CVE-2026-80155：Lantronix 带外管理设备认证绕过，CVSS 满分 10.0
Lantronix 带外管理设备披露一批漏洞，其中 CVE-2026-80155 获 CVSS 双版本满分 10.0：会话 Cookie 路径截断叠加路径遍历即可绕过全部会话校验，未认证读取配置并任意写文件，直至远程代码执行。SLB882 等旧型号暂无修复固件。
CVE-2026-87902：WordPress 未认证路径遍历致本地文件包含，7.1.2 紧急修复
WordPress 9 月 22 日发布 7.1.2，仅修复一处未认证路径遍历漏洞 CVE-2026-87902，CVSS 9.2。页面模板解析可被诱导包含主题目录之外的任意可读 PHP 文件，配合 register_argc_argv 与 PEAR 可升级为远程代码执行。
APP和小程序接口被爬怎么办？签名防重放
网页还能靠前端混淆挡一挡，APP 和小程序的接口一旦被抓包，爬虫就能绕开页面直接拿数据。本文用 9 个问答讲清接口被爬的定位方法、签名与防重放的正确设计、参数枚举识别、网关限速与封禁配置，代码均可直接复制。
云服务器弹性扩容能防DDoS吗？真相在这
很多人以为云服务器开了弹性扩容就能自动扛住 DDoS，结果被打时账单先炸、服务照样挂。本文用 8 个问答讲清扩容能防什么、防不了什么，给出带宽与连接层的判别命令、伸缩组上限配置、ipset 自动解封与 CDN 回源白名单写法，可直接复制。
时序攻击防御实战：恒定时间比较加固
时序攻击防御实战：用采样脚本定位短路比较泄露，给出 Python、PHP、Java、Node.js、Go 五种语言的恒定时间比较改造，并统一账号枚举分支代价与入口限流。
Cookie 安全属性配置实战：SameSite 加固
Cookie 安全属性配置实战：审计 HttpOnly、Secure、SameSite 缺失项，用 Nginx proxy_cookie_flags 统一注入并配合 __Host- 前缀，附属性与会话固定验证脚本。
Web 缓存欺骗防御实战：Nginx 缓存规则加固
Web 缓存欺骗防御实战：从缓存键与后端路由脱节原理讲起，给出 Nginx map 判定、proxy_no_cache 成对配置、动态后缀拦截与 CDN 规则收紧的完整可复制方案。
TASK#STOMP 后门滥用系统自带组件，窃取文档与 Wi-Fi 密码
Securonix 披露 Windows 后门 TASK#STOMP：用 VBScript 安装器注册四条伪装成系统服务的计划任务，再用两个隐藏 PowerShell 模块窃取商业文档、Wi-Fi 明文密码与剪贴板内容，并接受远程命令。
PAYLOAD 勒索滥用域组策略：不下发加密程序即完成全域破坏
卡巴斯基 GERT 披露一起无加密勒索事件：攻击者拿下域管理员等价权限后，用挂在域根的组策略对象在全体域内主机投放勒索信息、关闭防火墙并停用本地管理员账号，Windows 终端上既无加密程序也无常驻恶意进程。
勒索者反被勒索：ShinyHunters 劫持 Cl0p 泄露站索要八位数赎金
ShinyHunters 利用 Cl0p 暗网泄露站点所用 Grav CMS 的未认证文件上传缺陷拿下站点，将其完全篡改并反向索要八位数赎金，威胁公开曾向 Cl0p 付款的企业名单、金额与比特币地址。
CVE-2026-93616：Check Point 管理服务器目录遍历，未认证上传执行脚本
Check Point 更新公告（AV26-902 Update 2）通报管理服务器与日志服务器产品线的目录遍历漏洞 CVE-2026-93616，未认证攻击者可上传并执行任意脚本，CVSS 9.8，CISA 已列入 KEV，联邦机构 9 月 25 日前须完成处置。
CVE-2026-94127：F5 BIG-IP APM 堆溢出可未认证 RCE，已入 KEV
F5 于 9 月 22 日发布 BIG-IP APM 堆溢出漏洞 CVE-2026-94127：当虚拟服务器同时配置访问策略与 OAuth 配置文件时，未认证流量即可触发远程代码执行，CVSS 9.8，厂商确认在野利用，CISA 同日列入 KEV。