项。本文给出 vsftpd 关闭匿名、账号白名单收敛、chroot 目录锁定、强制 FTPS 加密、被动端口收敛与 SELinux 配置的完整加固流程及四项验证。
ARP 欺骗防御实战：静态绑定与监控配置
ARP 无认证易遭缓存投毒。本文给出 ip neigh 永久绑定、arptables 过滤伪造应答、arpwatch 漂移告警、自检脚本与交换机 DAI 全网段防护的完整配置与验证方法。
XPath 注入防御实战：参数化查询配置指南
XPath 注入可绕过登录校验并盲注提取 XML 数据。本文给出 Java、Python、PHP 三套参数化改造代码与 ModSecurity、Nginx 拦截规则，附攻击载荷回归验证方法。
新加坡电信商 SIMBA 数据泄露：23549 名客户姓名与身份证号外泄
新加坡电信运营商 SIMBA 于 9 月 24 日发现数据外泄，23549 名注册客户的姓名、身份证号、出生日期、手机号与邮箱被泄露。公司称支付信息未受影响，个人资料保护委员会已介入调查。
Lunex 窃密平台滥用 AMD 驱动：BYOVD 让 EDR 全程“失明”
Ontinue 披露 Lunex 恶意软件即服务平台：经 ClickFix 假验证码投递伪造 MSI，借 AMD Radeon PDFWKRNL.sys 驱动（CVE-2023-20598）实施 BYOVD，零化内核回调让安全软件保持运行却失效。
Mini Shai-Hulud 复活：GitHub Actions 恶意标签再投毒约 1.5 万仓库
两个 GitHub Actions 于 9 月 16 日被维护者重新启用但未清理 5 月投毒内容，版本标签仍指向恶意提交，导致依赖它们的约 1.5 万个仓库工作流继续下载并执行窃密载荷，9 月 25 日才再次被禁用。