CVE-2026-105134：AhsayCBS 备份服务器未认证 RCE 遭在野利用
备份管理控制台 AhsayCBS 曝两个漏洞，编号 CVE-2026-105133 与 CVE-2026-105134。攻击者可串接二者实现未认证 SYSTEM 权限远程代码执行，10 月 7 日起在野利用，最新版 10.3.4 仍受影响且暂无补丁。
CVE-2026-85097：Bricksforge 插件未认证文件上传致 RCE 在野利用
WordPress 插件 Bricksforge 被曝未认证任意文件上传漏洞，编号 CVE-2026-85097，CVSS 最高 10.0。攻击者 10 月 7 日起大规模利用，上传 GIF/PHP 多态文件即可执行任意代码，官方已在 3.1.8.10 修复。
CC攻击怎么把缓存打穿？击穿与雪崩防护实战
CC攻击常专挑缓存不命中的请求下手，等于人为制造持续的缓存击穿。本文用9个问答讲清缓存击穿、雪崩、穿透的区别，怎么区分被攻击与配置问题，以及缓存键归一化、过期抖动、热点互斥锁的实战防护配置。
DDoS高防怎么计费？流量账单里的隐藏费用要问清
DDoS防护的账单风险不在单价，而在计费口径。本文用9个问答讲清高防与清洗服务的计费方式、攻击流量到底算不算钱、保底与弹性带宽怎么配、清洗次数上限与回源费用，以及怎么把防护总成本算清楚。
Android App 加固实战：R8 混淆与反调试配置
Android App 加固实战教程：开启 R8 混淆与资源压缩并补齐保留规则，实现运行时签名校验、Root/模拟器检测、Frida 与调试器检测，并用 ptrace 自附加阻断注入，附反编译验证流程。
IPv6 安全加固配置实战：内核参数与防火墙
IPv6 安全加固实战教程：从内核参数关闭 RA 与重定向，到 nftables/ip6tables 显式放行必需 ICMPv6 类型、丢弃路由头，再到云安全组同步收口与外部扫描验证，附完整可复制配置。
无文件攻击检测防御实战：Linux 内存驻留排查
无文件攻击检测实战教程：针对 memfd 匿名内存执行、LD_PRELOAD 注入与 ptrace 进程注入三条路径，配置 auditd 审计规则与 bpftrace 实时探针，附 /proc 巡检脚本、无害 POC 验证方法与取证处置流程。
Pwn2Own Ireland 2026：AI 基础设施首次设项即全线失守
Pwn2Own Ireland 2026 于 10 月 6 日至 9 日举行，首次设立的 AI 基础设施赛项两天内全线失守：LiteLLM 两度被攻破，OpenAI Codex、NVIDIA Dynamo、Chroma 与 Oracle 自治 AI 数据库相继沦陷，两日累计 77 个唯一零日。
ccTLD 注册局被攻陷：攻击者为 Google 域名签发合法 HTTPS 证书
Google 于 10 月 7 日披露，攻击者攻陷加纳、塞拉利昂与美属萨摩亚三个 ccTLD 注册局的第三方运营方，篡改权威 DNS 记录并通过域名验证，为多个 Google 域名及其他品牌签发合法 HTTPS 证书。
ASOS 数据泄露：员工账号遭社工窃取，攻击者借官方 App 推送勒索
英国时尚电商 ASOS 于 10 月 8 日确认数据泄露：攻击者冒充可信联系人骗取员工登录账号，再访问其第三方平台窃取客户姓名、联系方式与购物搜索历史；攻击者还借官方 App 推送发布勒索信息。
FortiBleed 攻击未止：FBI 警告 FortiGate 管理员账号被锁死
FBI 与美国特勤局 10 月 6 日联合警告，FortiBleed 凭证窃取行动仍在持续。攻击者用泄露口令登录暴露的 FortiGate 与 SSL VPN 网关，新建管理员账号并删除原有账号，把企业锁在自己设备之外，全程无 CVE 可利用。
CVE-2026-102255：SonicWall SMA1000 曝未认证 SSRF 满分漏洞
SonicWall 于 10 月 6 日发布 SNWLID-2026-0017，修复 SMA1000 网关四个漏洞，其中 WorkPlace 门户未认证 SSRF 评分满分 10.0，无需凭据即可驱动设备访问内部功能，官方未提供任何绕过方案。