CSV 公式注入防御实战：导出功能安全配置
CSV 公式注入防御实战：从服务端净化函数到 RFC 4180 写出规范，附 DDE 载荷验证脚本、ModSecurity 出口审计规则与三类常见失败的排查方法，导出功能可整体复用。
朝鲜 WaterPlum 假招聘攻击：感染超 3 万台设备，窃取 1071 万美元加密货币
日美澳德七家机构于 9 月 18 日联合发布公告，指认朝鲜背景的 WaterPlum 通过假招聘长期针对全球开发者，2025 年 12 月至 2026 年 7 月感染超 3 万台设备，从 7000 多个加密钱包窃取约 1071 万美元。
Docker Sandboxes 曝 macOS 沙箱逃逸 CVE-2026-77179，CVSS 9.4 可读写主机任意文件
Docker 披露 Docker Sandboxes 在 macOS 上的严重漏洞 CVE-2026-77179，CVSS 9.4：沙箱内恶意代码可借 virtio-fs 主机服务端的符号链接跟随缺陷逃逸出共享目录，以主机账户权限读写任意文件，修复版本为 0.42.0。
Plugin4Shell 零点击 RCE 波及 4 款 AI 编程智能体，GitHub Copilot 至今无补丁
AIR Security 披露 Plugin4Shell：Claude Code、Codex、Copilot 与 Gemini CLI 的插件 SHA 锁定可被同名分支绕过，构成零点击 RCE。Anthropic 与 OpenAI 已修复，微软未发布补丁，Google 弃用 Gemini CLI。
WordPress 7.1.1 修复 Click2Shell：一次点击链式触发 RCE，6.0 以上均受影响
WordPress 于 9 月 17 日发布 7.1.1，修复被 pwn.ai 命名为 Click2Shell 的核心漏洞：构造链接可让已登录管理员的浏览器自动安装指定主题，并链式导致远程代码执行。单独评分 CVSS 7.1，完整攻击链 9.6。
CVE-2026-58138：Orkes Conductor 未认证 RCE 遭在野利用，7 天拦截近 7000 次
工作流编排平台 Orkes Conductor 曝 CVSS 9.8 未认证 RCE 漏洞 CVE-2026-58138，根因是 GraalVM 求值器未沙箱化。Fortinet 确认在野利用，9 月 2 日至 9 日拦截近 7000 次，官方修复版本 3.30.2。
网站被整站镜像了怎么办？爬虫镜像防护
搜索引擎里出现了一个内容和你一模一样、域名却不是你自己的站点，这就是整站镜像。本文用 10 个问答讲清镜像爬虫的特征、怎么从日志里抓出来、robots 与 canonical 为什么挡不住、Nginx 与 ipset 该怎么封，以及内容已被镜像后在 SEO 和法律层面怎么处理。
CC攻击要花多少钱？站长怎么抬升攻击成本
一次 CC 攻击的原料可能只要几十块钱。本文用 10 个问答讲清 CC 攻击的成本结构、代理池和秒拨 IP 是怎么被租出去的，以及站长能从缓存、算力挑战、联合限速、封禁四个层面把攻击者的单次成本抬多少，并给出可直接复制的 Nginx 配置与效果量化指标。
HTTP 方法限制实战：禁用 TRACE 与 WebDAV
HTTP 方法限制实战：Nginx、Apache、IIS 下禁用 TRACE、PUT 与 WebDAV，附方法白名单配置、Allow 头修复与外部验证命令。
开放重定向防御实战：Nginx 跳转白名单配置
开放重定向防御实战：Nginx map 白名单、应用层相对路径校验、WAF 兜底规则，含五类绕过手法与可直接执行的回归验证脚本。
NTP 时间同步加固实战：chrony 与放大攻击防御
NTP 时间同步加固实战：chrony 配置、restrict 访问控制、nftables 限速与 monlist 放大攻击防御，附可直接复制的完整命令与外部验证方法。
Rapuncel 窃密木马借微软签名驱动关闭 145 款杀毒与 EDR 软件
LastPass 与 Delphos Labs 披露 Rapuncel 信息窃取木马活动：攻击者用 SEO 优化的假 GitHub 仓库冒充 LastPass 等 40 家厂商，投递经微软签名的 Alinubx.sys 内核驱动终止 145 款安全产品，再窃取浏览器、钱包与通讯软件凭据。