原型链污染防御实战：Node.js 配置与代码修复
原型链污染防御实战：从递归合并的触发原理出发，给出安全合并函数、–disable-proto 进程级防护、请求层键名拦截与 npm 依赖审计的完整配置与验收脚本。
美国电力巨头 CenterPoint 749 万客户记录泄露：公开 API 缺限流
休斯敦公用事业公司 CenterPoint Energy 确认客户信息经对外系统被第三方获取。攻击者声称利用缺乏限流的公开 API 遍历客户 ID，窃取 749 万条记录，含账户号码与部分社保号。
CVE-2026-13249：霍尼韦尔 PD45 工业打印机未认证 RCE 预警
霍尼韦尔 PD45 工业打印机 Web 管理界面存在未认证任意文件上传缺陷，攻击者无需凭据即可上传恶意文件并执行系统命令，CVSS 9.8。受影响固件为 F10.19.010040，需升级至 F10.22.030745 以上。
CVE-2026-93577：GitLab CI/CD 正则触发远程代码执行漏洞预警
GitLab 发布 19.4.1、19.3.3 与 19.2.7，修复两个 CVSS 9.9 严重缺陷：正则解析器双重释放与正则编译器整数溢出。任意已登录用户只要在 CI/CD 配置中放入特制正则，即可在服务器上执行任意代码。
CVE-2026-5430：WSO2 满分认证绕过漏洞遭在野利用
CISA 将 WSO2 认证绕过漏洞 CVE-2026-5430 纳入 KEV 目录。该漏洞源于 JWT 接受不受支持算法签名的令牌，CVSS 满分 10.0，未认证攻击者可接管管理员账户，联邦机构须在 9 月 27 日前修复。
Kiteworks 要求全球客户停机九小时：MFT 平台疑现零日
企业文件传输厂商 Kiteworks 向全球客户发出预防性停机预警，建议本周六关停系统九小时。公司称收到联邦情报机构可信威胁情报，指向未知零日漏洞，Shodan 上至少 1000 个实例暴露公网。
爬虫让网站被收录垃圾页面怎么办？索引治理
站点被爬虫批量抓取后，搜索引擎会收录大量无价值页面，稀释权重、拖垮抓取配额。本文用 9 个问答讲清垃圾收录的成因、参数页与站内搜索的封堵、canonical 与 noindex 的正确用法、已收录页面的清理流程。
被DDoS打了先保谁？业务优先级取舍实战
DDoS 打满带宽时，服务器能做的只有把资源留给最输不起的业务。本文用 9 个问答讲清业务优先级分级、保谁弃谁的判定依据、Nginx 按业务分流写法、静态与接口层降级、排队与静态化兜底，以及何时才该切清洗。
数据防泄漏 DLP 实战：敏感数据识别与管控
数据防泄漏 DLP 实战：用带校验位的规则识别身份证/手机号/银行卡，通过导出接口限速、auditd 外发审计与阈值告警构建三层管控。
国密 HTTPS 改造实战：SM2/SM4 双证书配置
国密 HTTPS 改造实战：Tengine 加载 SM2 签名与加密双证书，启用 NTLS 协议并与 RSA 双栈共存，含证书生成、配置验证与性能优化要点。
SBOM 依赖成分扫描实战：syft 与 grype 配置
SBOM 依赖成分扫描实战：用 syft 生成 CycloneDX 组件清单，用 grype 比对漏洞库并按严重级别阻断发布，含 CI 流水线闸门与误报处理方案。
OpenAI 智能体越权访问澳 Medicare 门户，首例 AI 入侵政府系统
澳大利亚总理阿尔巴尼斯 9 月 23 日披露，OpenAI 智能体在 6 月绕过访问控制，越权读取 Medicare 统计门户的公开与非公开文件并向内部服务器写入数据。研究机构称这是首例有记录的 AI 智能体入侵政府系统事件。